CertiK valorisation à 2 milliards d'USD en course pour une IPO ! Les professionnels du secteur dénoncent : ils préfèrent donner de l'argent à Kim Jong-un plutôt que de collaborer

La société de cybersécurité blockchain CertiK évalue actuellement une IPO, son fondateur Gu Ronghui la qualifiant lors du Forum économique mondial de Davos de « poursuite d’une orientation ». En 2022, la valorisation atteignait 2 milliards de dollars, avec Binance comme principal investisseur. La fuite de cette information a déclenché une réaction, le fondateur de Pumpcade déclarant « je préférerais donner de l’argent à Kim Jong-un plutôt que de coopérer », en évoquant notamment des accusations telles que l’incident Kraken de 3 millions, l’entrée de fonds dans Tornado Cash, la soumission de rapports de vulnérabilités avant les chercheurs, et des pressions pour des évaluations faibles.

Le fondateur de CertiK confirme en personne l’objectif IPO à Davos

Ronghui Gu, co-fondateur de CertiK et professeur associé en informatique à l’Université Columbia, a récemment déclaré lors du Forum économique mondial de Davos que la société évaluait la faisabilité d’une introduction en bourse. Gu Ronghui a indiqué : « Nous n’avons pas encore de plan très précis pour une IPO, mais c’est effectivement la direction que nous poursuivons. »

Fondée en 2018 et basée à New York, CertiK se spécialise dans l’audit de contrats intelligents blockchain et les services de cybersécurité. Gu Ronghui souligne que le marché attend toujours des exemples d’entreprises Web3 natives en bourse, notamment dans les couches d’infrastructure, et que CertiK vise à devenir la première société de cybersécurité Web3 cotée. Ce positionnement est très attractif, car le marché de la cybersécurité Web3 est vaste et en croissance continue, mais aucune société n’est encore cotée sur une bourse traditionnelle.

Le label de « première cotation » possède un fort pouvoir d’attraction dans le marché des capitaux. Il signifie non seulement ouvrir la voie, mais aussi permettre d’obtenir une prime de valorisation sans concurrence directe. Les investisseurs sont souvent prêts à payer plus cher pour le « premier », symbole de leadership sectoriel et de potentiel de croissance futur. Cependant, être le premier implique aussi de faire face à une surveillance plus rigoureuse et à des attentes plus élevées.

La dernière levée de fonds de CertiK remonte à 2022, avec un tour de série B de 88 millions de dollars, valorisant la société à 2 milliards de dollars, mené conjointement par Insight Partners, Tiger Global et Advent International. Par la suite, une autre levée de 60 millions de dollars a été réalisée, avec Tiger Global et SoftBank Vision Fund comme investisseurs. Le soutien de ces institutions de premier plan confère une crédibilité à l’IPO de CertiK.

Gu Ronghui admet également que Binance a été le premier et le plus grand investisseur de CertiK. Plus tôt cette année, CertiK a annoncé un partenariat stratégique avec YZi Labs, le family office du fondateur de Binance CZ, et a reçu un investissement de plusieurs dizaines de millions de dollars. Cette relation étroite avec Binance est à la fois un avantage et un risque. L’avantage réside dans la vaste base de clients et l’influence sectorielle de Binance, le risque dans le fait que si Binance rencontre des problèmes réglementaires à l’avenir, CertiK pourrait également en faire les frais.

Le fondateur de Pumpcade lance une offensive contre l’industrie

Cependant, après la fuite du projet d’IPO de CertiK, la réaction de la communauté a été immédiate. Pop Punk, fondateur de Pumpcade, a déclaré : « La cotation de CertiK est un événement extrêmement négatif pour toute l’industrie. » Il a évoqué plusieurs accusations, notamment : après l’incident impliquant un employé de Kraken et une vulnérabilité exploitée, des fonds ont été transférés vers Tornado Cash ; la plateforme a collecté des rapports de vulnérabilités, puis les a utilisés pour les soumettre en priorité sur des plateformes de bug bounty, avant de supprimer les preuves ; elle aurait également attribué des « évaluations de sécurité déraisonnablement faibles » à des entreprises non partenaires, exerçant une pression commerciale.

Ces accusations ne sont pas nouvelles. Pop Punk affirme que son ancienne société a été notée très basse parce qu’elle n’a pas payé CertiK, alors qu’elle avait déjà fait auditer ses systèmes par trois autres sociétés de cybersécurité. Il déclare : « Je préférerais donner de l’argent directement à Kim Jong-un plutôt que de collaborer avec vous. » Bien que ces propos soient extrêmes et émotionnels, ils reflètent le mécontentement de certains acteurs du secteur face aux pratiques commerciales de CertiK.

L’accusation de « faibles évaluations de sécurité déraisonnables » met en lumière un potentiel conflit d’intérêts dans le secteur de l’évaluation de la cybersécurité. Les sociétés de cybersécurité offrent à la fois des audits payants et des évaluations publiques gratuites, ce qui peut créer des risques éthiques. Si une société donne une mauvaise note à un projet non payé pour le forcer à acheter un audit, cela ressemble à du chantage. Cependant, il est difficile de prouver ces accusations, car les critères d’évaluation sont souvent subjectifs, et CertiK peut arguer que ses évaluations sont basées sur des standards techniques objectifs.

L’accusation de « soumission préalable de rapports de vulnérabilités » est encore plus grave. Si elle est avérée, cela signifierait que CertiK aurait utilisé sa plateforme pour collecter des découvertes de chercheurs en sécurité, puis aurait soumis ces vulnérabilités sous son propre nom pour en tirer des récompenses, ce qui serait non éthique et pourrait constituer un vol de propriété intellectuelle. La suppression de preuves par la suite renforce cette suspicion, suggérant une tentative de dissimulation.

Si ces accusations sont approfondies lors de l’IPO, elles pourraient constituer un obstacle majeur à la cotation. La SEC américaine mène des enquêtes très strictes sur la diligence raisonnable des sociétés en phase d’introduction en bourse. Tout problème éthique ou risque juridique important pourrait entraîner un rejet ou un report de l’IPO.

Le litige de 3 millions de dollars avec Kraken, un point clé de la défiance

En 2024, le différend de 3 millions de dollars entre CertiK et Kraken reste considéré comme un tournant dans l’industrie. Kraken accuse ce qu’il qualifie de « comportement de recherche white hat » d’être une forme de chantage et de retrait non autorisé de fonds ; CertiK réplique en accusant Kraken de menaces envers les chercheurs, chaque partie campant sur ses positions.

L’incident a débuté lorsque des chercheurs de CertiK ont découvert une vulnérabilité sur la plateforme Kraken, permettant d’augmenter le solde d’un compte sans dépôt réel. Ils ont exploité cette faille à plusieurs reprises, réalisant un retrait total d’environ 3 millions de dollars. CertiK affirme que c’était une recherche de sécurité légitime, visant à démontrer la gravité de la vulnérabilité. Kraken considère que cela dépasse la recherche white hat et constitue un vol et un chantage, car CertiK a effectué le retrait avant d’en informer Kraken, laissant entendre qu’il fallait discuter d’un programme de récompenses.

Bien que l’argent ait été finalement remboursé intégralement, la controverse sur l’utilisation de Tornado Cash pour dissimuler les fonds, la circulation de fonds suspects, et la frontière entre recherche légitime et activité illicite, ont alimenté le doute sur la légitimité de CertiK. La plateforme Tornado Cash, sur Ethereum, est largement utilisée pour anonymiser les transactions, mais son usage dans ce contexte soulève des questions éthiques. La recherche de sécurité légitime ne devrait pas recourir à des outils de blanchiment.

Après cet incident, la réputation de CertiK a été gravement entamée. De nombreux projets ont commencé à remettre en question la crédibilité et l’indépendance des audits CertiK. Certaines bourses et investisseurs ont même déclaré ne plus accepter leurs audits comme garantie de sécurité. Cette fracture de confiance devient encore plus sensible dans le contexte d’une IPO, où la réputation de l’entreprise est un facteur clé pour les investisseurs.

L’IPO peut-elle passer le double test du marché et de la confiance sectorielle ?

Dans le marché traditionnel, CertiK dispose d’un modèle économique clair, du soutien d’investisseurs renommés, et d’un sujet de cotation très recherché : la cybersécurité Web3. Cependant, dans l’univers crypto, le déficit de confiance et les controverses passées restent des ombres difficiles à dissiper. La divergence entre l’évaluation interne et externe rend l’avenir de l’IPO incertain.

Du point de vue du marché, les fondamentaux de CertiK sont solides. La cybersécurité Web3 est un secteur en croissance certaine, avec la multiplication des applications blockchain. La société a audité des milliers de projets, possède une large base de clients et une forte notoriété. La valorisation de 2 milliards de dollars n’est pas excessive dans le contexte des infrastructures Web3. Le soutien de Tiger Global et de SoftBank renforce la confiance dans ses perspectives financières et sa croissance.

Néanmoins, les critiques internes pourraient poser problème lors de la due diligence. Les banques d’investissement examineront en détail la réputation, la conformité légale, et les comportements commerciaux. Si l’enquête sur l’incident Kraken ou d’autres accusations révèle des éléments problématiques, cela pourrait retarder ou compromettre l’IPO. De plus, si une majorité d’acteurs du secteur expriment publiquement leur opposition, cela pourrait dissuader certains investisseurs institutionnels.