Disjoncteur crypto : le bouton d’arrêt que tout hack réclame

Le 1er octobre 2026, le protocole d’interopérabilité NEAR Intents a repéré une anomalie dans son système de dépôts et de retraits Omni. En quelques minutes, l’équipe a suspendu les opérations sur onze réseaux à la fois, colmaté la faille, puis attendu. Le lendemain, l’attaquant a tout rendu: l’incident s’est soldé par un trou d’environ 3,4 millions d’euros (3,8 millions de dollars) entièrement comblé, et une promesse de remboursement intégral, comme l’a confirmé le cofondateur de NEAR Illia Polosukhin à CoinDesk.

Huit jours plus tard, le 9 octobre, des centaines d’utilisateurs de portefeuilles Ledger en Asie du Sud-Est se réveillaient avec des comptes vides. Un implant logé dans des appareils écoulés par un revendeur avait lu la phrase de récupération directement à l’écran, lors de l’initialisation, et l’avait expédiée par LTE. Plus de 77 millions d’euros (86 millions de dollars) ont filé vers une poignée d’adresses avant que Ledger ne coupe les ponts avec le revendeur CryptoBilis, selon CryptoTicker. Cette fois, il n’y avait aucun bouton à presser: une graine volée ne se met pas en pause.

Entre ces deux histoires tient toute la thèse de cet article. En 2026, le meilleur indicateur pour savoir si les victimes d’un exploit reverront leur argent n’est ni le nombre d’audits, ni l’élégance du code: c’est l’existence d’un bouton d’arrêt qui fonctionne, et la rapidité avec laquelle une main a su le presser. Le disjoncteur, longtemps traité comme un détail d’ingénierie ou une hérésie idéologique, est devenu la vraie ligne de partage entre un protocole qui survit et un protocole qui enterre ses utilisateurs.

La variable qui décide, ce n’est pas le code

Tout post-mortem crypto contient une section que les lecteurs pressés sautent: la chronologie. Détection à telle heure, confinement à telle autre. Or c’est précisément cette horloge, et non le paragraphe sur la cause racine, qui détermine le plus souvent l’issue financière. Un bug peut être spectaculaire; ce qui compte pour l’utilisateur, c’est le temps écoulé entre le premier retrait suspect et le moment où quelqu’un a coupé le courant.

Les chiffres de l’année le confirment. Selon le bilan trimestriel de CertiK relayé par Cointelegraph, le troisième trimestre 2026 a vu disparaître près de 1,13 milliard d’euros (1,26 milliard de dollars) sur 247 incidents, en hausse de près de 54% sur le trimestre. Et comme le documente crypto.news, pour la première fois les compromissions de clés et d’infrastructure ont dépassé les bugs de contrat en valeur volée: la DeFi a perdu plus de 1,16 milliard d’euros en huit mois, et c’est la même attaque qui continue de fonctionner.

Ronghui Gu, cofondateur de CertiK, résume le basculement dans une formule reprise par Forbes: un protocole peut passer un audit de code irréprochable et perdre des millions à cause d’une clé d’administration compromise. Autrement dit, l’audit vérifie si le code fait ce qu’il doit; il ne dit rien de ce qui se passe quand un adversaire s’empare des commandes. Notre comparatif des cabinets d’audit de fin 2026 montre d’ailleurs que les plus grosses pertes de l’année ont frappé des projets dûment audités. Ce qui prédit un remboursement, ce n’est pas le label; c’est un interrupteur et de la vitesse. Avec un corollaire inconfortable: cet interrupteur est une forme de centralisation, celle-là même que la crypto a passé une décennie à promettre d’abolir.

Anatomie du bouton d’arrêt : cinq familles

Le bouton d’arrêt n’est pas une chose unique. On en distingue au moins cinq familles, qui se classent selon deux questions: qui tient la main sur le levier, et qu’est-ce que le levier arrête exactement. Plus le dispositif est efficace, plus la main qui l’actionne est concentrée.

Ce tableau cache une tension permanente. Les trois premières familles vivent dans le code ou le consensus; les deux dernières vivent chez des acteurs identifiables, donc attaquables, saisissables et responsables au sens juridique. Chaque descente dans la liste gagne en efficacité et perd en décentralisation. C’est le dilemme central du reste de cet article.

Quand le bouton a sauvé la mise

Le 18 août 2026, Maya Protocol a offert un cas d’école. Un seul message de dépôt en vingt-trois instructions a déclenché une cascade de six bugs qui a fait naître 49,45 millions de jetons CACAO fantômes, pour un drain direct d’environ 1,5 million d’euros (1,7 million de dollars) et un effondrement de 88% du cours. Le fondateur Aaluxx Myth a ordonné un halt global sur Discord, et MAYAChain est resté à l’arrêt jusqu’à ce que les six failles soient corrigées, comme l’a raconté crypto.news. L’arrêt a plafonné l’hémorragie: sans lui, la cascade aurait continué de vider des pools jusqu’à épuisement.

Cinq jours plus tard, Term Finance a montré une version plus fine du même geste. Face à un détournement de gouvernance d’environ 7,6 millions d’euros (8,5 millions de dollars), l’équipe a révoqué les rôles de la DAO et fermé les dépôts, tout en laissant les retraits ouverts, d’après The Crypto Times. Un scalpel plutôt qu’une masse: on neutralise la surface compromise sans prendre les utilisateurs légitimes en otage.

On retrouve ce réflexe dans l’incident NEAR Intents du 1er octobre, et plus tôt dans l’année chez Gnosis Pay. Le 1er juin 2026, une faille de validation de signature (une erreur ERC-1271 dormante depuis 2023) a touché 5 281 portefeuilles; détectée à 06h17 UTC, la cause racine a été isolée en environ deux heures, et les utilisateurs ont été remboursés à 100%, 99% des fonds étant restaurés en quelques jours selon crypto.news. Le dénominateur commun saute aux yeux: dans chaque cas, l’équipe pouvait arrêter la machine et disposait, en trésorerie ou en fonds récupérés, de quoi rendre les utilisateurs entiers. La pause achète du temps; quelqu’un paie quand même la facture, un arbitrage que nous avons détaillé dans notre dossier sur la trésorerie crypto et l’accès au capital.

Quand la chaîne entière gèle les fonds

Un cran au-dessus de la pause de contrat, il y a le gel décidé par ceux qui valident la chaîne. Le cas le plus discuté reste Cetus, sur Sui, le 22 mai 2025. Un exploit par jeton falsifié a drainé plus de 200 millions d’euros (223 millions de dollars); environ 60 millions ont filé vers Ethereum avant que l’alarme ne se déclenche, mais près de 145 millions d’euros (162 millions de dollars) ont été gelés sur Sui en quelques heures par environ 114 validateurs épaulés par Mysten Labs. Un vote de gouvernance, bouclé le 29 mai avec 90,9% d’approbation et clôturé après seulement deux jours tant le soutien était massif, a ensuite envoyé ces fonds vers un trust de restitution, comme l’a rapporté The Block.

C’est aussi la version la plus tranchante du paradoxe. Si 114 validateurs peuvent geler une adresse, ils peuvent geler n’importe quelle adresse. L’épisode a déclenché un vrai débat sur la décentralisation, certains saluant une réaction rapide et coordonnée, d’autres dénonçant une capacité de censure déguisée en sauvetage, comme l’a documenté Cointelegraph. Le même outil qui rend l’argent peut, demain, le confisquer.

Les Layer 2 ont importé cette logique sous une forme institutionnalisée. Après l’exploit de KelpDAO, le Security Council d’Arbitrum a gelé quelque 30 000 ETH, bloquant une seconde tentative de drain, selon l’analyse de Chainalysis. Un comité d’urgence agissant comme disjoncteur: un pouvoir que nous replaçons dans le contexte plus large de l’économie des séquenceurs dans notre analyse des frais L2 et de la marge des séquenceurs. Et l’ancêtre de tous ces gestes reste le halt de BNB Chain en octobre 2022: une preuve IAVL falsifiée avait permis d’émettre environ 2 millions de BNB, soit près de 509 millions d’euros (568 millions de dollars), mais la coordination des validateurs pour arrêter la chaîne a limité la fuite réelle à environ 90 millions d’euros avant qu’un hard fork ne colmate la faille, comme l’expliquait CoinDesk. Le halt a transformé une émission d’un demi-milliard en une perte dix fois moindre.

L’arrêt de fédération : le cas Liquid

Le 6 septembre 2026, Liquid Network a illustré une quatrième famille. Une collision de clé de cache dans la vérification des preuves de montant d’Elements a permis d’émettre environ 4 000 L-BTC non adossés, puis de les sortir vers le Bitcoin natif. La fédération, 11 fonctionnaires sur 15, a signé un peg-out qu’elle croyait valide: un multisig, aussi honnête soit-il, ne détecte pas un bug de consensus, il se contente de valider ce que le logiciel lui présente comme vrai, ainsi que l’a disséqué le post-mortem de Halborn.

Ce que la fédération ne pouvait pas empêcher, elle pouvait toutefois l’arrêter. Blockstream a halté les noeuds du pont, et Adam Back a indiqué que l’entreprise couvrirait la parité 1:1 entre L-BTC et BTC. L’attaquant a restitué 3 400 BTC; environ 602 BTC, soit près de 45 millions d’euros aux cours du 14 octobre, restaient dehors, et Blockstream a refusé toute rançon en qualifiant l’opération de vol et non de divulgation responsable, selon Bitcoin.com. Back a imputé l’incident à une correction défectueuse d’un bug initialement trouvé par une IA. La leçon rejoint celle de Maya et de Gnosis Pay: l’incapacité à prévenir le bug importe moins que la capacité à couper, doublée d’un bilan assez solide pour éponger la perte.

Quand il n’existe aucun bouton

Il faut maintenant regarder l’envers du décor, là où aucun levier n’existe. L’auto-conservation matérielle en est l’exemple le plus brutal. Le hack de Coldcard de l’été 2026 (environ 104 millions d’euros, 116 millions de dollars, dus à un générateur d’aléa affaibli par une erreur de compilation du firmware remontant à 2021, selon TRM Labs) et l’implant Ledger/CryptoBilis du 9 octobre racontent la même histoire: une fois la graine compromise, il n’y a ni pause, ni guardian, ni vote. Se garder soi-même, c’est être souverain, et la souveraineté n’a pas de touche annuler.

L’autre visage de l’absence de bouton, c’est Nomad, en août 2022. L’exploit par copier-coller s’est mué en pillage chaotique précisément parce qu’aucun disjoncteur n’était là pour stopper le drain en plein vol: des centaines d’imitateurs ont vidé le pont transaction après transaction. Environ 167 millions d’euros (186 millions de dollars) sont partis, et seuls quelque 33 millions ont pu être récupérés, comme l’a rappelé Decrypt. Cette absence de frein n’est pas un oubli technique anodin: c’est le point que le régulateur américain allait transformer, trois ans plus tard, en faute juridique. L’absence de bouton d’arrêt est elle-même un choix de conception, et de plus en plus un choix qui engage une responsabilité.

L’horloge de la réponse

Rangés les uns sous les autres, ces incidents dessinent une corrélation nette entre la rapidité de l’arrêt et la qualité de l’issue. Le tableau ci-dessous ne mesure pas la gravité du bug, mais la vitesse de réaction et son résultat.

La lecture de haut en bas est presque mécanique: plus l’arrêt est rapide et total, meilleur est le sort des utilisateurs; les lignes sans bouton sont les catastrophes. Aucun audit ne figure dans ce tableau, et c’est précisément le propos.

Le gel hors-chaîne : le disjoncteur que la DeFi n’a pas

Quand un protocole n’a aucun levier interne, le dernier disjoncteur appartient à celui qui émet la monnaie. Le 9 octobre 2026, THORChain, un DEX qui se présente comme structurellement incapable de geler des fonds, a vu Tether mettre sur liste noire ses adresses de coffre sur Tron et geler environ 1,3 million d’euros (1,45 million de dollars) d’USDT, suspendant ses opérations basées sur Tron, comme l’a relevé NullTX. L’ironie est totale: même une place prétendue inarrêtable plie devant l’interrupteur de l’émetteur de stablecoin.

Ce pouvoir s’est institutionnalisé. L’unité T3 Financial Crime Unit, qui réunit Tether, TRON et TRM Labs, revendique plus de 400 millions d’euros (450 millions de dollars) gelés depuis son lancement fin 2024, avec des interventions en moins de 24 heures dans 23 juridictions, et a gelé en avril 2026 quelque 308 millions d’euros (344,2 millions de dollars) liés à l’Iran, selon Tether. C’est le disjoncteur social que l’architecture de la DeFi s’interdit par principe et que les stablecoins centralisés conservent par conception. Pour le trader, cela déplace aussi la question du contrôle réel d’un marché, un angle que nous creusons dans notre analyse des perp DEX et de leur virage onshore: un carnet d’ordres peut être on-chain et pourtant dépendre, en dernier ressort, d’un émetteur qui peut geler la jambe stablecoin de chaque position.

Le paradoxe : le bouton est aussi une surface d’attaque

Tout bouton d’arrêt est une fonction privilégiée, et toute fonction privilégiée est une cible. C’est la seconde moitié de la mise en garde de Ronghui Gu: la clé d’administration qui sauve est aussi la clé d’administration qui perd. Aave en fournit l’illustration la plus concrète. Son Protocol Emergency Guardian est un multisig 4 sur 7, dont l’identité des signataires n’est pas publiée depuis la rotation de mai 2026 afin d’en réduire la surface d’attaque, et qui peut court-circuiter le timelock de gouvernance pour appeler sans délai les fonctions pause() et freezeReserve() sur les 19 déploiements du protocole.

C’est un outil de sauvetage redoutable, et une cible de choix. En septembre 2026, la gouvernance d’Aave débattait justement d’un élargissement de ces pouvoirs d’urgence, autorisant le gel rapide de marchés vulnérables sans publication immédiate, ce qui a ravivé la question du qui surveille le gardien, comme l’a rapporté Bitcoinist. Le débat se tient à ciel ouvert sur le forum de gouvernance d’Aave, ce qui est sain, mais ne dissout pas le problème: concentrer le pouvoir d’arrêter, c’est créer un point de contrôle que quelqu’un peut viser.

Term Finance l’a appris dans le mauvais sens. L’attaquant n’a pas cassé le code: il a raflé la majorité d’un jeton de gouvernance peu distribué et s’est voté lui-même les droits de ponction. L’interrupteur de gouvernance est devenu l’exploit. Le disjoncteur se tient donc sur une ligne de crête: trop faible, il ne stoppe pas une fuite; trop fort, il devient le goulet centralisé qu’un attaquant, mais aussi une décision de justice ou une sanction, pourra s’approprier.

ERC-7265 : le standard que personne n’a adopté

Face au problème du drain en quelques secondes, la réponse technique la plus propre est un limiteur de débit: on plafonne les sorties par fenêtre de temps, et un drain déclenche automatiquement le disjoncteur, sans intervention humaine. C’est l’idée d’ERC-7265, proposé mi-2023: un disjoncteur on-chain qui met en pause les transferts dès qu’un seuil de sortie par actif est franchi, de sorte qu’un attaquant ne puisse jamais vider un contrat en un seul bloc, comme l’expliquait alors The Block. Le mécanisme est paramétrable actif par actif, ce que détaille le guide de Cointelegraph.

Trois ans plus tard, l’adoption reste anecdotique. La plupart des équipes préfèrent leur propre pause par guardian, qu’il s’agisse du modificateur Pausable d’OpenZeppelin ou du rôle EMERGENCY_ADMIN d’Aave, plutôt qu’un disjoncteur automatique normalisé. Les raisons sont prosaïques: un limiteur de débit coûte du gas, ajoute de la friction, peut être contourné et risque de bloquer des utilisateurs honnêtes en pleine volatilité, là où un gardien humain paraît plus souple. Le résultat est une mosaïque de dispositifs maison, précisément ce que les régulateurs ont commencé à remarquer.

Les régulateurs veulent le bouton : FTC et Data Act

En décembre 2025, la Federal Trade Commission américaine a conclu un règlement avec Illusory Systems, la société derrière Nomad, au sujet du hack de 2022. Le texte reproche à l’entreprise l’absence d’un plan de sécurité écrit, de processus de signalement et de réponse aux vulnérabilités, mais aussi l’absence de normes dites largement admises par l’industrie, à savoir des disjoncteurs ou un bouton d’arrêt capables de cesser immédiatement le fonctionnement du pont en présence de transactions suspectes, selon CyberScoop. Le règlement impose un programme formel de sécurité de l’information, des audits indépendants bisannuels et la restitution des fonds récupérés.

La réaction du secteur a été vive. Quatre associations professionnelles crypto, rejointes par Consensys, ont contesté la démarche dans une lettre début 2026. Pour Bill Hughes, conseiller juridique senior de Consensys, les disjoncteurs ne constituent pas un standard de l’industrie aujourd’hui, et ne l’étaient pas davantage à l’époque de Nomad, rapporte DL News. Les associations ajoutaient qu’un bouton d’arrêt exige un contrôle privilégié ou une autre autorité centralisée, et pourrait même rendre le logiciel plus vulnérable. On tient là le noeud: un régulateur exige un dispositif que l’industrie juge à la fois non standard et contraire à la décentralisation.

L’Europe a devancé ce débat. Le Data Act, approuvé par le Parlement en novembre 2023, impose en son article 30 que les contrats intelligents de partage de données intègrent des fonctions de résiliation et d’interruption sûres, c’est-à-dire des mécanismes internes capables d’arrêter ou de réinitialiser le contrat, comme l’a relevé CoinDesk. Surnommé le kill switch des smart contracts par Cointelegraph, le dispositif ne vise formellement que l’automatisation du partage de données et exclut les réseaux privés, mais le principe est désormais gravé dans le droit de l’Union: le régulateur veut un interrupteur.

France et Europe : AMF, MiCA, DORA et la zone grise DeFi

Pour un utilisateur français, la question du bouton se superpose à celle du statut réglementaire. MiCA encadre les prestataires de services sur crypto-actifs, les CASP (exchanges, conservateurs), sous la supervision de l’AMF; le règlement n’impose aucune pause on-chain, mais un conservateur agréé est tenu de disposer de contrôles opérationnels sérieux. DORA, en vigueur depuis janvier 2025, va plus loin en exigeant des CASP et des entités financières une résilience opérationnelle, une réponse aux incidents et une continuité d’activité: un bouton d’arrêt au niveau de l’entreprise, avec sa procédure écrite, et non au niveau du smart contract.

Le trou dans la raquette, c’est la DeFi réellement décentralisée, qui échappe aux deux. Si un particulier français est vidé sur un protocole autonome, il n’y a pas de CASP à qui se plaindre, pas de fonds de garantie, et les pouvoirs de l’AMF en matière d’abus de marché (titre VI de MiCA) visent des actifs listés, pas du code autonome. L’AMF rappelle d’ailleurs que la période transitoire s’est achevée mi-2026 et que les prestataires non conformes doivent se retirer; mais ce régime couvre les intermédiaires, pas les protocoles sans tête. Résultat: le post-mortem et le dispositif d’arrêt que l’équipe a bien voulu construire sont le seul recours effectif. Les règles DeFi dédiées ne sont pas attendues avant 2027-2028.

Le disjoncteur traîne enfin son propre venin juridique. Dès qu’une équipe peut geler des fonds, elle ressemble à un acteur centralisé, donc à un opérateur juridiquement responsable, c’est précisément le fil qui court dans les procès où s’affrontent aujourd’hui code is law et droit pénal, comme nous l’avons raconté dans notre enquête sur le post-mortem qui finit au tribunal. Un interrupteur qui protège les utilisateurs peut aussi faire de vous l’exploitant que la loi tiendra pour comptable.

Comment lire la section réponse d’un post-mortem

La prochaine fois qu’un rapport d’incident paraît, sautez directement à la chronologie et à la section réponse. Voici la grille de lecture, du bon signe au signal d’alarme.

• Bon signe: une pause ciblée, sur un marché ou un module, plutôt qu’un gel total de la chaîne.
• Bon signe: un délai court entre la détection et l’arrêt, des minutes et non des jours.
• Bon signe: un guardian multisig documenté, avec un timelock pour les actions non urgentes.
• Bon signe: l’adhésion au SEAL Safe Harbor (retour sous 72 heures, prime plafonnée à environ 900 000 euros).
• Bon signe: des utilisateurs remboursés et un correctif réaudité avant la reprise.
• Mauvais signe: aucun bouton d’arrêt, ou à l’inverse une clé d’administration unique et illimitée.
• Mauvais signe: une détection lente et une fuite étalée sur des heures sans réaction.
• Mauvais signe: un gel opaque, sans adresse de récupération ni calendrier de restitution.
• Mauvais signe: une reprise des opérations sans post-mortem public ni correctif vérifiable.

La vérité inconfortable de 2026 est que la fonction de sécurité la plus utile de la crypto est un bouton qui contredit son idéologie fondatrice. Les protocoles qui rendent leurs utilisateurs entiers sont ceux qui acceptent d’être, le temps de quelques heures, assez centralisés pour appuyer sur stop. Le débat n’est plus de savoir s’il faut un disjoncteur, mais qui a le droit de tenir la main dessus, et si un régulateur ne finira pas par trancher à votre place. Entre le dogme du code inarrêtable et le réflexe du gardien qui coupe, la crypto a passé l’année à choisir, incident après incident, la seconde option.

Foire aux questions

Qu’est-ce qu’un bouton d’arrêt (kill switch) dans un protocole crypto ?

C’est un mécanisme qui permet de stopper ou de limiter un protocole pendant un exploit. Il en existe cinq grandes familles: la pause de contrat, la suspension d’un module ou d’un rôle, le halt des validateurs, l’arrêt d’une fédération et le gel hors-chaîne par un émetteur de stablecoin. Chacune contredit un peu l’idéal du code inarrêtable, mais c’est souvent elle qui détermine si les victimes sont remboursées.

Un disjoncteur aurait-il évité le hack de Nomad ?

Il n’aurait pas empêché le bug, mais un disjoncteur ou un limiteur de débit aurait pu plafonner la fuite avant que des centaines d’imitateurs ne vident le pont. C’est cette absence que la FTC a reprochée à l’opérateur de Nomad en 2025: environ 167 millions d’euros ont été volés et seuls quelque 33 millions ont été récupérés.

Pourquoi la DeFi refuse-t-elle souvent un bouton d’arrêt ?

Parce qu’une pause est un pouvoir privilégié et centralisé: elle crée une surface d’attaque (une clé ou un multisig à viser), contredit la promesse de décentralisation et expose l’équipe à une responsabilité juridique d’opérateur. C’est pour ces raisons que le standard ERC-7265, pourtant conçu pour normaliser les disjoncteurs on-chain, reste très peu adopté.

La réglementation française impose-t-elle un kill switch ?

Pas pour la DeFi autonome. Via l’AMF, MiCA et DORA exigent des CASP (exchanges, conservateurs) une résilience opérationnelle au niveau de l’entreprise, et le Data Act européen impose une fonction d’arrêt pour les contrats de partage de données. Mais un protocole réellement décentralisé reste dans une zone grise, sans obligation de pause, au moins jusqu’aux règles DeFi attendues en 2027-2028.

Comment savoir si un protocole dispose d’un bon dispositif d’arrêt ?

Lisez la chronologie du post-mortem. Les bons signes sont une pause ciblée plutôt qu’un gel total, un délai court entre détection et arrêt, un guardian multisig documenté avec timelock, l’adhésion au SEAL Safe Harbor et des utilisateurs remboursés avant toute reprise. Les mauvais signes sont l’absence de tout bouton ou, à l’inverse, une clé d’administration unique et illimitée.

Anneke de Vries couvre la sécurité et les exploits pour HOGE Wire.