Primes de bug 2026 : l’élite encaisse, la masse trie l’IA

Le 27 juillet 2026, GitHub a divisé par deux les primes de son programme public de bug bounty. Le même trimestre, Immunefi franchissait la barre des 134 millions de dollars versés à ses chercheurs depuis son lancement, avec 166 chercheurs d’élite désormais actifs sur la plateforme. Ces deux nouvelles racontent la même histoire, vue de deux étages différents d’un même immeuble : celui où l’argent afflue et se concentre au sommet, et celui où la porte d’entrée se referme pour tout le monde en bas.

La prime de bug, cette récompense versée à un hacker éthique qui signale une faille au lieu de l’exploiter, est devenue en quelques années le deuxième pilier de la sécurité crypto, à côté des audits. Mais en 2026, la façon dont cet argent est distribué se transforme sous nos yeux. Pour comprendre qui gagne vraiment sa vie à traquer des vulnérabilités, il faut regarder au-delà des plafonds affichés à sept chiffres et suivre le chèque réellement encaissé.

La prime qui fait la une cache une pyramide

Quand un média titre sur une prime de bug, c’est presque toujours le sommet de la pyramide qu’il montre. Le record absolu d’un paiement unique tient depuis février 2022 : 10 millions de dollars (environ 8,6 millions d’euros) versés au chercheur connu sous le pseudonyme satya0x pour une faille dans la machinerie de mise à jour des contrats du pont Wormhole, un paiement orchestré via Immunefi. Ce chiffre continue de servir de référence dans toute la profession.

La réalité de la base est beaucoup moins spectaculaire. Selon la propre recherche d’Immunefi portant sur 593 programmes actifs depuis janvier 2021, la prime critique médiane s’établit autour de 20 000 dollars, soit environ 17 100 euros, quand la moyenne grimpe à 114 355 dollars (environ 97 900 euros). L’écart entre médiane et moyenne dit tout : une poignée de très gros paiements tire la moyenne vers le haut, mais la plupart des chercheurs qui décrochent une prime critique touchent une somme à quatre ou cinq chiffres, pas à sept. Vous pouvez lire ce jeu de données directement sur le blog de recherche d’Immunefi.

C’est la première clé de lecture de 2026 : le marché des primes de bug n’est pas une file d’attente ordonnée où chacun avance à son tour, c’est une loi de puissance. Quelques dizaines de chercheurs captent l’essentiel de l’argent visible, pendant que des dizaines de milliers d’autres se partagent une longue traîne de petites primes irrégulières. Et cette année, deux forces viennent creuser encore l’écart.

2026, l’année où les primes publiques ont commencé à baisser

Pendant une décennie, la trajectoire des primes de bug n’avait fait que monter : plafonds plus élevés, plus de programmes, plus de plateformes. 2026 marque une inflexion, au moins pour les programmes publics ouverts à tous. La séquence est frappante quand on l’aligne sur un calendrier.

• 31 janvier 2026 : le projet open source curl ferme purement et simplement son programme de bug bounty, invoquant un déluge de rapports générés par intelligence artificielle.
• Mars 2026 : Google cesse d’accepter les rapports de vulnérabilité rédigés par IA sur plusieurs de ses programmes.
• 27 juillet 2026 : GitHub divise par deux les primes de son programme public et déplace les plus gros montants vers un palier VIP réservé aux chercheurs invités.
• Courant 2026 : Coinbase modifie sa grille de récompenses de sécurité en citant explicitement la pression des soumissions automatisées.

Aucun de ces acteurs n’est un protocole DeFi, mais leur mouvement dessine la tendance de fond qui rattrape le monde crypto. Les plateformes qui paient les chercheurs ne coupent pas parce que la sécurité vaut moins cher : elles coupent parce que le coût de tri des signalements a explosé, et qu’un budget de sécurité fini doit désormais financer autant le filtrage du bruit que la récompense du signal.

Le « slop » IA qui noie les trieurs

Le mot est devenu un terme technique en 2026 : le « slop », ces rapports de vulnérabilité produits en masse par des modèles de langage, plausibles en apparence, mais creux à l’examen. Le cas curl est devenu la pièce à conviction de référence. Pendant des années, la part de signalements réellement valides sur son programme dépassait 15 %. En 2025, elle s’est effondrée sous les 5 % à mesure que les rapports générés par IA affluaient, jusqu’à des séries entières où pas un seul signalement n’était réel.

Daniel Stenberg, créateur et mainteneur principal de curl, a résumé sa décision sans détour sur son blog : trois mauvaises tendances se sont combinées, « le slop IA qui engourdit l’esprit, des humains qui font pire que jamais, et une volonté apparente de percer des trous plutôt que d’aider ». Le programme laisse un bilan honorable, 87 vulnérabilités confirmées et plus de 100 000 dollars (environ 86 000 euros) versés en douze ans, mais l’équation économique s’est brisée : trier le faux coûtait plus que récompenser le vrai.

Ce que curl a vécu à l’échelle d’un projet, les plateformes crypto le vivent à l’échelle industrielle. Chez The Register, l’analyse de la coupe GitHub était sans ambiguïté : le flot de rapports IA « ensevelit » l’équipe de sécurité, et la baisse des primes publiques est autant un signal de dissuasion qu’une mesure budgétaire. Immunefi, de son côté, s’appuie depuis plus longtemps sur un système de mise en jeu de réputation à la soumission et sur des filtres de triage, précisément pour renchérir le coût du bruit pour celui qui l’émet.

GitHub coupe en deux et cache le haut du barème

La réforme GitHub du 27 juillet 2026 est un modèle du nouveau régime à deux vitesses, et elle mérite qu’on regarde les chiffres. Le programme public bascule sur une grille fixe et fortement rabotée, tandis qu’un palier VIP permanent, accessible uniquement sur invitation à des chercheurs au parcours prouvé, conserve, voire dépasse, les anciens niveaux. Pour rejoindre ce palier, il faut afficher un historique d’au moins une faille critique, deux élevées, quatre moyennes ou sept faibles jugées valides.

Avant la réforme, une faille critique pouvait rapporter de 20 000 à plus de 30 000 dollars sur le programme public. Elle plafonne désormais à 10 000 dollars pour qui n’est pas invité. Le message est limpide et il s’applique bien au-delà de GitHub : le débutant méritant reste bienvenu, mais le vrai argent se déplace derrière une porte que l’on ouvre par cooptation, sur preuve de résultats passés. Vous trouverez le détail de la nouvelle grille sur The Hacker News, et l’analyse de la surcharge de triage sur The Register.

La loi de puissance des revenus

Revenons aux chiffres bruts, car c’est là que se joue la vérité sociale de la profession. Le tableau ci-dessous rassemble les repères de la distribution des primes sur Immunefi, la plus grande plateforme dédiée au Web3. Ils dessinent une pente très raide entre le paiement typique et le paiement exceptionnel.

Une prime critique médiane à 17 100 euros pour une faille dont la recherche a pu prendre des semaines, voire des mois, n’est pas un revenu de rentier. Rapportée au temps investi et à l’incertitude (la plupart des heures de recherche ne débouchent sur aucune prime), la rémunération réelle du chercheur moyen ressemble davantage à celle d’un travailleur indépendant précaire qu’à celle du hacker millionnaire du récit médiatique. La moyenne à près de 98 000 euros n’est pas fausse, elle est simplement trompeuse : elle décrit un point qu’aucun chercheur typique n’atteint.

Cette structure en loi de puissance n’est pas propre à la sécurité crypto, on la retrouve dans le jeu vidéo compétitif, l’écriture ou la création musicale. Mais elle a une conséquence directe sur la sécurité collective : si le milieu de tableau ne parvient pas à vivre de son travail, il finit par le quitter, et la surface défensive de tout l’écosystème se réduit à quelques dizaines de virtuoses très sollicités.

Immunefi All Stars : le cercle qui rafle les millions

Le sommet de la pyramide a désormais un nom et une structure. En mai 2025, sur fond de piratage record de 1,5 milliard de dollars chez Bybit, Immunefi a lancé son programme All Stars, une équipe restreinte de chercheurs surperformants. Le premier membre, LonelySloth, affichait alors 3,6 millions de dollars de gains cumulés (environ 3,1 millions d’euros) pour 60 rapports payés. Le programme a démarré avec dix membres.

Un an plus tard, la mécanique de concentration est visible dans les chiffres. Selon le bilan d’écosystème du premier trimestre 2026, Immunefi comptait 166 chercheurs d’élite actifs, pour des paiements cumulés qui ont franchi 134 millions de dollars (environ 115 millions d’euros) fin mars, dont 7,87 millions de dollars sur le seul premier trimestre, répartis entre 1 104 rapports. La plateforme dépassait 85 000 chercheurs inscrits fin avril 2026, un rappel que ces 166 privilégiés forment une fraction infime de la population totale.

Mitchell Amador, fondateur et directeur général d’Immunefi, assume la logique de cette élite : le programme visait à donner « aux chercheurs en sécurité qui se présentent jour après jour encore plus d’outils pour réussir et développer leur carrière ». La formule est habile, mais elle acte aussi que la valeur se déplace vers ceux qui ont déjà réussi. Sur les grands nombres, Amador tient un discours plus large : commentant le bilan de la première moitié de 2026, il rappelle sur The Block que « la sécurité crypto est adversariale, et elle ne cesse jamais d’évoluer ; la lecture honnête des chiffres est simple : l’industrie apprend ». Sur ce semestre, Immunefi a versé environ 13,45 millions de dollars (près de 11,5 millions d’euros) pour 837 bugs valides, et protège plus de 180 milliards de dollars d’actifs répartis sur plus de 650 programmes.

Ce que gagne vraiment un chasseur médian

Pour le chercheur qui n’est pas dans le cercle, le quotidien de 2026 s’est durci sur trois fronts à la fois. D’abord, la concurrence de fond : les grands programmes attirent des milliers de participants, dont désormais des flottes d’outils automatisés qui labourent le même terrain. Ensuite, la baisse des primes publiques, comme chez GitHub, qui rabote le plancher accessible sans invitation. Enfin, la lenteur de triage : quand une équipe de sécurité croule sous le slop, le rapport honnête d’un débutant attend plus longtemps, et l’incertitude sur le paiement s’allonge.

Il faut aussi comprendre comment une prime est chiffrée, car le plafond affiché n’est presque jamais la somme touchée. La plupart des grands programmes fixent la récompense d’une faille critique à un pourcentage des fonds réellement mis en danger, souvent autour de 10 %, dans la limite d’un plafond. Une faille théoriquement « critique » qui n’expose, dans les faits, qu’un montant modeste au moment de la découverte sera payée sur ce montant modeste, pas sur le plafond marketing du programme. C’est toute la différence entre le prix affiché en vitrine et le chèque encaissé, un écart que nous avons détaillé par ailleurs.

Le résultat, pour un chasseur médian, est un métier à géométrie très variable : quelques mois peuvent rapporter l’équivalent d’un bon salaire, d’autres rien du tout. Sans le filet d’un palier d’élite ou d’un contrat de recherche salarié, la stabilité vient d’un portefeuille de programmes suivis en parallèle, d’une spécialisation forte (une chaîne, un langage, une classe de failles) et, de plus en plus, d’une réputation qui finit par ouvrir la porte des cercles invités.

Plafond affiché contre chèque encaissé

Les plafonds de 2026 n’ont jamais été aussi élevés, ce qui alimente le récit du hacker fortuné. Le classement des programmes les plus généreux, compilé par Sherlock, place en tête Usual et ses 16 millions de dollars, présenté comme le plus gros bug bounty de l’histoire de la tech. Le marché agrégé des récompenses disponibles dépassait 162 millions de dollars (environ 139 millions d’euros) début 2026.

Ces sommes sont des plafonds, pas des paiements. Un plafond à 16 millions de dollars remplit d’abord une fonction de signal : il annonce au marché des chercheurs que le protocole prend sa sécurité au sérieux, et il vaut souvent bien plus par la réputation qu’il achète que par les euros qu’il déboursera un jour. Beaucoup de ces programmes n’ont jamais versé une fraction de leur plafond, tout simplement parce qu’aucune faille de l’ampleur maximale n’a été trouvée, ou parce que le montant réellement à risque au moment de la découverte était inférieur. C’est la coexistence, parfaitement logique une fois comprise, d’un plafond à huit chiffres et d’une médiane à cinq chiffres.

Concours fermés, plateformes rachetées : moins de portes d’entrée

La consolidation du secteur, elle aussi, resserre le nombre de portes d’entrée pour les nouveaux venus. Code4rena, pionnier de l’audit compétitif où des « wardens » rivalisaient sur un même code pour se partager une cagnotte, a annoncé sa fermeture en mai 2026 ; Immunefi a absorbé ses clients, ses règles et une partie de ses chercheurs, comme l’a rapporté The Block. Les concours d’audit avaient longtemps servi de rampe d’accès : un débutant talentueux pouvait s’y faire un nom et un premier revenu sans être encore invité nulle part.

La disparition de ce format, combinée aux paliers VIP sur invitation, redessine le pipeline de carrière. Là où l’écosystème offrait plusieurs points d’entrée horizontaux (concours ouverts, programmes publics généreux, chasse libre), il tend vers un entonnoir vertical : on entre par la longue traîne des petites primes publiques, désormais rabotées, et on n’accède aux gros montants qu’après avoir prouvé sa valeur assez longtemps pour être coopté. Le système récompense mieux l’excellence installée, mais il rend l’ascension plus lente et plus incertaine pour la relève.

Jack Sanford, cofondateur et directeur général de Sherlock, rappelle pourquoi ces plateformes comptent malgré tout, dans un entretien à Crypto Briefing : « les audits à un instant donné sont indispensables, mais ils n’ont jamais été conçus pour porter à eux seuls toute la charge de la sécurité ». Le bug bounty et l’audit compétitif restent le filet qui attrape ce que l’audit ponctuel laisse passer ; encore faut-il que les chercheurs qui tendent ce filet puissent en vivre.

Quand la prime déçoit : la tentation du chapeau noir

Il existe une raison très concrète pour laquelle sous-payer un chercheur est dangereux, et elle n’a rien de moral : la frontière entre chapeau blanc et chapeau noir est parfois une simple question de prix. Le cas le plus cité reste celui de Riptide, qui avait découvert en 2022 une faille dans le séquenceur d’Arbitrum permettant de détourner les fonds transitant vers le pont, avec des centaines de millions à risque. Le programme affichait un maximum de 2 millions de dollars ; le chercheur a été payé 400 ETH, une fraction de ce plafond. Sa réaction, relayée par CryptoPotato, est restée célèbre : « si vous affichez une prime de 2 millions, soyez prêts à la payer quand c’est justifié ; sinon dites simplement que la prime maximale est de 400 ETH et n’en parlons plus ». Il avertissait, sans détour, que sous-payer pouvait « pousser un chapeau blanc à passer chapeau noir ».

La ligne est d’autant plus fine que la DeFi produit, en parallèle, une économie entière de captation de valeur légale mais prédatrice, celle du MEV, que nous avons décortiquée dans notre anatomie de la taxe invisible de la DeFi. Un chercheur capable de comprendre un contrat assez finement pour le casser peut, selon la voie qu’il choisit, être récompensé par une prime, extraire de la valeur en zone grise, ou franchir la ligne rouge. La rémunération n’est pas qu’une question de justice : c’est un paramètre de sécurité.

Toutes les demandes d’argent après coup ne sont pas pour autant des primes légitimes. Nick Percoco, directeur de la sécurité de l’exchange Kraken, a tenu à marquer la différence après qu’une faille eut été monnayée sous la menace : « ce n’est pas du white-hat hacking, c’est de l’extorsion », déclarait-il à CoinDesk. La distinction tient à qui fixe les termes, à la rapidité et à l’intégralité de la restitution, et au fait que le montant suive une norme reconnue plutôt qu’un chantage.

Le recouvrement, l’autre source de revenus

À côté de la prime préventive, qui récompense la découverte d’une faille avant tout vol, 2026 confirme la montée en puissance d’un second instrument : la prime de recouvrement. Ici, le protocole est déjà vidé, et la récompense sert à convaincre l’attaquant de rendre les fonds, en général autour de 10 % du butin. La référence historique la plus nette reste GMX : en juillet 2025, après un exploit d’environ 40 millions de dollars sur sa version 1, l’équipe a proposé une prime de 5 millions de dollars, soit 10 %, et l’attaquant a commencé à restituer les actifs, comme l’a documenté Cointelegraph.

L’année 2026 a normalisé le procédé sur des montants plus modestes et des délais spectaculaires. En mai, le protocole Renegade, adossé à Arbitrum, a récupéré plus de 90 % des quelque 190 000 dollars dérobés en quarante-cinq minutes, après une offre de restitution assortie d’une prime de 10 %. Ce type de résolution, autrefois exceptionnel, tend à devenir un réflexe de gestion de crise, encadré par des dispositifs comme le Safe Harbor de la Security Alliance qui codifie les conditions d’un retour de bonne foi. Reste que ces primes récompensent souvent l’auteur du vol lui-même, ce qui soulève des questions que la prime préventive, elle, ne pose pas.

Pour le chercheur honnête, le recouvrement n’est pas vraiment une source de revenus, c’est même une concurrence morale gênante : il rappelle qu’un protocole peut finir par payer plus cher, et plus vite, celui qui l’a vidé que celui qui l’aurait prévenu. La question de savoir qui rembourse in fine après un piratage, entre l’audit, la prime et l’assurance, mérite d’ailleurs son propre examen détaillé.

Ce que ces primes protègent vraiment

Pour juger si une prime médiane à 17 100 euros est chère ou dérisoire, il faut la comparer à ce qu’elle évite. La modélisation d’Immunefi estime le coût moyen d’un piratage réussi autour de 25 millions de dollars (environ 21 millions d’euros), en agrégeant le vol direct, l’effondrement du jeton (souvent supérieur à 60 % dans les six mois) et la suppression durable de valeur qui suit. Sous cet angle, une prime critique est l’une des polices d’assurance les moins chères de la finance : payer l’équivalent d’un salaire annuel pour éviter une perte à huit chiffres relève de l’évidence comptable.

La même recherche montre que le dispositif fonctionne dans la durée : sur 593 programmes suivis, près de 94 % ont fini par révéler au moins une faille critique payée au bout de cinq ans. Autrement dit, un programme de bug bounty tenu assez longtemps finit presque toujours par attraper quelque chose de grave. C’est un argument puissant pour les protocoles, mais il rappelle aussi que la valeur défensive repose entièrement sur l’existence d’une population de chercheurs suffisamment large et suffisamment motivée pour rester dans la course.

Cette masse à protéger n’a jamais été aussi grande. Entre les capitaux institutionnels qui affluent via les produits cotés, un mouvement que nous suivons dans notre analyse de ce que pèse vraiment un milliard sur le Bitcoin, et les centaines de milliards verrouillés dans les contrats DeFi, la surface d’attaque grossit plus vite que la population des défenseurs. Et un badge d’audit ne suffit pas : encore faut-il savoir lire l’audit, pas le badge, car la couverture réelle d’un rapport dépend du périmètre examiné, pas du logo en couverture.

Ce que dit le droit français au hacker éthique

La rémunération n’est qu’une face du métier ; l’autre est le risque juridique, et il reste mal compris. En France, la seule protection dédiée découle de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique, dont l’article 47 a introduit l’article L2321-4 du Code de la défense. Ce texte dispense la personne qui, de bonne foi, transmet à la seule ANSSI une information sur une vulnérabilité, de l’obligation de dénonciation prévue à l’article 40 du Code de procédure pénale, l’ANSSI préservant la confidentialité de son identité.

Attention au malentendu : ce n’est pas une immunité pénale. Comme le rappellent les analyses juridiques françaises, par exemple sur Silicon, le dispositif lève seulement l’obligation de signalement au parquet ; l’accès ou le maintien frauduleux dans un système de traitement automatisé de données reste puni par l’article 323-1 du Code pénal (loi Godfrain), et l’ANSSI conserve la faculté de dénoncer les faits si elle estime que le chercheur n’a pas agi de bonne foi. Le hacker éthique français marche donc sur une ligne étroite, protégé seulement s’il signale, à la bonne autorité, sans exploiter et sans divulguer.

Pour la crypto, ce cadre montre vite ses limites. Exploiter un contrat pour « sauver » des fonds, même avec l’intention de les rendre, ne relève pas de la protection de l’article L2321-4, qui suppose un simple signalement à l’ANSSI, non une intrusion active. Et il faut lever une confusion fréquente : l’AMF et le règlement européen MiCA encadrent les prestataires de services sur crypto-actifs et les émetteurs, pas l’acte de piratage ni le versement d’une prime. Le risque du chercheur se joue au pénal, pas devant le régulateur des marchés. Ce vide explique pourquoi tant de restitutions passent par des négociations privées et des dispositifs comme le Safe Harbor plutôt que par un canal officiel clair.

Ce qu’il faut surveiller d’ici décembre 2026

Trois dynamiques méritent d’être suivies jusqu’à la fin de l’année. La première est l’effet de contagion des coupes : si un acteur crypto majeur imite GitHub en rabotant ses primes publiques au nom de la lutte contre le slop, le signal serait fort, car il toucherait cette fois le cœur du financement de la défense on-chain. La deuxième est l’outillage de triage assisté par IA : les plateformes qui parviendront à filtrer le bruit automatiquement, sans étouffer le signal honnête, pourront rouvrir les vannes des programmes publics ; celles qui échoueront continueront de se replier derrière des cercles fermés.

La troisième est la trajectoire de concentration au sommet. Immunefi a franchi 134 millions de dollars de primes cumulées fin mars 2026 et continue d’étoffer son cercle d’élite ; si cette part captée par les meilleurs continue de croître pendant que la médiane stagne, la profession ressemblera de plus en plus à un sport de très haut niveau doublé d’une longue traîne d’amateurs sous-payés. La santé de la sécurité crypto se lira autant dans le revenu médian d’un chasseur que dans le montant du prochain record, un peu comme les objectifs de prix de fin d’année se lisent mieux dans leur dispersion que dans leur moyenne.

Le paradoxe de 2026 tient en une phrase : jamais autant d’argent n’a été disponible pour récompenser les hackers éthiques, et jamais la porte n’a été aussi étroite pour ceux qui débutent. Entre l’élite qui encaisse et la masse qui trie le bruit généré par des machines, c’est tout un métier qui cherche son nouvel équilibre, et avec lui, une partie de la défense de l’écosystème.

Foire aux questions

Combien gagne un chasseur de bugs crypto en 2026 ?

La distribution est très inégale. Sur Immunefi, la prime critique médiane tourne autour de 20 000 dollars (environ 17 100 euros), la moyenne autour de 114 000 dollars (environ 97 900 euros), tirée vers le haut par une poignée de très gros paiements. Une minorité de chercheurs d’élite dépasse le million cumulé ; l’immense majorité touche des sommes modestes et irrégulières.

Quelle est la plus grosse prime de bug jamais versée ?

Le record d’un paiement unique reste les 10 millions de dollars (environ 8,6 millions d’euros) versés en février 2022 au chercheur satya0x pour une faille dans les contrats du pont Wormhole, via Immunefi. Le plafond affiché le plus élevé de 2026 est celui d’Usual, 16 millions de dollars sur Sherlock, mais un plafond n’est pas une somme versée.

Pourquoi GitHub et curl ont-ils réduit ou fermé leurs bug bounties en 2026 ?

À cause du déluge de rapports générés par IA. Chez curl, la part de signalements réellement valides est passée de plus de 15 % à moins de 5 %, poussant le projet à fermer son programme le 31 janvier 2026. GitHub a divisé par deux ses primes publiques le 27 juillet 2026 et réservé les gros montants à un palier VIP sur invitation, pour réduire le bruit et récompenser les chercheurs confirmés.

Un hacker éthique est-il protégé par la loi en France ?

Partiellement. La loi pour une République numérique de 2016 et l’article L2321-4 du Code de la défense permettent de signaler de bonne foi une vulnérabilité à l’ANSSI sans être dénoncé au parquet. Mais ce n’est pas une immunité pénale : l’accès ou le maintien frauduleux dans un système reste puni par l’article 323-1 du Code pénal, et exploiter un contrat pour « sauver » des fonds n’entre pas dans ce cadre protecteur.

Qu’est-ce qu’une prime de recouvrement (recovery bounty) ?

C’est une récompense proposée après un piratage pour inciter l’attaquant à rendre les fonds, en général autour de 10 % du butin. En mai 2026, le protocole Renegade a récupéré plus de 90 % des actifs en quarante-cinq minutes grâce à une offre de ce type. C’est un instrument distinct de la prime préventive, qui récompense la découverte d’une faille avant tout vol.

Anneke de Vries est correspondante sécurité chez HOGE Wire ; elle couvre les exploits on-chain, les audits et l’économie des primes de bug.