Sécurité
9 revues de sécurité sont archivées. Aucun rapport n’est mis en ligne, ni ceux de l’audit externe ni les nôtres. Les rapports existent, ils sont communiqués sur demande. Le risque résiduel principal est publié. Les 6 pools de stratégie en service, le Pass d’accès et son pont sont en rodage. Pendant leur période de rodage, ces contrats appartiennent à la clé de déploiement du protocole. Leur propriété passera ensuite au multisig. Les autres contrats appartiennent au multisig. Celui-ci n’a aujourd’hui qu’un seul signataire. Tous les contrats sont publics et vérifiables sur .
Revues archivées
9 revues sont archivées. Aucun rapport n’est mis en ligne. Les rapports sont communiqués sur demande. Le détail passe par passe figure sur la page Audits.
Constats ouverts
Au 25 juillet 2026, sur les contrats revus à cette date, aucun constat critique ni majeur de nature technique n’était ouvert. Les contrats mis en service depuis sont décrits sur la page Audits.
Risque résiduel
Les contrats en rodage appartiennent à la clé de déploiement du protocole, les autres à un multisig à un seul signataire. Leur propriétaire peut mettre un pool en pause d’urgence. Le risque est organisationnel, aucun correctif de code ne le lève.
Nombre de contrats audités
Le protocole ne publie pas de nombre de contrats audités. Aucun rapport d’audit ne fournit la liste nominative des contrats qu’il couvre, et un nombre sans cette liste n’est pas vérifiable. La page Audits publie à la place, passe par passe, le périmètre exact déclaré par chaque revue.
Prévente en service, KalPresaleV4
Revue interne du 20 juillet 2026 uniquement, sans attestation de tiers. La revue externe d’avril 2026 porte sur KalPresaleV2, contrat distinct et aujourd’hui en pause.
Protections actives
Anti-glissement
Tous les échanges imposent un minimum de sortie () calculé hors-chaîne, empêchant toute manipulation de prix.
Anti-retrait abusif
Les retraits de liquidité sont limités à 25 % maximum par 24 heures. Les jetons LP sont non-transférables ().
Anti-MEV
Protection complète contre les attaques sandwich : obligatoire, délai d’expiration sur chaque transaction, restriction administrateur.
Anti-emprunt éclair
Le pouvoir de vote utilise des points de contrôle historiques (). Impossible de gonfler son vote temporairement.
Anti-condition de course
La prévente vérifie que le palier n’a pas changé pendant la transaction. Limites par palier isolées.
Garde de réentrance
Toutes les fonctions critiques utilisent le garde () contre les attaques de réentrance.
Érosion temporelle veKAL
Le pouvoir de vote décroît linéairement jusqu’à expiration (modèle veCRV). Calcul totalSupply en O(semaines).
Disjoncteur de sécurité
Le utilise un tampon circulaire O(1) pour surveiller les événements anormaux et déclencher une pause automatique.
Historique des revues de sécurité
Le protocole ne publie pas de total cumulé de constats d’audit. Un total cumulé additionnerait des constats de sévérités et de périmètres différents, portant sur des versions de contrat dont plusieurs ne sont plus déployées, et il compterait plusieurs fois le même défaut relevé par deux revues successives. Nous publions à la place la liste des revues, passe par passe, avec leur périmètre, leur date et le sort de chaque constat.
5 passes supplémentaires sont citées par notre documentation interne sans qu’un rapport soit archivé. Nous n’en publions ni le contenu ni le total tant que la pièce manque.
Consulter le détail des revues, passe par passeInfrastructure de sécurité
Actif
Prévu au réseau principal
Protections opérateur
Limiteur de fréquence, limite les retraits opérateur par période
Délai d’exécution 48 h, entre l’adoption d’une décision de gouvernance et son application, fenêtre de grâce de 7 jours
Anti-retrait abusif , max 25 % retrait par 24h
1/1, un seul signataire aujourd’hui, cible 2 sur 3 puis 3 sur 5. Les contrats en rodage appartiennent à la clé de déploiement du protocole
Et si Kal Mydas ferme ?
3 scénarios couvrent les cas où vous perdriez le contact avec l’équipe ou l’interface. Dans chacun, le retrait passe par le contrat, sans notre interface. Seule une pause d’urgence décidée par le propriétaire du contrat le suspend.
L’interface web tombe
Panne de home.kalmydas.com, nom de domaine perdu, hébergeur fermé.
Votre dépôt vit dans le contrat public du pool et non sur notre serveur. Vous pouvez interagir directement avec les contrats via : vous connectez votre portefeuille, vous appelez la fonction de retrait de votre stratégie, vous récupérez vos . L’interface web est un confort, pas une dépendance.
L’équipe disparaît
Plus de mise à jour, les robots arrêtent d’ouvrir des positions.
Les règles de sortie (stop-loss, take-profit) sont posées au moment où la position s’ouvre sur gTrade. Elles s’appliquent automatiquement, même si plus personne ne pilote les robots côté Kal Mydas. Pour récupérer votre dépôt, vous interagissez avec le contrat intelligent de votre stratégie. Ni notre interface ni notre équipe ne sont un passage obligé.
gTrade lui-même tombe
Le protocole DeFi sous-jacent est compromis.
Ce risque existe avec tout protocole DeFi. gTrade (Gains Network) affiche plusieurs centaines de millions de dollars de valeur totale verrouillée et a traversé plusieurs audits externes. Notre confiance repose sur leur transparence et leur historique, pas sur une garantie. C’est le seul des 3 scénarios où nos propres contrats ne peuvent pas vous protéger : nous dépendons d’un tiers .
Dans les 3 cas, nous ne détenons pas votre clé. Le propriétaire des pools peut toutefois suspendre les retraits par une pause d’urgence. Cela n’élimine pas les risques, cela les ramène à du risque de protocole, pas du risque de garde tierce.
Contrats vérifiés
Infrastructure
La table ci-dessus présente les principaux contrats en service, relus sur la chaîne le 5 octobre 2026. Les 6 réserves de stratégie figurent séparément, plus bas. Les contrats remplacés portent toujours leur code et restent lisibles sur la chaîne, nous les conservons plutôt que de les effacer. La page Ressources donne toutes les adresses, le propriétaire de chaque contrat et les générations précédentes.
Jeton KAL
0xe995...afA8
KalSwapV3
0x1FaC...8E98
KalSwapV2
0x3315...c31B
KalRouter
0xfe8b...40b1
Récompenses de liquidité
0x116B...434e
Récompenses de réserve
0x77fe...b809
Courbe de liaison
0x8eb4...2EaF
veKAL
0x58Cf...d605
Répartition des frais
0xEbD3...c179
Distributeur de frais
0xa7Ea...5508
Multiplicateur d’indemnité de service
0xb05A...21AE
Pass d’accès
0x5CC0...dC41
Pont de Pass
0xdF1f...4542
Gouvernance
0xAEFe...eC8B
Délai de sécurité
0xd976...2508
Disjoncteur de sécurité
0xD5Ea...fcb3
Parrainage
0xadEd...a21A
Distribution aux testeurs
0xB04E...Ee57
Trésorerie d’actifs réels
0x4f1F...80C1
Fonds de réserve
0xD179...251f
Replacement automatique
0x09BE...1848
Rachat et recirculation
0xCf2D...2348
Réserves de stratégie
Signalement de vulnérabilités
Au stade actuel, le signalement de vulnérabilités se fait de manière informelle, par contact direct en message privé sur X ou Telegram. Aucun barème contractuel n’est en vigueur à ce stade : chaque signalement est traité au cas par cas et les contributions sérieuses sont reconnues par une récompense en jetons KAL ou en USDC selon la gravité et l’impact.
Un programme formel de signalement (avec barème public et SLA de réponse) sera mis en place dans le cadre de l’ouverture progressive de la gouvernance.