Hacks de ponts 2026 : la traque de l’argent volé

Le 9 août 2026, il aura fallu quatre-vingt-dix-sept minutes pour vider le pont cross-chain de Coreum de près de 200 000 XRP. Quatre-vingt-quatorze transactions se sont succédé, chacune dûment validée par le quorum de dix-sept relayeurs sur vingt-huit prévu par le protocole, sans que rien ne les arrête. Aucune clé privée n’avait été volée. Le registre XRP lui-même n’a jamais été touché. Le logiciel des relayeurs se contentait de lire un mémo de transaction au lieu de contrôler la destination réelle du paiement : l’attaquant a donc enregistré des dépôts fantômes entre ses propres portefeuilles, puis déclenché de vrais retraits depuis les réserves du pont, selon The Cryptonomist.

Le montant, quelque 200 000 dollars (environ 172 000 euros), est dérisoire à l’échelle des grands piratages de ponts. Mais le mécanisme, lui, est devenu l’archétype de l’époque, et il déplace le centre de gravité du récit. Le hack n’est plus l’événement le plus intéressant. Une fois la brèche ouverte, une seconde course démarre, plus lente, plus discrète, souvent plus décisive : celle de l’argent. Il faut le blanchir avant qu’il ne gèle, le tracer avant qu’il ne se fragmente, négocier son retour ou reconstruire ce qui manque. Cet article suit cette seconde course, du portefeuille de l’attaquant jusqu’au bureau du régulateur.

Le vol n’est que le premier acte

Les chiffres racontent d’abord une bonne nouvelle en trompe-l’oeil. Au premier semestre 2026, TRM Labs a recensé 207 piratages pour environ 834 millions d’euros dérobés (972 millions de dollars), en recul de plus de moitié par rapport aux 1,97 milliard d’euros (2,3 milliards de dollars) du premier semestre 2025, alors même que le nombre d’incidents a plus que doublé, de 83 à 207. Autrement dit, on pirate plus souvent, mais on vole moins. La raison tient en une statistique que tout responsable de pont devrait afficher au mur : les compromissions d’infrastructure et d’exploitation représentent environ 15 % des incidents mais 76 % des montants volés, selon TRM Labs.

Traduction : l’argent ne part presque jamais par un bug de Solidity spectaculaire. Il part par une clé volée, une signature contournée ou un serveur compromis. Les ponts concentrent ces trois faiblesses à la fois, parce qu’ils gardent en dépôt des montagnes d’actifs et confient leur sécurité à un petit comité de signataires ou de relayeurs. Dès janvier 2022, Vitalik Buterin prévenait qu’« il existe des limites fondamentales à la sécurité des ponts qui traversent plusieurs zones de souveraineté ». Quatre ans plus tard, la thèse tient toujours.

Le cycle de vie d’un piratage de pont ressemble désormais à une pièce en cinq actes : la brèche, le blanchiment, le gel et la traque, la négociation ou la récupération, puis la régulation. Les protocoles et les médias s’arrêtent souvent au premier acte. C’est une erreur d’analyse, car c’est dans les quatre suivants que se décide qui perd vraiment de l’argent, et combien.

Anatomie express : quatre façons de casser un pont

Avant de suivre l’argent, il faut comprendre comment il sort. Malgré la variété des protocoles, les brèches se rangent dans quatre familles, et cette typologie compte pour la suite : elle détermine s’il existe une clé à révoquer, un contrat à corriger ou, au contraire, plus rien à sauver.

• Le multisig compromis. Le pont exige N signatures sur M ; l’attaquant s’en procure assez. Ronin (mars 2022) reposait sur cinq validateurs sur neuf, mais Sky Mavis en contrôlait cinq de fait. Harmony (juin 2022) n’exigeait que deux signatures sur cinq.
• La vérification trompée. Le pont vérifie bien un message, mais ce message est faux. Wormhole (février 2022) a accepté une fausse attestation de ses gardiens ; KelpDAO (avril 2026) a cru un message cross-chain falsifié ; Coreum a validé des dépôts qui n’existaient pas.
• Le bug de code. La racine de confiance de Nomad avait été initialisée à zéro, rendant tout message valide ; le contrat de Poly Network laissait réécrire la liste des signataires ; BNB Bridge a accepté une fausse preuve de Merkle.
• L’effondrement de l’opérateur. Pas de bug : le PDG de Multichain a été arrêté en Chine en 2023, emportant avec lui l’accès à l’infrastructure MPC, et le protocole s’est effondré.

Nomad a même inauguré un genre nouveau : une fois la faille publiée, des centaines de portefeuilles anonymes ont recopié la transaction de l’attaquant en y substituant leur propre adresse, transformant le vol en pillage collaboratif. Ce réflexe de copier-coller à la vitesse du bloc rappelle la mécanique décrite dans notre enquête sur les stratégies MEV : quand une opportunité apparaît dans le mempool, une nuée d’acteurs se précipite pour la saisir.

Le cas Coreum : un quorum de 17 sur 28 n’a rien empêché

Le piratage de Coreum mérite qu’on s’y arrête, parce qu’il pulvérise une intuition rassurante : l’idée qu’un grand nombre de signataires protège un pont. Le protocole exigeait dix-sept relayeurs honnêtes sur vingt-huit pour valider un mouvement. Ce quorum a bel et bien été atteint pour chacune des quatre-vingt-quatorze transactions frauduleuses. Le problème n’était pas le nombre de signataires, mais ce qu’ils vérifiaient.

Le logiciel de relais confirmait qu’un paiement XRP avait bien eu lieu, en lisait le montant, puis en déduisait le destinataire à partir d’un simple mémo, sans vérifier que les fonds avaient réellement été envoyés au portefeuille du pont. L’attaquant a donc fait circuler ses propres jetons d’un portefeuille à l’autre en y attachant des mémos au format Coreum, créant des dépôts fantômes que les relayeurs, unanimes, ont validés. TX, la marque qui exploite Coreum après la fusion avec Sologenic, a reconnu que le XRP ponté n’était plus intégralement couvert et déposé une plainte auprès du FBI, rapporte The Crypto Times.

Ben Fisch, PDG d’Espresso Systems, avait résumé cette catégorie de faille en analysant KelpDAO : « Le pont a fonctionné comme prévu. Il a simplement cru la mauvaise information. » Il ajoutait que la plupart des ponts ne vérifient pas vraiment ce qui s’est passé sur l’autre chaîne et s’en remettent à un système plus petit pour le leur rapporter. Coreum en est l’illustration parfaite : cent signataires honnêtes n’auraient rien changé, puisque l’information qu’ils validaient était fausse dès le départ.

Le facteur humain : la faille qui signe les transactions

Derrière presque chaque clé volée, il y a un être humain, pas une ligne de code. Le piratage de Ronin en est le cas d’école : les enquêteurs ont attribué l’attaque au groupe Lazarus, qui aurait approché un ingénieur senior de Sky Mavis via une fausse offre d’emploi sur les réseaux professionnels, assortie d’un document piégé ; l’ouverture du fichier a suffi à compromettre les accès nécessaires pour signer les retraits, comme l’a documenté CoinDesk. Le pont n’a pas été cassé : c’est l’humain qui tenait les clés qui a été manipulé.

La Corée du Nord a industrialisé cette approche. Plutôt que de chercher une faille de contrat, ses opérateurs ciblent les personnes qui détiennent les clés : faux profils de recruteurs, faux collègues, parfois faux salariés infiltrés dans les équipes techniques. C’est cohérent avec les 66 % de pertes que TRM attribue à des acteurs nord-coréens au premier semestre 2026 : le même petit nombre de groupes revient, ce qui rend les quatre familles de brèches bien plus liées qu’il n’y paraît. Elles ne sont, au fond, que des manières différentes d’obtenir un accès qui, lui, signe de vraies transactions. C’est aussi ce qui explique pourquoi, une fois l’argent parti, il aboutit si souvent dans les mêmes circuits de blanchiment.

Encaisser, le vrai casse-tête de l’attaquant

Voler est presque devenu la partie facile. Transformer des jetons volés, visibles de tous sur la blockchain, en argent utilisable est autrement plus ardu. Le blanchiment crypto de 2026 s’est industrialisé selon une chorégraphie précise. Le cabinet Global Ledger observe que le blanchiment en plusieurs étapes est désormais la norme, présent dans 99 % des piratages sur 255 cas analysés en 2025, et que les premiers mouvements sont d’une rapidité stupéfiante : dans le cas le plus vif de l’année, les fonds ont commencé à bouger en deux secondes.

La recette type des groupes les plus aguerris tient en quatre temps : vider l’exploit, faire sauter les fonds de chaîne en chaîne via des ponts et des services de swap sans KYC pour brouiller la piste, consolider en stablecoins liquides, puis sortir par des courtiers de gré à gré. Le saut de chaîne (chain-hopping) est l’étape clé, car il oblige l’enquêteur à suivre l’argent à travers des outils qui ne parlent pas la même langue et ne partagent aucun registre commun.

Cette étape explique aussi pourquoi un piratage de pont contamine parfois des protocoles entièrement sains. Quand un actif ponté sert de collatéral ailleurs, une brèche à l’origine se propage aux marchés de prêt qui l’ont accepté. Nous avons détaillé cette mécanique de créances douteuses dans notre autopsie des curateurs DeFi, et la rivalité entre Aave et Morpho montre à quel point la qualité du collatéral ponté conditionne la solidité du crédit on-chain. Sergej Kunz, cofondateur de 1inch, prévient d’ailleurs que dès qu’un actif ponté est traité comme un collatéral légitime, « c’est comme ça que la contagion se propage ». Il pointe une cause plus profonde : « La sécurité n’est souvent pas la priorité. Les équipes se concentrent sur un lancement rapide. »

Les rails de blanchiment 2026 : le pont devient l’outil

Le retournement le plus frappant de ces deux dernières années, c’est que le pont n’est plus seulement la victime : il est aussi l’outil du blanchiment. Selon Global Ledger, les ponts cross-chain ont supplanté les mixeurs comme premier canal de blanchiment, drainant 1,72 milliard d’euros (2,01 milliards de dollars), soit près de la moitié de tous les fonds volés en 2025. La DeFi a suivi, avec des volumes de blanchiment multipliés par 4,3 entre le premier et le second semestre 2025. L’ironie est totale : les mêmes rails qui laissent fuir l’argent servent ensuite à le faire disparaître.

À côté des ponts, une catégorie discrète prospère : les services de swap sans compte ni vérification d’identité. Elliptic estime que ces « coin swaps » ont blanchi plus de 1,03 milliard d’euros (1,2 milliard de dollars) de crypto à haut risque, dont plus de 1,1 milliard de dollars issus de la seule blockchain Bitcoin ; l’utilisateur connecte un portefeuille, reçoit un autre actif, parfois une pièce de confidentialité comme Monero, sans jamais décliner d’identité, précise Elliptic. Chaque outil a toutefois un talon d’Achille pour l’attaquant, résumé ci-dessous.

Tornado Cash : sanctionné, délisté, de retour

Aucun outil ne résume mieux le casse-tête réglementaire que Tornado Cash. En août 2022, le Trésor américain l’a sanctionné en l’accusant d’avoir blanchi plus de 7 milliards de dollars, dont des fonds explicitement rattachés à Ronin, Harmony et Nomad, selon l’OFAC. Puis le vent a tourné. En novembre 2024, la cour d’appel du cinquième circuit a jugé que l’OFAC avait outrepassé ses pouvoirs en sanctionnant des contrats immuables que personne ne contrôle, et le Trésor a retiré Tornado Cash de sa liste noire le 21 mars 2025, comme l’a rapporté Forbes.

La conséquence était prévisible. D’après Global Ledger, l’usage de Tornado Cash est remonté jusqu’à 74,3 % des cas de blanchiment recensés fin 2025 après la levée des sanctions. Le mixeur que l’on croyait mort est redevenu le premier réflexe des blanchisseurs, y compris pour des fonds issus de ponts.

Le paradoxe est le même que pour les ponts : on ne sanctionne pas facilement un code que personne ne pilote, mais on peut poursuivre ses auteurs. En août 2025, un jury de New York a reconnu le cofondateur Roman Storm coupable d’avoir exploité un service de transmission de fonds sans licence, tout en restant divisé sur les chefs les plus graves de blanchiment et de violation de sanctions, note le cabinet Mayer Brown. Le message adressé aux développeurs d’outils de confidentialité est ambigu, et il pèsera longtemps sur la manière dont on construit, ou pas, les ponts de demain.

La course au gel : quand les plateformes s’allient

Face à cette vitesse, la seule parade collective est le gel. Dès qu’une adresse est signalée, exchanges et émetteurs de stablecoins peuvent bloquer les fonds qui transitent chez eux. L’épisode Wanchain de juillet 2026 en a offert une démonstration grandeur nature : après le vol de 515 millions de jetons NIGHT sur le pont Cardano, sept grandes plateformes (Binance, OKX, Kraken, KuCoin, Bybit, Gate et MEXC) ont blacklisté les portefeuilles de l’attaquant, gelé des comptes et suspendu les dépôts et retraits du jeton, rapporte Cryptonews.

La coordination n’a toutefois fonctionné qu’à moitié : environ 290 millions de NIGHT avaient déjà été écoulés sur des DEX Cardano avant le tour de vis. Le gel est une course, et il se gagne ou se perd en quelques minutes. Les émetteurs de stablecoins disposent de la même arme : lors du piratage de BNB Bridge, le gel de la chaîne a permis de bloquer la majeure partie des jetons frauduleux ; dans l’affaire Multichain, du USDC volé reste gelé via la liste noire de Circle, plus de deux ans après les faits. Cette capacité de gel est précisément ce que l’émission native cherche à renforcer, en donnant à l’émetteur un bouton d’arrêt sur ses propres actifs.

Le gel a toutefois ses angles morts. Il ne fonctionne que sur des actifs qu’un tiers peut geler : un émetteur peut figer de l’USDC ou de l’USDT, une plateforme peut bloquer un compte, mais personne ne gèle de l’ETH ou du BTC natif détenu sur une adresse autohébergée. C’est pourquoi les attaquants convertissent au plus vite les jetons gelables en actifs neutres, et privilégient les plateformes décentralisées, hors de portée d’un bouton d’arrêt. La fenêtre utile pour bloquer les fonds se compte en minutes, rarement en heures.

La négociation white-hat : prime ou poursuites

Quand le gel ne suffit pas, il reste la négociation. Le modèle a été inventé en direct par Poly Network en août 2021 : le protocole a publiquement rebaptisé son voleur « M. White Hat », lui a offert une prime de 500 000 dollars et un titre honorifique de conseiller en sécurité, et a récupéré la quasi-totalité des 610 millions de dollars en deux semaines, un dénouement rapporté à l’époque par CNBC.

La méthode s’est routinisée. Nomad a proposé une prime de 10 % et récupéré environ 31 millions d’euros (36 millions de dollars), avant qu’un suspect clé ne soit extradé vers les États-Unis. En 2026, Verus a récupéré 8,5 millions de dollars par un accord white-hat après l’un de ses deux piratages. Wanchain a fixé au 6 août 2026 l’échéance de son offre (garder 10 %, rendre 90 %, aucune poursuite civile), selon The Crypto Times ; à ce jour, aucun retour public n’a confirmé que le pirate a saisi la perche.

La prime white-hat est un aveu déguisé : elle reconnaît qu’une fois les fonds partis, poursuivre coûte cher et récupérer relève de la diplomatie plus que du droit. Elle fonctionne d’autant mieux que l’argent est « bruyant », donc difficile à écouler, ce qui ramène toujours à la traçabilité.

Après le vol, qui rembourse ? Quatre issues

Que la négociation aboutisse ou non, reste la question qui intéresse l’utilisateur : sera-t-il remboursé ? L’histoire récente dessine quatre issues.

• Le filet de sécurité d’un acteur fortuné. Jump Crypto a remplacé les 120 000 ETH de Wormhole en une journée, selon Halborn ; Sky Mavis a bouclé une levée de 150 millions de dollars menée par Binance pour rembourser les victimes de Ronin.
• Le retour white-hat. Poly Network, où le voleur rend tout contre une prime symbolique.
• La reconstruction par coalition. Le nouveau modèle, incarné par KelpDAO.
• Rien. Multichain reste non résolu ; Harmony n’a récupéré qu’une fraction.

Le cas KelpDAO est le plus instructif, parce qu’il invente une réponse mutualisée. Après le vol de 116 500 rsETH (environ 250 millions d’euros, 292 millions de dollars) en avril 2026, une coalition baptisée « DeFi United », réunissant Aave, Mantle et d’autres, a reconstitué la couverture du rsETH en deux tranches sur cinq semaines, récompenses de staking comprises, sans faire porter la perte aux utilisateurs, détaille Incrypted. Le marché rsETH d’Aave a néanmoins absorbé une créance douteuse chiffrée entre 177 et 190 millions de dollars selon les sources, rappel brutal que la contagion a un coût, même quand personne ne perd officiellement.

La traçabilité : pourquoi l’argent volé reste bruyant

Si tant d’affaires se dénouent par des primes ou des gels, c’est parce que la blockchain est un mauvais endroit pour cacher de l’argent. Chaque saut est inscrit, horodaté, public. Les cabinets d’analyse comme TRM Labs, Elliptic ou Chainalysis reconstituent les chemins, étiquettent les adresses et attribuent les vols. Au premier semestre 2026, TRM impute environ 551 millions d’euros (643 millions de dollars), soit 66 % des pertes, à des acteurs liés à la Corée du Nord, un niveau de concentration qui facilite paradoxalement l’attribution.

C’est pourquoi surveiller les mouvements de gros portefeuilles est devenu un métier : un transfert massif issu d’une adresse signalée déclenche des alertes bien avant que les fonds n’atteignent une plateforme, comme le montrent les outils décrits dans notre suivi des alertes baleines. L’argent volé est « chaud » : visible, marqué, et donc difficile à dépenser sans risque.

Charles Hoskinson, fondateur de Cardano, tire de cette guerre d’usure une conclusion sombre. Commentant le piratage de Wanchain, il estime que « tout logiciel subit aujourd’hui un assaut colossal », et compare la sécurité partielle d’un pont au fait d’être « résistant à 90 % à une maladie mortelle : si vous y êtes exposé assez souvent, vous finissez par l’attraper ». La traçabilité rattrape souvent l’argent, mais rarement à temps pour empêcher le vol lui-même.

Le marché revote : la fuite vers Chainlink CCIP

Faute de pouvoir empêcher tous les vols, le marché fait la seule chose qu’il sait faire : il déplace les capitaux vers ce qu’il juge plus sûr. Depuis le choc KelpDAO, un exode s’est amorcé de LayerZero vers Chainlink CCIP. Le 4 août 2026, BitGo a fait de CCIP son fournisseur exclusif pour 7,4 milliards de dollars de Wrapped Bitcoin, portant le total des actifs migrés à près de 15 milliards de dollars (environ 12,9 milliards d’euros), rapporte CoinDesk. BitGo conserve le contrôle de ses contrats et impose des plafonds de débit, une manière de reprendre la main sur le point faible.

La logique de fond est d’assécher le miroir aux alouettes. Les modèles d’émission native (frapper et brûler l’actif à la source plutôt que garder un IOU ponté) suppriment le trésor de guerre que représentait chaque pont. En parallèle, la vérification se muscle : réseaux de plusieurs vérificateurs indépendants, réseaux de gestion des risques, clients légers à preuve zero-knowledge. C’est aussi pourquoi la sécurité offensive gagne du terrain : faire attaquer son propre pont avant les pirates, comme le pratiquent les équipes de red teaming décrites chez Halborn, coûte infiniment moins cher qu’un remboursement.

Ce que l’Europe et l’AMF changent à la donne

Le maillon faible du blanchiment reste la sortie : convertir la crypto en euros suppose de passer, tôt ou tard, par un prestataire régulé. C’est là que l’Europe resserre l’étau. Le règlement sur les transferts de fonds (règlement UE 2023/1113), version européenne de la travel rule, s’applique depuis le 30 décembre 2024 et oblige les prestataires de services sur crypto-actifs (PSCA) à collecter et transmettre l’identité de l’émetteur et du bénéficiaire de chaque transfert, quel que soit le montant.

À cela s’ajoute la nouvelle architecture anti-blanchiment de l’Union : le règlement AMLR et l’autorité AMLA, qui supervisera directement les plus grands PSCA à partir de 2028. En France, la période transitoire des PSAN vers l’agrément MiCA s’est achevée le 1er juillet 2026 ; toute activité non conforme au-delà de cette date constitue désormais un délit passible de deux ans d’emprisonnement et de 30 000 euros d’amende, rappelle l’AMF.

Pour les ponts eux-mêmes, deux textes comptent. L’article 75 de MiCA fixe le régime de responsabilité du prestataire qui assure la garde des actifs, avec charge de la preuve renversée en cas de perte ; le règlement DORA impose une résilience opérationnelle (gestion des incidents, tests, surveillance des prestataires informatiques) qui vise précisément les compromissions d’infrastructure à l’origine des plus gros vols. La régulation ne rend pas les ponts inviolables, mais elle renchérit la sortie de l’argent sale et impose une discipline d’ingénierie longtemps négligée.

2026 : le blanchiment plus rapide, la traque mieux outillée

Le bilan de l’année est en demi-teinte. D’un côté, les blanchisseurs vont plus vite que jamais : deux secondes pour lancer les fonds, des ponts et des swaps sans KYC pour brouiller la piste, un mixeur ressuscité par la justice elle-même. De l’autre, la traque n’a jamais été aussi outillée : attribution quasi systématique, gels coordonnés entre plateformes, coalitions de remboursement, émission native qui vide les ponts de leur butin, et une réglementation européenne qui referme les guichets de sortie.

La leçon des douze derniers mois tient en une phrase : le vol se joue en secondes, mais la partie se gagne ou se perd dans les heures et les semaines qui suivent. Tant que les ponts reposeront sur la promesse qu’un petit comité dit la vérité, le vrai chantier ne sera pas d’empêcher chaque brèche, mais de rendre l’argent volé impossible à dépenser. En 2026, c’est là, dans le second acte, que se joue désormais l’essentiel.

Foire aux questions

Que devient l’argent volé après un hack de pont crypto ?

Il est presque toujours déplacé en quelques secondes, puis blanchi en plusieurs étapes : sauts de chaîne via d’autres ponts, services de swap sans KYC, mixeurs comme Tornado Cash, parfois pièces de confidentialité, avant une consolidation en stablecoins et une sortie par des courtiers de gré à gré. Chaque étape reste toutefois inscrite sur la blockchain, ce qui permet aux cabinets d’analyse de tracer les fonds et aux plateformes de les geler.

Peut-on récupérer les fonds volés lors d’un piratage de pont ?

Parfois. Quatre issues existent : le remboursement par un acteur fortuné (Wormhole, Ronin), le retour volontaire du pirate contre une prime white-hat (Poly Network), la reconstruction par une coalition de protocoles (KelpDAO) ou, dans de nombreux cas, aucune récupération (Multichain). Le résultat dépend surtout de la rapidité du gel, de la solidité financière du projet et de la volonté de négocier.

Pourquoi les ponts cross-chain sont-ils si souvent piratés ?

Parce qu’ils concentrent de gros dépôts d’actifs et confient leur sécurité à un petit groupe de signataires ou de relayeurs. La majorité des vols ne vient pas d’un bug de code mais d’une clé volée, d’une signature contournée ou d’une infrastructure compromise : au premier semestre 2026, ces compromissions ont représenté 15 % des incidents mais 76 % des montants dérobés selon TRM Labs.

Tornado Cash est-il toujours interdit ?

Le Trésor américain a retiré Tornado Cash de sa liste de sanctions le 21 mars 2025, après une décision de justice jugeant que l’OFAC avait outrepassé ses pouvoirs. Le protocole n’est donc plus sanctionné et son usage est reparti à la hausse, mais son cofondateur Roman Storm a été reconnu coupable en août 2025 d’exploitation d’un service de transmission de fonds sans licence. Utiliser le protocole pour blanchir des fonds reste illégal.

Comment l’Europe lutte-t-elle contre le blanchiment lié aux crypto-actifs ?

Le règlement UE 2023/1113 impose depuis fin 2024 la travel rule, soit la transmission de l’identité de l’émetteur et du bénéficiaire pour chaque transfert. S’y ajoutent le règlement AMLR, la nouvelle autorité AMLA (supervision directe des grands PSCA dès 2028), le régime de responsabilité de l’article 75 de MiCA et la résilience opérationnelle exigée par DORA. En France, l’AMF supervise les prestataires et sanctionne les acteurs non conformes depuis la fin de la période transitoire, le 1er juillet 2026.

Par Julien Roy, rédacteur sécurité et enquêtes on-chain, HOGE Wire.