Contrairement à ce que pensent la plupart des gens, les smart contracts (contrats intelligents) ne datent pas d’hier. En effet, le premier smart contract au monde a été créé en 1993 par le cryptographe Nick Szabo. Néanmoins, ce n’est qu’après le lancement de la blockchain Ethereum en 2015 que ces contrats numériques ont reçu l’attention qu’ils méritaient.
Certes, l’investisseur crypto lambda n’a pas nécessairement besoin d’être un as de la programmation informatique. Cependant, étant donné que les smart contracts constituent l’épine dorsale de la finance décentralisée (DeFi), il est important d’en comprendre au moins les bases. Alors, comment fonctionne un smart contract ? Comment le créer ? Et comment l’auditer ? On vous dit tout dans ce guide.
- Smart contract : définition
- Comment fonctionne un smart contract ?
- À quoi servent les smart contracts crypto ?
- Quelles sont les caractéristiques d’un smart contract ?
- Comment lire un smart contract ?
- Comment connaître le type d’un smart contract ?
- Comment créer un smart contract ?
- Comment créer un smart contract sur Ethereum ?
- Comment s’exécute un smart contract ?
- Comment auditer un smart contract crypto ?
- Quelles sont les différentes méthodes d’audit de smart contracts ?
- Comment auditer les smart contracts des blockchains alternatives ?
- Pour conclure
- Foire aux questions (FAQ)
Smart contract : définition
En termes simples, un smart contract est un contrat numérique qui ne s’exécute que lorsque certaines conditions sont remplies. À l’image d’un contrat juridique, le smart contract englobe un ensemble de règles qui doivent être respectées. Mais si les contrats juridiques sont régis par des lois, les smart contracts sont régis par du code informatique. Et comme ils sont basés sur la blockchain, ils sont immuables, ce qui signifie qu’il est impossible de les modifier.
Comment fonctionne un smart contract ?
Avant d’aller plus loin, il convient de rappeler que le rôle premier des smart contracts consiste à automatiser les transactions blockchain. Comme vous l’aurez compris, ces contrats permettent aux utilisateurs d’effectuer des transactions de manière entièrement décentralisée et sans recourir à des intermédiaires.
De même, ils peuvent être utilisés dans plusieurs secteurs d’activité, y compris les services financiers, la logistique, l’agriculture, la santé, etc. Et contrairement aux logiciels informatiques classiques qui peuvent parfois être programmés en un clin d’œil, les smart contracts nécessitent des méthodes de programmation à la fois sophistiquées et chronophages.
“Web3 est un mot à la mode qui en dit long sur les habitudes de programmation laxistes et peu sécurisées du Web. Lorsque les contrats cryptographiques ou intelligents sont programmés comme une page Web, ils sont voués à l’échec. Les blockchains qui réussissent sur le long terme et leurs applications sont basées sur des méthodes de programmation beaucoup plus sûres, prudentes et réfléchies”.
Nick Szabo, cryptographe et informaticien : Twitter
Sur la blockchain Ethereum, par exemple, les smart contracts sont partout. Les développeurs les utilisent pour automatiser les transactions, récompenser les utilisateurs, sanctionner les validateurs, etc. Étant donné que la plupart des projets DeFi sont basés sur des blockchains de smart contracts (par exemple, Ethereum, Cardano ou Solana), il est important pour tous les investisseurs crypto d’en connaître les principes de base.
À quoi servent les smart contracts crypto ?
Maintenant que vous en savez un peu plus sur les smart contracts, vous vous demandez probablement à quoi ils servent dans la pratique. Pour comprendre leur utilité, imaginons le scénario suivant :
Claire demande à Jules de lui rédiger un texte en contrepartie d’une rémunération. Cependant, Jules ne peut recevoir l’argent que lorsqu’il termine la mission qui lui a été confiée. Dans ce cas, Claire peut créer un contrat intelligent qui bloque les fonds en attendant que Jules lui envoie le texte. De son côté, Claire ne peut pas recevoir le texte qu’elle a demandé sans rémunérer Jules. De cette façon, les deux parties seront obligées de respecter les termes de leur accord.
Comme vous l’aurez compris, le type et l’objectif d’un smart contract déterminent la manière dont il est rédigé, lu et audité.
Voici un deuxième exemple pour mieux comprendre le rôle des smart contracts :
Imaginez un pool de liquidités qui prélève une commission de 0,3 % sur toutes les transactions et la verse au fournisseur de liquidités qui a rendu cette transaction possible ou qui a fourni des liquidités au pool. Pour s’assurer que les fournisseurs de liquidités reçoivent leurs récompenses, ce pool de liquidité utilise un smart contract qui fixe les frais de trading, les conditions de conformité, les sanctions, etc.
Quelles sont les caractéristiques d’un smart contract ?
On ne peut pas lire, créer et auditer des smart contracts sans connaître leurs caractéristiques. Voici quelques-unes des caractéristiques les plus importantes des smart contracts :
La programmabilité
Les smart contracts sont tout simplement des lignes de code informatique. Vous pouvez donc créer un smart contract pour exécuter n’importe quelle commande ou scénario basé sur des conditions spécifiques. C’est pourquoi les développeurs et les programmeurs de smart contracts sont actuellement très demandés sur le marché de l’emploi. En effet, la plupart des plateformes DeFi utilisent des contrats intelligents pour traiter des opérations complexes comme la gestion des frais de trading sur les pools de liquidités, l’ajustement des ratios APY/APR, etc.
La nature trustless
Les smart contracts hébergés sur la blockchain ne nécessitent aucune intervention humaine. Ils sont donc “trustless”, ce qui signifie qu’ils ne dépendent pas de la confiance humaine. Par exemple, si un protocole DeFi régi par un ou plusieurs smart contracts s’engage à vous restituer vos fonds une fois que leur valeur tombe en dessous d’un seuil prédéfini, aucune intervention humaine ne peut l’arrêter. En effet, le smart contract peut gérer lui-même le paiement, les performances, la gestion et l’application des règles.
L’autonomie
Comme expliqué plus haut, les smart contracts englobent un ensemble de commandes informatiques auto-exécutables. Ils peuvent donc gérer les paiements, les retraits, les dépôts, la pénalisation des validateurs malhonnêtes et plusieurs autres tâches de manière complètement autonome.
La sécurité
La création d’un smart contract nécessite l’utilisation de la cryptographie. En conséquence, les smart contracts sont extrêmement difficiles à pirater. Néanmoins, les failles de programmation et les bugs peuvent exposer ces contrats et leurs utilisateurs à des risques substantiels. D’où l’importance de l’audit de smart contracts que nous allons voir plus loin dans ce guide.
La vérifiabilité
Sachez enfin que les transactions traitées via des smart contracts sont auto-vérifiables. Le mécanisme d’auto-vérification donne aux smart contracts un grand avantage sur les contrats traditionnels régissant les institutions bancaires traditionnelles.
Ainsi, la prochaine fois que lirez un smart contract assurez-vous que sa documentation présente toutes les caractéristiques mentionnées ci-dessus.
Comment lire un smart contract ?
Passons maintenant aux choses sérieuses ! Voici un exemple de smart contract simple qui représente un compte séquestre (un compte qui bloque les fonds en attendant qu’une transaction soit exécutée). Les utilisateurs déposent leurs fonds dans le compte séquestre, qui les transmet ensuite au destinataire après un certain délai.
N. B : Étant donné que la quasi-totalité des smart contracts sont rédigés en anglais, nous avons évité de traduire les lignes de code, puisqu’elles restent invariables quelle que soit la langue que vous utilisez. Nous traduirons toutefois les lignes de commentaires (les lignes commençant par “//”) afin de vous aider à mieux comprendre et déchiffrer les contrats que vous trouverez sur les plateformes DeFi. Si vous ne comprenez pas tout au premier abord, pas de panique ! Nous allons vous expliquer ligne par ligne tous les smart contracts cités dans ce guide.
// SPDX-Identifiant-Licence : MIT
pragma solidity ^0.8.0;
// Modèle basique de contrat intelligent
contract SimpleTrustlessEscrow {
// Variables d’état
address public depositor; // Le compte qui dépose des ETH
address payable public beneficiary; // Le compte qui reçoit des ETH
uint256 public releaseTime; // Horodatage correspondant à la date de déverrouillage des ETH
// Les événements permettant de vérifier l’activité du contrat
event Deposited(address indexed _from, uint256 _value);
event Released(address indexed _to, uint256 _value);
// La fonction “constructor” lance le smart contract
constructor(address payable _beneficiary, uint256 _releaseTime) {
require(_releaseTime > block.timestamp, “Release time must be in the future”);
// Sécurisé et trustless : Le contrat lie le déposant et le bénéficiaire
depositor = msg.sender;
beneficiary = _beneficiary;
releaseTime = _releaseTime
}
// Fonctionnalité de dépôt – Exécution autonome (fallback function)
receive() external payable {
emit Deposited(msg.sender, msg.value);
}
// Envoyer les ETH au bénéficiaire
function release() public {
// Programmable: Ne peut être exécuté qu’après le “releaseTime”
require(block.timestamp >= releaseTime, “Il est encore trop tôt pour débloquer les fonds”);
// Autonome: S’exécute automatiquement lorsque les conditions sont remplies
uint256 amount = address(this).balance;
beneficiary.transfer(amount);
emit Released(beneficiary, amount);
}
}
Nous allons revenir sur les termes et les conditions de ce smart contract en détail dans le prochain chapitre, mais vérifions d’abord s’il répond à tous les critères mentionnés ci-dessus.
Est-il programmable ?
En regardant de près le smart contract, on trouve le code suivant :
require(block.timestamp >= releaseTime, “Il est encore trop tôt pour déverrouiller les fonds”);
uint256 amount = address(this).balance;
beneficiary.transfer(amount);
}
La première ligne signifie que le contrat ne peut pas déverrouiller les fonds avant une certaine date. La deuxième ligne représente le montant pouvant être verrouillé dans le smart contract. Enfin, la troisième ligne indique que le montant doit être transféré au bénéficiaire une fois la date d’échéance arrivée.
Compte tenu de tous les éléments ci-dessus, on peut dire que notre smart contract est programmable.
Est-il trustless ?
Voici un extrait du code ci-dessus :
depositor = msg.sender;
beneficiary = _beneficiary;
releaseTime = _releaseTime;
}
Dans le smart contract, toutes les opérations sont régies par un code informatique, du déposant (depositor) à la personne qui reçoit les fonds (beneficiary). Personne n’a besoin d’interagir avec l’autre ou de lui faire confiance, car la fonction de transfert de fonds est liée au “releaseTime”, un paramètre basé sur le code. Notre smart contract est donc trustless.
Est-il autonome ?
Voici la partie du code qui représente le processus de déblocage des fonds :
function release() public {
require(block.timestamp >= releaseTime, “Il est encore trop tôt pour débloquer les fonds”);
uint256 amount = address(this).balance;
beneficiary.transfer(amount);
emit Released(beneficiary, amount);
}
L’ensemble du processus s’effectue de manière complètement autonome, car les fonds ne sont libérés que lorsque le “releaseTime” répond à un certain critère. Le code de ce smart contract n’est donc pas partiellement programmable, mais entièrement autonome.
Les autres éléments du code du contrat, y compris la fonction de dépôt, peuvent également devenir complètement autonomes, si l’on y ajoute d’autres fonctionnalités. Vous pouvez par exemple demander au contrat d’envoyer 20 $ au bénéficiaire à chaque fois que le solde du wallet crypto du déposant dépasse 100 $.
Est-il sécurisé ?
La sécurité est sans aucun doute la première chose à vérifier avant d’utiliser un smart contract, voici comment procéder :
constructor(address payable _beneficiary, uint256 _releaseTime) {
require(_releaseTime > block.timestamp, “Release time must be in the future”);
depositor = msg.sender;
beneficiary = _beneficiary;
releaseTime = _releaseTime;
}
Comme vous l’aurez remarqué, la fonction releaseTime est contrôlée par un système d’horodatage (timestamp). Rien n’est aléatoire et les conditions doivent toujours être remplies avec l’exécution du contrat.
Est-il vérifiable ?
Chaque transaction associée au smart contract est enregistrée dans la blockchain. Ce, grâce à la fonction “uint256” qui permet de stocker des données publiques sur le réseau.
event Deposited(address indexed _from, uint256 _value);
event Released(address indexed _to, uint256 _value);
emit Deposited(msg.sender, msg.value);
emit Released(beneficiary, amount);
}Comment connaître le type d’un smart contract ?
Maintenant que nous avons vérifié les différentes caractéristiques de notre smart contract, voici les éléments à rechercher pour connaître son type et la manière dont il a été programmé :
Pragma Solidity ^0.8.0 ; – La version du langage de programmation Solidity qui a été utilisée pour écrire le smart contract.
// SPDX-License-Identifier : MIT – Appelé Software Package Data Exchange, cet identifiant indique la licence de la version du code. Il est conseillé de l’inclure pour faire savoir aux gens s’il s’agit d’un logiciel open source et s’il peut être modifié ou non.
Contract TimeLock { – Il s’agit tout simplement du nom qui été attribué au smart contract
Adresse publique du déposant ; – Étant donné que le contrat implique un déposant et un bénéficiaire, c’est ici qu’est mentionnée l’adresse publique du déposant. Cette variable représente donc l’adresse publique du wallet Ethereum du déposant.
Adresse publique du bénéficiaire ; – Il s’agit de l’adresse publique du bénéficiaire où le compte séquestre transfère les fonds.
Uint256 public releaseTime ; – Comme il s’agit d’un contrat limité dans le temps, la fonction “Uint256” concerne la variable temporelle. En d’autres termes, elle fixe la date à laquelles les fonds seront débloqués.
Notons que dans le langage Solidity, uint (entier non signé dans le jargon informatique) est une variable d’état qui permet d’attribuer des valeurs basées sur des nombres entiers. Le suffixe représente sa capacité de stockage.
Si vous souhaitez en savoir plus, nous vous invitons à lire la documentation de Solidity afin de vous familiariser avec la syntaxe, les expressions et les autres éléments de code.
Quels sont les autres éléments à vérifier ?
Constructor(address payable _beneficiary, uint256 _releaseTime) { – La fonction “constructor”, qui signifie littéralement “constructeur”, est une fonction spéciale qui s’exécute lorsque le smart contract est déployé. On peut donc dire que c’est cette fonction qui donne le premier coup d’envoi au contrat.
Receive() external payable { – Il s’agit d’une fonction spéciale qui s’exécute lorsque les fonds sont transférés de l’extérieur vers l’adresse du smart contract. Le mot “external” qui signifie ‘externe” indique que les fonds doivent provenir d’une source externe, tandis que le mot “payable” définit la nature de la transaction (en l’occurrence, le transfert de tokens ERC-20).
Function release() public { – Il s’agit d’une fonction publique qui enregistre publiquement le transfert des jetons ERC-20 du smart contract au bénéficiaire. Comme vous l’aurez compris, cette fonction dépend du “releaseTime”.
Sachez enfin que les fonctions utilisées peuvent varier d’un smart contract à l’autre. Assurez-vous donc de lire l’intégralité de la documentation de Solidity pour mieux comprendre le langage.
Quelle est la relation entre les dApps et les smart contracts ?
Comme vous l’aurez compris, les smart contracts vous permettent de programmer n’importe quel type d’application décentralisée (dApp).
Toutes les caractéristiques d’un smart contract, notamment la sécurité, l’autonomie et la programmabilité, sont nécessaires au développement des applications décentralisées. En d’autres termes, toutes les dApps utilisent des smart contracts afin de pouvoir effectuer plusieurs tâches sans aucune intervention humaine.
Quelle est la relation entre la blockchain Ethereum et les smart contracts ?
Comme vous le savez probablement déjà, Ethereum est la première blockchain de smart contracts au monde. Il existe toutefois d’autres blockchains alternatives qui proposent des outils de création de contrats intelligents aux développeurs.
Avant de passer aux autres blockchains, penchons-nous sur Ethereum, la plateforme de référence pour la plupart des développeurs de smart contracts.
Sur la blockchain de Vitalik Buterin, les smart contracts sont rédigés dans le langage de programmation Solidity. De même, la norme de tokens par défaut pour les smart contracts Ethereum s’appelle ERC-20.
Vous pouvez revenir au smart contract cité plus haut dans ce guide pour voir comment sont rédigés les contrats intelligents de la blockchain Ethereum.
Sachez également que même le lancement d’un jeton ERC-20 sur la blockchain Ethereum nécessite la création d’un smart contract.
Supposons que vous souhaitez créer un token ERC-20 appelé “BIC”. Dans ce cas, voici le code avec lequel vous devez commencer votre smart contract :
pragma solidity ^0.8.0;
import "@openzeppelin/contracts/token/ERC20/ERC20.sol";
contract BICToken is ERC20 {
constructor(uint256 initialSupply) ERC20("BIC Token", "BIC") {
_mint(msg.sender, initialSupply);
}Qu’en est-il des autres blockchains ?
Outre Ethereum, vous pouvez créer des smart contracts sur des plateformes comme Solana, en utilisant Rust et Cardano, en utilisant Plutus, une variante du langage de programmation Haskell.
Voici à quoi ressemble une structure de code dans Rust (Solana) :
N.B : Ceci est un simple contrat intelligent doté d’un compteur
use anchor_lang::prelude::*;
declare_id!(“Fg6PaFpoGXkYsidMpWTK6W2BeZ7FEfcYkg476zPFsLnS”);
#[program]
pub mod hello_world {
use super::*;
pub fn initialize(ctx: Context<Initialize>) -> ProgramResult {
let greeting_account = &mut ctx.accounts.greeting_account;
greeting_account.counter = 0;
Ok(())
}
pub fn increment(ctx: Context<Increment>) -> ProgramResult {
let greeting_account = &mut ctx.accounts.greeting_account;
greeting_account.counter += 1;
Ok(())
}
}Le saviez-vous ? Outre le langage Rust, les développeurs Solana utilisent le framework Anchor pour créer des smart contracts. En effet, la création de smart contracts Rust nécessite l’extraction de plusieurs modules du framework Anchor, qui représente la première ligne de notre exemple de code (use anchor_lang :: prelude :: *;).
La documentation Solana vous aidera à mieux comprendre le langage de programmation Rust.
De même, Cardano utilise Plutus comme langage de programmation par défaut, tandis que Polkadot utilise Ink!. De leur côté, Algorand et NEO utilisent les langages TEAL et C #. Avant de créer un smart contract, vous devez lire la documentation entière de la blockchain sur lequel vous souhaitez le lancer.
Pourquoi devriez-vous apprendre à lire des smart contracts ?
La compréhension des smart contracts crypto peut vous apporter de nombreux avantages, notamment :
- En savoir plus sur les complexités de l’automatisation associées aux applications DeFi.
- Analyser les normes de propriété associées à la tokenisation des actifs.
- Comprendre le fonctionnement des organisations autonomes décentralisées (DAO).
- Comprendre la logique derrière la monétisation du contenu, les systèmes de vote, les royalties, les tokens, etc.
Comment créer un smart contract ?
Maintenant que vous savez comment lire un smart contract, vous vous demandez probablement comment en créer un. Avant de plonger dans les détails, il convient de rappeler que les normes et langages de programmation varient d’une blockchain à l’autre. Dans un premier temps, nous vous conseillons de vous focaliser sur une seule blockchain, avant de passer à d’autres réseaux lorsque vous aurez acquis suffisamment de connaissances techniques.
Pour ce guide, nous allons nous concentrer uniquement sur la blockchain Ethereum et son langage de programmation Solidity.
Comme vous l’aurez sans doute compris, la création d’un smart contract est incontestablement l’étape la plus importante du développement d’une application décentralisée. Avant de vous lancer dans le développement de contrats intelligents sur Ethereum ou toute autre blockchain, vous devez avoir une certaine expérience dans les langages de programmation basiques comme Javascript.
En effet, la programmation d’un smart contract vous permet non seulement d’automatiser un processus, mais également de le sécuriser, de l’optimiser et même le rendre interopérable si nécessaire.
Avant de vous apprendre comment créer un smart contract, il convient de rappeler le fonctionnement de la machine virtuelle d’Ethereum (EVM).
Comment fonctionne la machine virtuelle d’Ethereum (EVM) ?
Vous ne pouvez pas créer un smart contract sans comprendre le fonctionnement de la machine virtuelle Ethereum (EVM). Pour commencer, EVM, ou Ethereum Virtual Machine, est une machine qui permet l’implémentation d’applications décentralisées sur la blockchain Ethereum. Vous pouvez la considérer comme un ordinateur mondial qui héberge chaque élément de code rédigé sur la blockchain Ethereum.
Une fois que vous créez une application en Solidity, qui est un langage de haut niveau, vous devez la traduire en bytecode (un format basique et compréhensible par la machine virtuelle d’Ethereum). Ce bytecode entre dans la blockchain Ethereum et y reste pour toujours. Ainsi, toute personne interagissant avec le smart contract doit lui envoyer une transaction.
Chaque node (nœud) de la blockchain Ethereum peut voir cette transaction, et une fois qu’elle est approuvée par les validateurs, le code du smart contract s’exécute de manière automatique. Étant donné que tous les nodes peuvent accéder à l’historique des transactions, rien ne peut être modifié et le code s’exécute tel qu’il a été écrit. Et une fois le code exécuté, l’état de la blockchain change.
Que faut-il savoir avant de créer un smart contract ?
La rédaction d’un smart contract nécessite un savoir-faire technique. En d’autres termes, vous devez comprendre le fonctionnement de la technologie blockchain, les langages de programmation spécifiques à la blockchain que vous utilisez, le concept d’interopérabilité, etc. Vous devez également être en mesure de détecter les failles de smart contracts et de tester les codes que vous rédigez.
Pour récapituler, voici les étapes à suivre pour créer un smart contract :
- Commencez par choisir la plateforme ou la blockchain avec laquelle vous souhaitez travailler.
- Ensuite, apprenez le langage de programmation associé à cette blockchain (par exemple, Solidity pour Ethereum).
- Apprenez à utiliser des outils de développement comme l’environnement de développement intégré de Remix.
- Commencez par rédiger votre premier contrat, puis testez-le sur un testnet.
- Si tout se passe bien, vous pouvez le déployer sur le mainnet. N’oubliez pas que le déploiement d’un smart contract sur la blockchain nécessite le paiement de frais de gaz.
Comment créer un smart contract sur Ethereum ?
Même si Solana et Cardano permettent également la création de smart contracts, Ethereum est loin la blockchain la plus utilisée par les développeurs d’applications DeFi.
Le saviez-vous ? Rien qu’en 2022, plus de 100 000 applications décentralisées ont été lancées sur le réseau Ethereum.
En plus d’avoir une énorme communauté de développeurs, Ethereum utilise le langage de programmation Solidity. Ce dernier est relativement facile pour les personnes ayant des connaissances en Python ou JavaScript. Enfin, la machine virtuelle Ethereum (EVM) permet d’exécuter les smart contracts de façon très simple.
Sans plus tarder, voici les connaissances de base que vous devriez avoir pour créer un smart contract avec le langage de programmation Solidity :
- “Pragmas” ou versions du compilateur
- Définition des contrats
- Variables d’état pour le stockage des données
- Événements nécessaires à l’utilisation de l’EVM
- Modificateurs pour donner des droits spécifiques à des entités spécifiques
- Fonctions ou activités des smart contracts
- Options d’interopérabilité
- Compréhension des structures de contrôle (comme if, else, for loops, etc) et les types de données (comme string, integer, etc).
Comment créer votre premier smart contract en Solidity ?
Maintenant que vous savez comment fonctionne un smart contract, voyons comment vous pouvez en créer un. Même si “Hello World” reste la première étape, nous allons commencer par créer un smart contract pour lancer un token BIC avec une offre d’un million de pièces. Notez que 100% des jetons seront débloqués dès le lancement de la crypto BIC.
Pour cela, nous allons installer la dernière version deNode.js et du NPM ou Node Package Manager. Ces derniers nous aideront à définir l’interface Web de notre smart contract.
Ensuite, nous allons définir un IDE pour écrire le code du contrat. Pour cela, vous pouvez rapidement installer Visual Studio Code, ou passer directement à Alchemy, une plateforme de développement blockchain. Avec Alchemy, vous pouvez obtenir de “faux ETH” sur le testnet. Ces derniers vous permettront de payer les frais de gaz lorsque vous lancerez le smart contract sur le testnet Goerli ou Sepolia.
Notez que le testnet Sepolia est plus récent que Goerli. Il nécessite donc moins d’espace de bloc pour le déploiement des nœuds. Cela dit, nous allons tout de même utiliser le testnet Goerli, car la plupart des développeurs l’utilisent pour tester leurs applications.
Maintenant que nous avons notre testnet et nos faux ETH, passons à la rédaction du smart contract. Voici un extrait du code d’un smart contract visant à créer un token ERC-20 appelé BIC avec une offre fixe de 1 million de pièces :
pragma solidity ^0.8.0;
import "@openzeppelin/contracts/token/ERC20/ERC20.sol";
contract BICToken is ERC20 {
constructor() ERC20("BIC Token", "BIC") {
_mint(msg.sender, 1000000 * 10 ** decimals());
}
}N.B : Pour cette démonstration, nous allons déployer notre contrat intelligent localement sur MacOS et non pas sur le testnet.
Quelles sont les étapes à suivre pour créer et déployer un smart contract ?
Si vous avez bien suivi les différentes étapes de ce guide, vous devriez facilement comprendre ce que signifie chaque ligne du contrat ci-dessous :
pragma solidity ^0.8.0;
import "@openzeppelin/contracts/token/ERC20/ERC20.sol";
contract BICToken is ERC20 {
constructor() ERC20("BIC Token", "BIC") {
_mint(msg.sender, 1000000 * 10 ** decimals());
}
}La partie Openzepplin est la bibliothèque qui permet d’importer des smart contracts ERC-20. Elle est compatible avec les tokens ERC-20 de la blockchain Ethereum.
La fonction “mint” représente l’offre initiale du token, laquelle sera envoyée à l’adresse du contrat intelligent ou au “msg.sender”.
Pour configurer ce code et le tester, nous aurons besoin de trois composants, à savoir :
- Node.js et NPM : fonctionnent comme un moteur pour alimenter nos smart contracts.
- Truffle : fonctionne comme une boîte à outils qui vous aide à organiser le code, les scripts et les autres parties du contrat.
- Ganache : fonctionne comme une machine virtuelle (vous pouvez le considérer comme votre propre blockchain).
Comment s’exécute un smart contract ?
Pour créer un smart contract, il est important de savoir comment il s’exécute sur la blockchain. Sans plus tarder, voici les différentes étapes de l’exécution d’un smart contract sur la blockchain :
- Le code que nous avons écrit doit être exécuté quelque part, n’est-ce pas ? Dans le cas des smart contracts, le lieu d’exécution est la blockchain. Les nœuds ou les validateurs de la blockchain aident les développeurs à exécuter leurs contrats.
- Les nodes acceptent d’exécuter les codes des smart contracts en contrepartie d’une récompense. Chaque commande ou action qui se produit au sein de la blockchain est dirigée par des contrats intelligents.
- Chaque smart contract a une adresse spécifique. Ainsi, tous les tokens sont envoyés à l’adresse du contrat. Notez que chaque node de la blockchain Ethereum exécute l’EVM, qui enregistre ensuite une copie du smart contract, rendant ainsi les transactions blockchain plus transparentes.
- Les transactions impliquant le smart contract sont validées par les nodes de validation.
- Une fois que la transaction est validée, elle devient une partie de la blockchain. La fonction de smart contract associée à la transaction est ensuite appelée et exécutée sur les nodes de la blockchain.
- Tous les nodes exécutant un smart contract doivent parvenir à la même conclusion. C’est pourquoi on dit que les smart contracts sont transparents et trustless.
N.B : Toute erreur dans l’exécution du code ou le paiement des frais de gaz annule les transactions. C’est exactement ce qui se passe avec les flash loans lorsque l’incapacité de l’emprunteur à respecter les termes du contrat annule toute la transaction.
Chaque changement d’état du code d’un smart contract est enregistré sur la blockchain. Il devient donc un élément immuable.
Quelles sont les bonnes pratiques à adopter ?
Pour créer un smart contract dans les règles de l’art, voici quelques bonnes pratiques à adopter :
- Lors de la rédaction d’un contrat, il est préférable d’utiliser des bibliothèques de confiance comme celles d’OpenZeppelin. Ce, afin d’assurer l’optimisation du code et le respect des normes de sécurité.
- Gardez à l’esprit que votre smart contract doit avant tout être facile à tester et à auditer.
- Nous vous conseillons également de mettre en place des contrôles d’accès spécifiques au contrat. Idéalement, une seule personne doit avoir la capacité de modifier les smart contracts crypto.
- Lors de la rédaction d’un contrat, prenez toujours les précautions nécessaires pour gérer les cas extrêmes et les exceptions.
Comment optimiser vos smart contracts crypto ?
Que signifie l’optimisation d’un smart contract ? Eh bien, il s’agit tout simplement d’un processus qui vise à rendre votre contrat aussi facile à exécuter que possible. En d’autres termes, un smart contract bien optimisé est un contrat qui peut être facilement exécuté sans consommer beaucoup de puissance de calcul.
Voici donc quelques étapes à suivre pour optimiser vos smart contracts crypto :
- Utilisez efficacement l’espace de stockage en utilisant des ensembles de données plus petits. Par exemple, lors de la rédaction d’un contrat, préférez la valeur d’état “uint8” à la valeur d’état “uint256”.
- Lors de la rédaction d’un smart contract, il est conseillé d’optimiser le code en combinant plusieurs opérations en une seule.
- Pensez à utiliser la fonctionnalité de “Lazy Execution”. Cette dernière permet au smart contract de n’exécuter les commandes que dans les cas où elles sont indispensables.
- Enfin, vous pouvez lier votre smart contract à des plateformes off-chain afin de réduire la consommation de gaz et accélérer la vitesse d’exécution.
Maintenant que nous avons vu comment fonctionne un smart contract, comment le lire et comment le déployer, passons à la partie la plus importante de ce guide, à savoir : l’audit des smart contracts crypto.
Comment auditer un smart contract crypto ?
Tout smart contract déployé sur un réseau blockchain est exposé à des risques de sécurité. En effet, une seule faille peut exposer le smart contract et ses utilisateurs à des risques substantiels. C’est là que l’audit entre en jeu.
Comme son nom l’indique, l’audit des smart contracts crypto consiste à vérifier chaque ligne de code afin de s’assurer que le contrat est complètement à l’abri des attaques. Vu la nature immuable de la blockchain, les hacks et les vols sont irréversibles. D’où l’importance d’auditer méticuleusement les smart contracts que vous utilisez.
L’auditeur du smart contract doit être en mesure de détecter toutes les failles susceptibles de mettre les fonds des utilisateurs en danger. Il doit donc vérifier les liaisons du contrat avec les autres contrats disponibles sur le réseau, les personnes qui peuvent y accéder, les modifications qui peuvent être apportées au code, etc.
En 2016, la DAO Ethereum a subi une Reentrancy Attack (une attaque qui se produit lorsqu’une fonction spécifique sur un smart contract appelle une fonction d’un autre contrat non vérifié), qui lui a valu près de 3,6 millions d’ETH. Un an plus tard, le smart contract du portefeuille Parity a perdu 500 000 ETH à cause d’un hack. Toutes ces attaques auraient pu être évitées avec une bonne stratégie d’audit.
Quelles sont les différentes méthodes d’audit de smart contracts ?
Il existe plusieurs façons d’auditer un smart contract crypto. Les voici :
Utiliser des outils d’analyse de smart contracts
Parmi les outils d’analyse de smart contracts crypto les plus populaires, on peut citer : Securify et Mythril. Ces derniers effectuent une analyse statique du code afin de détecter les failles les plus courantes et aider les développeurs à y remédier.
Réviser le code
La meilleure méthode à utiliser pour détecter les failles complexes est de réviser le code ligne par ligne. Bien qu’il s’agisse d’un processus long et fastidieux, l’audit manuel du code vous permet de comprendre la logique et le fonctionnement du smart contract de manière très approfondie.
Effectuer des scans automatiques
Certains outils, comme Snyk et GuardRails, vous permettent d’effectuer des scans automatiques à chaque fois que vous modifiez le code de vos smart contracts crypto. De cette façon, vous pouvez vérifier la sécurité de vos contrats après chaque modification, ce qui vous évitera de réviser l’ensemble du code en cas de détection d’une faille.
Faire une vérification formelle
La vérification formelle est un processus complexe qui repose uniquement sur la vérification de la logique du code. En effet, ce processus n’est pas destiné à vérifier la syntaxe, mais plutôt la logique du smart contract.
En plus des méthodes mentionnées ci-dessus, les smart contracts peuvent également être audités par des hackers éthiques ou des plateformes tierces. Par ailleurs, de nombreuses entreprises offrent des primes aux bugs aux hackers éthiques qui parviennent à détecter les failles de smart contracts crypto.
Comment réviser le code d’un smart contract ?
Sachez qu’il existe deux façons de réviser le code d’un smart contract crypto, notamment :
L’analyse statique
Cette méthode permet d’identifier les failles de sécurité basiques, les erreurs de codage et les autres problèmes de programmation. Elle permet également de mesurer le risque d’appels non contrôlés vers des sources externes, les variables d’état erronées, etc. Le plus grand avantage de cette méthode est que vous n’avez pas besoin d’exécuter le code pour le vérifier.
L’analyse dynamique
Pour utiliser cette méthode, vous devez exécuter le code sur la machine virtuelle d’Ethereum (EVM). Ainsi, plutôt que d’analyser uniquement le code, l’analyse dynamique permet d’évaluer la réponse des smart contracts à différents types de commandes. Elle vous aide donc à identifier certaines failles classiques, comme les problèmes de logique, la consommation excessive du gaz, etc.
Notez que les environnements blockchain comme Ganache peuvent fonctionner comme des plateformes d’analyse dynamiques, permettant aux développeurs d’effectuer des transactions, d’exécuter des commandes et de tester tous les éléments de leurs contrats.
Exemple de correction du code d’un smart contract
Voici un extrait du code d’un smart contract qui fonctionne comme un compte de stockage de fonds et qui propose une fonctionnalité de retrait :
pragma solidity ^0.6.1;
contract VulnerableContract {
mapping(address => uint256) public balances;
function deposit() public payable {
balances[msg.sender] += msg.value;
}
function withdraw(uint256 _amount) public {
require(balances[msg.sender] >= _amount, "Insufficient balance.");
(bool success, ) = msg.sender.call{value: _amount}("");
require(success, "Transfer failed.");
balances[msg.sender] -= _amount;
}
}Si vous regardez de près le code, vous remarquerez une faille importante.
En effet, la fonction “withdraw”, qui signifie “retirer”, peut être exécutée à nouveau si l’entité qui reçoit les fonds est également un smart contract. Par conséquent, avant que le solde soit mis à jour, les acteurs malveillants peuvent mener une “Reentrancy Attack” pour recevoir des fonds supplémentaires.
Pour éviter une telle attaque, il suffit de corriger quelques lignes de code. Voici donc le correctif de cette faille :
function withdraw(uint256 _amount) public {
require(balances[msg.sender] >= _amount, "Insufficient balance.");
balances[msg.sender] -= _amount;
(bool success, ) = msg.sender.call{value: _amount}("");
require(success, “Transfer failed.”);
}Pour faire simple, nous avons demandé au smart contract d’exécuter la fonction de mise à jour du solde en premier, avant de transférer les fonds à l’utilisateur. De cette façon, aucun acteur malveillant ne pourra retirer des fonds supplémentaires.
Comment auditer les smart contracts des blockchains alternatives ?
Certes, Ethereum est la première blockchain à avoir introduit le concept des smart contracts crypto. Cependant, il existe d’autres blockchains alternatives, comme Cardano, Solana, etc. qui prennent en charge les smart contracts et qui nécessitent des normes d’audit différentes.
En effet, chaque blockchain utilise ses propres langages de programmation, ce qui signifie que les smart contracts sont différents d’un réseau blockchain à l’autre. Par exemple, Ethereum utilise Solidity, tandis que Polkadot utilise Ink et Rust. Chacun de ces langages nécessite des normes d’audit spécifiques.
Si vous souhaitez créer votre premier smart contract sur une blockchain alternative, sachez que vous pouvez utiliser un large éventail d’outils de développement. Par exemple, sur Cardano, vous pouvez utiliser le logiciel Marlowe qui permet de vérifier le code et de détecter les failles de sécurité. De même, sur Solana, vous pouvez utiliser libfuzzer et cargo-fuzz spécifiques pour auditer les contrats rédigés en Rust.
Existe-t-il d’autres méthodes d’audit ?
Il existe trois types d’audit de smart contracts : manuel, automatique et hybride. Cependant, la plupart des développeurs préfèrent les stratégies d’audit hybrides, car celles-ci sont généralement plus complètes.
De même, si vous n’avez pas suffisamment de connaissances techniques, vous pouvez confier l’audit de vos smart contracts crypto à des entreprises spécialisées. Certains développeurs utilisent des outils IA, comme ChatGPT, pour rédiger leurs smart contracts. Bien que ces outils peuvent vous aider à créer des smart contracts complets, leur utilisation reste extrêmement risquée. D’où l’importance de l’audit.
Cela dit, avant de confier l’audit de vos smart contracts à une entreprise spécialisée, nous vous conseillons de faire des recherches approfondies sur son mode de fonctionnement, son historique, ses clients et son équipe. De même, vous devez vous assurer de la qualité des audits réalisés par l’entreprise.
Sachez enfin que le coût d’un audit peut varier d’une entreprise à l’autre. Nous vous recommandons donc de demander des devis à plusieurs entreprises et de les comparer afin de faire le meilleur choix.
Les règles d’or à suivre pour auditer un smart contract
Comme vous l’aurez compris, l’audit d’un smart contract est beaucoup plus important que sa création. Voici donc quelques règles à suivre pour réussir vos audits :
- Analysez tous les aspects du code, y compris sa logique, sa syntaxe, etc.
- Commencez toujours par rechercher les failles courantes avec des outils comme Slither, MythX, etc.
- Jetez un coup d’œil au Smart Contract Weakness Classification Registry (SWC) pour identifier les failles les plus courantes et les rechercher en premier.
- Testez vos smart contracts sur des testnets et essayez de penser à tous les scénarios possibles.
- Afin d’éviter les fameuses Reentrancy Attacks, assurez-vous de vérifier les algorithmes récursifs que les hackers peuvent déclencher avant l’exécution du smart contract.
- Focalisez-vous sur les fonctions qui conduisent à des appels externes. En effet, ces fonctions sont à l’origine de la plupart des attaques de smart contracts.
- Gardez toujours un œil sur les bits de code qui représentent la consommation de gaz. De cette façon, vous éviterez de payer des frais de gaz astronomiques à la blockchain que vous utilisez.
Pour conclure
Les outils d’intelligence artificielle peuvent simplifier la création de smart contracts crypto. Cependant, malgré leurs fonctionnalités avancées, ces outils ne peuvent pas remplacer les développeurs, surtout en matière d’audit.
Par conséquent, si vous envisagez de créer un smart contract, nous vous conseillons de consacrer du temps à l’apprentissage de certains langages de programmation, comme Python, JavScript et Solidity. De même, nous vous recommandons d’auditer régulièrement vos smart contracts pour éviter d’exposer leurs utilisateurs à des attaques.
Et enfin, gardez à l’esprit que l’audit est l’étape la plus importante de la création d’un smart contract.
Foire aux questions (FAQ)
Comment créer un smart contract ?
Quel langage de programmation utiliser pour rédiger des smart contracts ?
Les smart contracts sont-ils programmés en Solidity ?
Comment auditer un smart contract ?
Comment lire un smart contract ?
Quelle est la première étape d’un audit de smart contract ?
Trusted
Avis de non-responsabilité
Avis de non-responsabilité : Conformément aux directives de The Trust Project, le contenu éducatif de ce site est proposé de bonne foi et à des fins d'information générale uniquement. BeInCrypto a pour priorité de fournir des informations de haute qualité, en consacrant du temps à la recherche et à la création d'un contenu informatif pour les lecteurs. Bien que des partenaires puissent récompenser l'entreprise avec des commissions pour des placements dans les articles, ces commissions n'influencent pas le processus de création de contenu impartial, honnête et utile. Toute action entreprise par le lecteur sur la base de ces informations se fait strictement à ses propres risques.
