Top 4 Claude Skills pour les développeurs de contrats intelligents et de blockchain

Si vous fréquentez r/ethdev ou Ethereum Stack Exchange, vous avez probablement remarqué que les échanges sur le développement assisté par l’IA passent du scepticisme au pragmatisme. Les développeurs de contrats intelligents ne se demandent plus s’ils doivent utiliser l’IA, mais comment le faire sans introduire de nouvelles vulnérabilités.

Les données le confirment. Les développeurs et auditeurs de contrats intelligents estiment que l’utilisation de l’IA en programmation rendra la crypto plus sûre, malgré les premiers rapports laissant entendre que le code généré par l’IA pouvait présenter des risques de sécurité. Presque tous les développeurs de la communauté utilisent des outils d’IA, principalement ChatGPT et Cursor. Pour eux, l’IA est « acceptable » pour le développement de contrats intelligents, notamment parce que « le développement de contrats intelligents nécessite tant de tests et d’améliorations » que les bugs sont corrigés avant le déploiement. Le point essentiel : l’IA peut améliorer la qualité du code « uniquement en binôme avec une personne qui comprend la programmation ».

Il ne s’agit pas de déléguer à l’IA, mais de lui confier les aspects du développement de contrats intelligents qui ont toujours été fastidieux, mais nécessaires : rechercher des schémas de vulnérabilités connus, générer des cas de test pour les cas limites, analyser plusieurs plateformes blockchain et traduire les bonnes pratiques de sécurité en code. Le développeur apporte son jugement, son expertise métier et sa vigilance en matière de sécurité. Claude s’occupe des tâches ingrates.

Les Claude Skills s’intègrent parfaitement à ce workflow. Ce ne sont pas des solutions de sécurité magiques, mais des bases de connaissances structurées et réutilisables qui formalisent les vérifications de sécurité, les workflows d’audit et les schémas de vulnérabilités propres à chaque plateforme. Des éléments que les développeurs blockchain chevronnés connaissent déjà, mais qu’ils peuvent oublier un vendredi après-midi, en livrant un protocole DeFi avant le week-end.

Que sont les Claude Skills (et que ne sont-elles pas) ?

L’écosystème Claude comprend plusieurs mécanismes d’extension, faciles à confondre. Voici un rapide tour d’horizon :

• Les fichiers CLAUDE.md servent de mémoire persistante au projet. Ils sont chargés à chaque session et indiquent à Claude des informations comme « ce projet utilise Hardhat » ou « vérifiez toujours les attaques par réentrance ». Il s’agit d’un contexte permanent, pas de fonctionnalités activées à la demande.

• Les commandes slash personnalisées (.claude/commands/*.md) étaient de simples modèles de prompt déclenchés par /command-name. Elles ont été, dans les faits, intégrées aux Skills. Celles qui définissent un argument-hint dans leur frontmatter peuvent être appelées comme des commandes slash, tandis que les autres s’activent selon le contexte de votre tâche.

• Les serveurs MCP sont des processus en cours d’exécution qui exposent des outils et des sources de données via le Model Context Protocol. Ils permettent à Claude d’appeler des API, d’interroger des bases de données ou d’interagir avec des services externes. Ils nécessitent un processus serveur et du code.

• Les connecteurs Claude relient Claude à des services externes comme Slack, Figma ou Asana, via des serveurs MCP distants utilisant OAuth.

• Les applications Claude désignent les plateformes sur lesquelles Claude fonctionne (Claude.ai, Claude Code, mobile, ordinateur), et non des extensions de Claude.

• Les plugins regroupent des skills, des agents, des hooks et des serveurs MCP pour les distribuer ensemble.

Les Claude Skills sont des répertoires contenant un fichier SKILL.md (avec un frontmatter YAML et des instructions Markdown), ainsi que des fichiers complémentaires facultatifs, comme des scripts, des modèles et des documents de référence. Leurs particularités :

1. Ce sont des répertoires, pas des fichiers isolés. Une skill peut regrouper des scripts shell, des utilitaires Python, de la documentation de référence et des fichiers de ressources, en plus de ses instructions.

2. La divulgation progressive. Au démarrage, Claude ne charge que le name et la description de chaque skill depuis le frontmatter YAML (environ 100 tokens par skill), comme pour les descriptions d’outils MCP injectées dans le contexte. Claude compare votre tâche à ces descriptions pour choisir la skill à activer. Lorsqu’il en trouve une correspondante, il charge l’intégralité des instructions de SKILL.md. Les fichiers complémentaires (références, scripts, ressources) ne sont chargés que si leur utilisation est explicitement nécessaire pendant l’exécution. Cette approche en trois niveaux allège votre fenêtre de contexte, même si des dizaines de skills sont installées. Le champ description d’une skill est donc essentiel : les descriptions vagues déclenchent l’activation de façon aléatoire, tandis que les descriptions précises, comportant des expressions explicites (comme « À utiliser pour auditer des programmes Solana/Anchor »), assurent une activation cohérente.

3. Elles peuvent exécuter du code. Les skills peuvent inclure des scripts dans scripts/, que Claude exécute pendant le traitement, et utiliser la syntaxe !command`` pour injecter une sortie dynamique dans le contexte du prompt.

4. Elles reposent sur un standard ouvert. La spécification Agent Skills a été adoptée par Claude Code, OpenAI Codex, Cursor, Gemini CLI et d’autres, ce qui rend les skills portables.

5. Elles peuvent être enregistrées comme commandes slash. Les skills dont le frontmatter YAML comprend un champ argument-hint peuvent être appelées directement avec /skill-name. Par exemple, une skill installée dans .claude/skills/solana-scan/ et dotée d’un argument hint est disponible sous la commande /solana-scan. Les skills sans argument hint s’activent en fonction du contexte : Claude les sélectionne automatiquement lorsque votre tâche correspond à leur description.

La spécification officielle et la documentation des skills d’Anthropic présentent le format complet. L’article du blog d’ingénierie d’Anthropic sur les Agent Skills vaut également la peine d’être lu pour comprendre les choix de conception.

Installer une Claude Skill

L’installation d’une skill prend environ 30 secondes.

Au niveau du projet (partagée avec votre équipe via le contrôle de version) :

your-project/
└── .claude/
    └── skills/
        └── skill-name/
            ├── SKILL.md
            └── resources/
                └── vulnerability-patterns.md

Au niveau utilisateur (personnelle, accessible dans tous vos projets) :

~/.claude/
└── skills/
    └── skill-name/
        ├── SKILL.md
        └── resources/
            └── REFERENCE.md

Via des plugins (pour des collections de skills comme Trail of Bits) :

/plugin marketplace add trailofbits/skills
/plugin menu

Les skills installées au niveau du projet sont partagées avec les membres de l’équipe via le contrôle de code source. Les skills au niveau utilisateur vous sont réservées. En cas de conflit de noms, les skills d’entreprise sont prioritaires sur les skills personnelles, qui sont elles-mêmes prioritaires sur les skills du projet.

Un point important : l’écosystème Agent Skills est récent et évolue rapidement. La sécurité de la chaîne d’approvisionnement est donc essentielle. Les recherches ToxicSkills de Snyk ont révélé des injections de prompt dans 36 % des skills testées et 1 467 charges malveillantes dans l’écosystème. Examinez toujours le fichier SKILL.md d’une skill et tous les scripts qui l’accompagnent avant de l’installer. Traitez les skills comme n’importe quel code tiers exécuté dans votre environnement.

Vous créez une Claude Skill ? Si vous développez ou maintenez une Claude Skill ou un serveur MCP open source pour le développement de contrats intelligents, l’infrastructure blockchain ou les outils Web3, le Snyk Secure Developer Program propose gratuitement une analyse de sécurité de niveau entreprise pour les projets open source. Snyk sécurise plus de 585 000 projets open source et propose aux responsables de projets admissibles un accès complet aux fonctionnalités entreprise, une assistance au sein de la communauté Discord et une aide à l’intégration. Faites une demande ici si votre projet existe déjà, ou ici si vous démarrez un nouveau projet.

La réalité des Claude Skills pour le développement blockchain

Avant de passer à la liste, une chose à savoir : l’écosystème Claude Skills dédié au développement blockchain est encore peu fourni par rapport aux outils de cybersécurité généralistes. Le plugin Building Secure Contracts de Trail of Bits (11 skills couvrant Algorand, Cairo, Cosmos, Solana, Substrate et TON) représente la majeure partie des skills de sécurité pour les contrats intelligents de niveau production disponibles aujourd’hui. À part cela, vous trouverez quelques projets expérimentaux et des skills émergentes pour des usages particuliers, comme l’analyse on-chain.

Il ne s’agit pas d’une liste « Top 10 » gonflée avec des outils secondaires, mais d’un état des lieux honnête de ce qui existe et fonctionne. Si vous recherchez des skills dédiées aux workflows Hardhat, à l’intégration Foundry ou aux méthodes d’optimisation du gas, elles n’existent pas encore de façon autonome (mais vous pouvez créer les vôtres à l’aide de la spécification Agent Skills). Les outils disponibles se concentrent essentiellement sur l’audit de sécurité de plusieurs plateformes blockchain.

La bonne nouvelle : les skills disponibles sont complètes, activement maintenues par des experts en sécurité et couvrent les schémas de vulnérabilités qui comptent vraiment pour le développement de contrats intelligents en production.

Passons maintenant à la liste.

1. Trail of Bits Building Secure Contracts

Source : trailofbits/skills (plugin : building-secure-contracts). Étoiles : 2 482. Auteur : Omar Inuwa. Licence : Creative Commons Attribution-ShareAlike 4.0. Dernière mise à jour : janvier 2026. SKILL.md vérifié : oui (11 répertoires de skills, chacun avec un fichier SKILL.md).

La sécurité des contrats intelligents est un domaine spécialisé où le coût d’une vulnérabilité non détectée se chiffre souvent en millions de dollars. Ce plugin regroupe 11 skills basées sur le framework open source Building Secure Contracts de Trail of Bits et son dépôt de vulnérabilités Not So Smart Contracts.

6 analyseurs de vulnérabilités pour détecter les schémas d’attaque propres à chaque plateforme :

5 assistants aux pratiques de développement :

• /audit-prep-assistant pour préparer les bases de code aux examens de sécurité (1 à 2 semaines avant un audit)

• /code-maturity-assessor qui applique le framework de maturité en 9 catégories de Trail of Bits

• /guidelines-advisor pour examiner l’architecture, la capacité de mise à niveau et l’implémentation

• /secure-workflow-guide qui propose un processus de validation en 5 étapes (Slither, fonctionnalités spéciales, inspection visuelle, tests de propriétés, examen manuel)

• /token-integration-analyzer pour vérifier la conformité ERC20/ERC721 et détecter plus de 20 comportements inhabituels des tokens

Ces skills s’intègrent aux outils de sécurité disponibles (Slither, Echidna, Manticore, Tealer) et passent naturellement à l’analyse manuelle lorsque ces outils ne sont pas disponibles.

Ce qui fait la différence

Contrairement aux prompts génériques du type « auditez ce contrat », ces skills intègrent les connaissances sur les vulnérabilités propres à chaque plateforme. L’analyseur Solana sait rechercher les CPI (appels interprogrammes) arbitraires, la validation incorrecte des PDA (adresses dérivées de programmes), l’absence de vérification des signataires ou de la propriété, l’usurpation de sysvar et la confusion de comptes. L’analyseur Cairo recherche les dépassements de capacité sur les felt, la réentrance, l’absence d’autorisation, les appels delegate non vérifiés, le stockage non initialisé et les événements non émis.

Ce type de connaissances s’acquiert au fil des années de travail sur la sécurité blockchain. Leur formalisation dans une skill permet à Claude de rechercher automatiquement ces schémas, sans que vous ayez à mémoriser tous les pièges propres à chaque plateforme.

Installation

/plugin marketplace add trailofbits/skills
# Select building-secure-contracts from the plugin menu
/plugin menu

Ou manuellement :

git clone https://github.com/trailofbits/skills.git ~/trail-of-bits-skills
ln -s ~/trail-of-bits-skills/plugins/building-secure-contracts/skills/* ~/.claude/skills/

Utilisation

Scan this Solana program for vulnerabilities
Prepare this codebase for a security audit
Assess the maturity of this smart contract project
Analyze this ERC20 token for weird behaviors
Review this Substrate pallet for security issues

À qui s’adresse cette skill : aux développeurs de contrats intelligents sur Solana, Algorand, Cairo/StarkNet, Cosmos, Substrate/Polkadot ou TON. Aux équipes de protocoles DeFi qui préparent un audit. Aux auditeurs de sécurité blockchain qui souhaitent utiliser des listes structurées de vulnérabilités.

Ressources Snyk associées :

• Sécurité npm : prévenir les attaques de la chaîne d’approvisionnement

• Détecter et prévenir les attaques par confusion de dépendances sur npm

• Snyk Vulnerability Database

2. SecSkills Web3 Pentesting

Source : trilwu/secskills (skill : web3-blockchain). Étoiles : 5. Licence : MIT. Dernière mise à jour : novembre 2025. SKILL.md vérifié : oui.

Alors que Trail of Bits se concentre sur les pratiques de développement sécurisé, la skill de pentest Web3 de SecSkills adopte une approche offensive de la sécurité. Avec près de 12 000 caractères, cette skill est un guide complet sur l’exploitation de smart contracts, les vecteurs d’attaque DeFi et les tests de sécurité des applications Web3.

Contenu

Vulnérabilités des smart contracts :

• Attaques par réentrance (avec code d’exploitation).

• Débordement et sous-dépassement d’entiers.

• Contournement du contrôle d’accès.

• Appels externes non vérifiés.

• Injection de delegatecall.

• Front-running et exploitation du MEV.

• Manipulation des oracles de prix.

• Schémas de déni de service.

Attaques propres à la DeFi :

• Exploitation de prêts flash.

• Exploitation de la perte impermanente.

• Attaques de gouvernance.

• Manipulation des pools de liquidité.

Outils de développement et de test :

• Exemples de tests avec les frameworks Hardhat et Foundry.

• Intégration de Slither, Mythril, Echidna et Manticore.

• Fork du mainnet pour développer des exploits.

• Schémas de simulation de transactions.

Sécurité des interfaces Web3 :

• Vulnérabilités liées à la connexion des portefeuilles.

• Attaques par rejeu de signatures.

• Simulation de transactions pour les contrôles de sécurité.

Sécurité des NFT :

• Manipulation des métadonnées.

• Exploitation du minting.

• Techniques de contournement des royalties.

La skill inclut du code d’exploitation prêt à l’emploi, des commandes d’outils et des bonnes pratiques pour effectuer des tests de sécurité responsables.

Installation

/plugin marketplace add trilwu/secskills
/plugin install trilwu/secskills

Ou manuellement :

git clone https://github.com/trilwu/secskills.git
cp -r secskills/secskills/skills/web3-blockchain ~/.claude/skills/

Utilisation

SecSkills s’active en fonction du contexte lorsque vous décrivez des scénarios de tests de sécurité de smart contracts :

Test this DeFi protocol for reentrancy vulnerabilities
I found a flash loan opportunity. Help me write an exploit
Analyze this NFT minting contract for security issues
Set up a Hardhat fork to test this exploit on mainnet

À qui s’adresse cette skill : Aux auditeurs de smart contracts, aux chasseurs de bugs bounty, aux chercheurs en sécurité travaillant dans le Web3 et aux développeurs qui veulent comprendre les schémas d’attaque pour écrire des contrats plus sécurisés.

Important : Cette skill est conçue pour les tests de sécurité autorisés, les programmes de bug bounty, les compétitions CTF et la formation. Respectez toujours le périmètre de votre mission.

Ressources Snyk associées :

• Empêcher les packages malveillants et les attaques de la chaîne logistique avec Snyk

• Incident de chaîne logistique npm SHA1-Hulud

• Pourquoi les fichiers de verrouillage npm peuvent constituer un angle mort en matière de sécurité

3. API Arkham Intelligence

Source : Vyntral/arkham-intelligence-claude-skill. Étoiles : 2. Licence : non spécifiée. Dernière mise à jour : février 2026. SKILL.md vérifié : oui.

Le développement blockchain ne consiste pas seulement à écrire des smart contracts sécurisés. Il faut aussi comprendre ce qui se passe on-chain après le déploiement. La skill Arkham Intelligence intègre l’API d’intelligence blockchain d’Arkham pour donner à Claude accès à l’analyse de portefeuilles, au suivi des baleines, aux flux de tokens et aux enquêtes on-chain sur plus de 10 blockchains.

Fonctionnalités

Avec plus de 16 000 caractères, c’est l’une des skills d’intégration d’API les plus complètes disponibles. Elle inclut :

Analyse des renseignements et des entités :

• Recherche d’adresses et d’entités (Wintermute, Jump Trading, Binance, etc.).

• Suivi des soldes de portefeuilles sur plusieurs chaînes.

• Analyse de portefeuille avec valorisation automatique en USD.

• Classification du type d’entité (CEX, teneur de marché, fonds, particulier, protocole).

Suivi des transferts et des flux :

• Surveillance des mouvements des baleines (seuils en USD configurables).

• Analyse de l’accumulation de tokens (qui achète ou vend).

• Alertes sur les transferts importants.

• Historique des transactions inter-chaînes.

Analyse des tokens :

• Identification des principaux détenteurs (regroupés par entité).

• Découverte des tokens tendance.

• Analyse des volumes et des flux.

• Suivi des positions des teneurs de marché.

Analyse du réseau :

• Cartographie des contreparties des entités (qui négocie avec qui).

• Suivi des positions DeFi (Aave, Compound, etc.).

• Analyse des flux des CEX pour évaluer le sentiment du marché.

Cas d’utilisation (avec exemples fonctionnels) :

# Track smart money positions
# Find what market makers are accumulating
# Monitor hacker/exploit fund movements
# Compare institutional portfolios
# Analyze CEX inflows/outflows for sentiment
# Discover token holder concentrations
# Track governance token accumulation

La skill inclut de nombreux exemples de filtres jq pour traiter les structures de réponse complexes d’Arkham, organisées par chaîne, ainsi que des solutions de contournement des particularités de l’API et des stratégies de limitation du débit.

Prérequis

Nécessite une clé API Arkham configurée dans les paramètres de Claude Code :

// ~/.claude/settings.json
{
  "env": {
    "ARKHAM_API_KEY": "your_api_key_here"
  }
}

Installation

git clone https://github.com/Vyntral/arkham-intelligence-claude-skill.git
cp -r arkham-intelligence-claude-skill/.claude/skills/arkham-api ~/.claude/skills/

Utilisation

Who are the top 10 holders of this token?
Show me large ETH transfers from market makers in the last 24 hours
What tokens is Wintermute accumulating this week?
Track the recent movements of funds from the XYZ exploit
Analyze CEX flows to gauge market sentiment for SOL

À qui s’adresse cette skill : Aux développeurs DeFi qui surveillent l’état de leurs protocoles, aux traders qui suivent les mouvements des baleines, aux chercheurs en sécurité qui enquêtent sur des exploits et aux équipes de tokens qui analysent la répartition des détenteurs.

Ressources Snyk associées :

• G_Wagon Infostealer : une fausse bibliothèque d’interface npm vole des portefeuilles crypto

• Attaque de la chaîne logistique npm via la compromission d’un mainteneur open source

4. Awesome Sui Claude Skills

Source : 0xBondSUI/awesome-sui-claude-skills. Étoiles : 0. Licence : non spécifiée. Dernière mise à jour : janvier 2026. État : première version / dépôt temporaire.

Ce dépôt témoigne de l’émergence d’un écosystème de skills dédiées au développement sur la blockchain Sui. Pour l’instant, il s’agit d’un espace réservé (un dépôt contenant uniquement un README et aucun fichier SKILL.md), mais il montre que les développeurs s’intéressent aux Claude Skills spécifiques à Sui pour les smart contracts Move, les protocoles DeFi et les outils de l’écosystème.

Pourquoi c’est important

Le langage Move de Sui présente des propriétés de sécurité différentes de Solidity (pas de réentrance, programmation orientée ressources, stockage centré sur les objets). Les skills conçues pour Ethereum ne sont donc pas directement transposables. Avec le développement de l’écosystème Sui, les skills dédiées aux schémas de développement Move, aux contrôles de sécurité propres à Sui et aux bonnes pratiques du modèle objet gagneront en valeur.

État actuel

Ce dépôt est une collection sélectionnée en théorie, mais sans implémentation. Si vous développez sur Sui et souhaitez créer des skills, ce projet pourrait servir de point de départ à une collaboration.

Ressources Snyk associées :

• Snyk Advisor pour évaluer la fiabilité des packages

• Les inquiétudes mystérieuses autour de la chaîne logistique du package npm string-width-cjs

Quelques précautions de sécurité concernant les skills de sécurité

Il y a une certaine ironie à utiliser des skills d’IA pour améliorer votre posture de sécurité, alors que l’écosystème des skills présente lui-même des risques. L’étude ToxicSkills de Snyk a révélé que 13 % des skills testées contenaient des failles de sécurité critiques et que certaines tentaient activement d’exfiltrer des identifiants. La recherche SKILL.md to Shell Access a montré que trois lignes de Markdown dans un fichier de skill peuvent donner à un attaquant accès au shell de votre machine.

Avant d’installer une skill :

1. Lisez le fichier SKILL.md et tous les scripts fournis. Les skills sont des fichiers Markdown et des scripts shell, pas des binaires compilés. Vous pouvez en lire chaque ligne.

2. Vérifiez la source. Les skills de sociétés de sécurité reconnues (comme Trail of Bits) présentent moins de risques que celles de dépôts GitHub anonymes.

3. Vérifiez les autorisations. Le champ de frontmatter allowed-tools indique les outils qu’une skill peut utiliser. Une skill qui nécessite un accès à Bash mérite davantage d’attention qu’une skill qui utilise uniquement Read et Grep.

4. Analysez avec Snyk. Si vous utilisez déjà Snyk Code, vous pouvez analyser les scripts de skills comme n’importe quel code.

Les skills de cette liste proviennent de sources fiables dont les licences sont clairement définies. Mais le principe général reste le même : faites confiance, puis vérifiez.

Pour conclure

L’écosystème des Claude Skills dédiées au développement blockchain est plus restreint et spécialisé que celui des outils de cybersécurité généralistes. Les solutions existantes se concentrent sur les besoins essentiels : l’audit de sécurité sur plusieurs plateformes blockchain, les tests offensifs de sécurité des smart contracts et la collecte de renseignements on-chain.

Le plugin Building Secure Contracts de Trail of Bits couvre à lui seul six plateformes blockchain et intègre des scanners de vulnérabilités qui s’appuient sur des années de recherche en sécurité. SecSkills apporte son expertise en sécurité offensive pour les pentests Web3. Arkham Intelligence ajoute des analyses blockchain en temps réel. Ce ne sont pas des gadgets, mais des outils de niveau production qui formalisent l’expertise dans des workflows reproductibles.

Les lacunes de l’écosystème sont notables : il n’existe pas encore de skills abouties pour les workflows Hardhat, la génération de tests Foundry, l’optimisation du gas ou la création de structures pour les standards de tokens ERC. Si vous travaillez régulièrement sur ces problématiques, créer votre propre skill en vous appuyant sur la spécification Agent Skills pourrait vous aider dans votre workflow et profiter à l’ensemble de la communauté.

Si vous utilisez déjà Claude Code pour le développement blockchain, installer le plugin de Trail of Bits ne prend que cinq minutes. Vous serez gagnant dès la première fois où Claude détectera un schéma de vulnérabilité propre à une plateforme que vous auriez manqué. Ajoutez SecSkills pour les tests de sécurité. Ajoutez Arkham pour les renseignements on-chain. Voilà où en est l’écosystème aujourd’hui.

À mesure que l’écosystème mûrit, attendez-vous à voir davantage de skills couvrant le développement de solutions de couche 2, les systèmes de preuve à divulgation nulle de connaissance et les frameworks de test spécifiques à la blockchain. Pour l’instant, les solutions existantes se concentrent sur les fondamentaux de la sécurité.

Si vous recherchez des serveurs MCP plutôt que des Claude Skills pour le développement blockchain, vérifiez si un article dédié de Snyk est disponible sur les serveurs MCP blockchain (comme 10 serveurs MCP pour les professionnels de la cybersécurité et les hackers d’élite).