Trouvez la faille qui déplace l'argent.

C'est un petit échantillon de cinq concours, pas une preuve de supériorité générale. La colonne Scorpio a été mesurée le 9 septembre 2026 avec le moteur 890777033a8fc952…, sur trois exécutions identiques. L'empreinte du moteur déployé est affichée en haut de cette page : si elle ne correspond pas, la mesure vient d'un moteur antérieur et n'a pas été refaite avec celui d'aujourd'hui. Celle de Slither vient de sa version 0.11.5 sur les mêmes cas figés, mesurée le 6 septembre ; Slither n'a pas changé entre les deux dates.

Ce que sont les 14 qui n'ont pas été appariées, car les appeler «incorrectes» serait inexact : quatre sont de sévérité informative — trois avis sur un contrat sans événements et une note sur les hypothèses du jeton —, du contexte que le moteur livre à dessein et qui ne concourt pas dans une liste de vulnérabilités ; trois disent quelque chose de vrai sur le code, à savoir que la valeur renvoyée par un transfert ERC-20 n'est pas vérifiée, ce que le concours n'a pas retenu comme constat ; et une est un interrupteur à sens unique que le moteur signale comme soupçon, parce que c'est à une personne de décider si c'était voulu.

Des six restantes, cinq sont la même faille qu'une entrée de la liste officielle, sous un autre nom. Le comparateur n'apparie que si le détecteur porte le même nom que la famille de l'étiquette ; alors, quand le moteur trouve bien la faille mais la nomme par sa cause plutôt que par son effet, le décompte le pénalise deux fois : l'étiquette est comptée comme non trouvée et le constat comme incorrect. Les cinq paires ont été vérifiées une par une, sur le même contrat et, dans quatre cas, sur la même fonction : le verrou qui ne se referme jamais dans refund est la réentrance de CH-05 ; le délai que l'on peut réécrire est CH-07 ; le parcours sans plafond de claimants est MC-08 ; la signature qui n'attache pas l'implémentation est SP-01 ; et le condensé sans typehash est SP-02. La sixième dit quelque chose de vrai que la liste ne recense pas.

Cette attribution est manuelle et partiale : elle a été faite par celui qui travaille sur le moteur. C'est pourquoi les chiffres qui font foi sur cette page restent ceux de la machine. En comptant les cinq paires admises, on obtiendrait 17 appariés et 9 non appariés, soit 65,4 % de précision et 35,4 % de couverture. C'est dit pour qu'on voie d'où vient l'écart, pas pour le porter au crédit.