Bug bounty 2026 : le prix affiché n’est pas la prime versée

En avril 2025, le protocole de stablecoin Usual a inscrit sur la plateforme Sherlock la plus grosse prime de bug bounty jamais affichée dans la tech : un plafond de 16 millions de dollars, près de 13,8 millions d’euros au cours d’août 2026. Dix-huit mois plus tard, personne ne l’a encaissé. Ce nombre n’est pas une promesse de versement, c’est un signal de prix : il annonce aux meilleurs chercheurs en sécurité de la planète qu’un rapport sérieux sera traité comme tel, sans garantir qu’un seul euro change de main.

Au même moment, la prime médiane réellement versée pour une faille critique sur Immunefi, la plus grande plateforme du secteur, tourne autour de 20 000 dollars, soit un peu plus de 17 000 euros. Entre le plafond en vitrine et la somme qui atterrit sur le compte du chercheur, il y a deux ordres de grandeur. Ce fossé n’est pas une anomalie du marché des primes ; il en est le mécanisme central. Et en 2026, un troisième facteur s’y ajoute : un afflux de faux rapports générés par IA qui pousse les programmes, crypto comme hors crypto, à resserrer les barèmes.

Le plafond record : 16 millions de dollars que personne n’a encaissés

La prime d’Usual n’est pas seulement la plus élevée de la crypto, c’est la plus élevée de toute l’industrie technologique, selon The Block. Elle dépasse les 15,5 millions de dollars (environ 13,4 millions d’euros) affichés par Uniswap v4 et les 15 millions (près de 13 millions d’euros) de LayerZero. Adossée à une couverture de Nexus Mutual, elle repose sur un principe simple : récompenser un chercheur à hauteur d’une fraction du capital qu’il a empêché de partir, dans la limite du plafond.

Le détail qui donne le vertige n’est pas le montant, c’est le contexte. Le code d’Usual avait déjà traversé une vingtaine d’audits, dont un concours d’audit doté d’environ 209 000 dollars qui n’avait remonté aucune faille de gravité moyenne ou supérieure jugée valide. Poser une prime de 16 millions sur une base de code auditée vingt fois, ce n’est pas admettre qu’elle est truffée de bugs : c’est reconnaître qu’un audit ponctuel, aussi rigoureux soit-il, ne voit jamais tout, et qu’il faut payer pour garder des yeux dessus en permanence.

Autrement dit, le plafond fonctionne comme une enseigne lumineuse. Il attire l’attention des chercheurs les plus rares, ceux capables de trouver la faille à huit chiffres, sans que le protocole s’attende réellement à signer un chèque de cette taille. Le chiffre en vitrine sert à recruter ; il ne prédit pas la dépense. C’est un point que perdent de vue la plupart des titres de presse qui saluent un nouveau record de plafond comme s’il s’agissait d’un versement. Cette confusion n’est pas anodine : elle gonfle la perception du budget que la crypto consacre vraiment à sa défense, alors que la dépense réelle, on va le voir, se compte en dizaines de millions par an, pas en centaines.

La facture réelle : 17 000 euros de médiane pour une faille critique

Descendons du plafond vers le plancher statistique. D’après l’analyse d’Immunefi portant sur des centaines de programmes actifs depuis 2021, la prime médiane pour une faille critique s’établit à 20 000 dollars, environ 17 300 euros. La moyenne, elle, grimpe à 114 355 dollars (près de 99 000 euros). L’écart entre médiane et moyenne raconte toute l’histoire : une poignée de versements géants tire la moyenne vers le haut, tandis que la majorité des critiques se règlent à quatre ou cinq chiffres.

Sur l’ensemble de son historique, Immunefi a distribué plus de 107 millions de dollars (environ 92 millions d’euros) rien qu’en primes de gravité critique. Environ un rapport confirmé sur cinq est classé critique, et plus un programme vit longtemps, plus il finit par livrer au moins une faille critique payante : après trois ans d’existence, la quasi-totalité des programmes de longue durée ont fini par trouver et payer au moins une critique. La sécurité n’est jamais terminée, elle se loue au mois.

Le message d’Immunefi à ses clients tient en une formule qu’elle répète volontiers : la prime médiane pour une critique coûte 20 000 dollars, alors que le hack qu’elle évite en coûte 25 millions et trois mois de votre vie. C’est là le premier enseignement : pour le chercheur ordinaire, le bug bounty n’a rien d’un billet de loterie à sept chiffres. C’est un métier de patience, payé le plus souvent au prix d’un bon salaire annuel pour une trouvaille qui a demandé des semaines. Encore ce montant récompense-t-il bien plus que l’éclair de génie : il faut écrire une preuve d’exploitation reproductible, coopérer avec l’équipe pendant la correction, puis patienter jusqu’à la fin de la période de divulgation avant de toucher quoi que ce soit. Peu de chercheurs en vivent à plein temps.

Comment se fixe un plafond : primauté de l’impact et 10 % du capital exposé

Pour comprendre pourquoi un plafond atteint 16 millions et une médiane 20 000, il faut regarder la mécanique de tarification. La plupart des grands programmes appliquent deux principes hérités du modèle d’Immunefi. Le premier, la primauté de l’impact (« Primacy of Impact »), consiste à classer une faille selon ce qu’elle permettrait vraiment de faire sur le réseau principal, pas selon la ligne de code concernée ou l’endroit précis où elle se niche. Le second indexe la récompense sur les fonds réellement mis en danger, souvent à hauteur de 10 %, dans la limite d’un plafond.

Ce calcul explique tout. Un plafond de 16 millions suppose de protéger, au taux de 10 %, un capital de l’ordre de 160 millions ou davantage. Le plafond n’est donc pas une mesure de générosité : c’est une fonction de la taille du trésor à défendre. Un protocole qui garde des milliards en jeu peut afficher un plafond à huit chiffres tout en ne versant, en pratique, que des primes moyennes, parce que la plupart des rapports décrivent des impacts partiels (une fonction gelée, un vol borné à un pool), pas la prise de contrôle totale du coffre.

Les barèmes cascadent ensuite par gravité, du critique au faible, chaque cran valant une fraction du précédent. Une faille critique, celle qui vide un coffre ou frappe des jetons à l’infini, vaut le plafond ; une faille de gravité élevée, qui gèle des fonds ou casse une fonction sans permettre de les voler, en vaut une portion ; les rapports de niveau moyen ou faible se règlent en centaines ou en quelques milliers d’euros. Cette pyramide explique pourquoi la médiane vit si loin sous le sommet : les impacts totaux sont rares, les impacts partiels sont le quotidien. Cette logique éclaire aussi la différence entre un audit et une prime. L’audit est une photographie : un cabinet examine le code à un instant donné, contre un forfait. La prime est un flux continu, ouvert à des dizaines de milliers de regards. « Les audits ponctuels sont indispensables, mais ils n’ont jamais été conçus pour porter à eux seuls tout le poids de la sécurité », résume Jack Sanford, cofondateur de Sherlock, dans Crypto Briefing. Le plafond de la prime est le prix que le protocole met sur ce qui échappe à la photo.

Wormhole : le seul record que le paiement a suivi

Existe-t-il un cas où le plafond et la facture se rejoignent ? Oui, un seul de cette ampleur. Le 24 février 2022, un chercheur connu sous le pseudonyme satya0x a signalé, via Immunefi, une faille dans la machinerie de mise à jour des contrats du pont Wormhole. Exploitée, elle aurait pu donner à un attaquant le contrôle des contrats du pont. La récompense : 10 millions de dollars (environ 8,6 millions d’euros), le plus gros versement unique jamais réalisé dans la crypto, rapporté à l’époque par The Block.

Le contexte rend le geste plus lourd de sens. Trois semaines plus tôt, le 2 février 2022, Wormhole avait subi l’un des plus gros vols de l’histoire des ponts : une faille de vérification de signature avait permis de frapper 120 000 wETH, un trou d’environ 323 millions de dollars comblé par Jump Crypto. La prime versée à satya0x ne réparait pas ce vol ; elle récompensait une faille distincte, trouvée et divulguée de façon responsable, sans qu’un centime ne soit perdu. Immunefi y voyait un message clair : les meilleurs whitehats de la planète seraient bien traités s’ils choisissaient la divulgation plutôt que l’exploitation.

Ce versement reste une exception par son ampleur, et il éclaire une règle plus large. Les ponts inter-chaînes concentrent une part démesurée des pertes de la crypto, et la logique du bug bounty y est la même qu’ailleurs : payer pour qu’un défaut soit signalé plutôt qu’exploité, une bascule que nous avons détaillée dans notre analyse de la sécurité des ponts cross-chain. Wormhole est le cas rare où le plafond et la facture coïncident : une prime quasi record, honorée intégralement, parce que l’impact évité était lui aussi quasi total. Partout ailleurs, l’écart entre le chiffre affiché et la somme versée est la règle, pas l’exception, et c’est le sujet du reste de cet article.

Arbitrum contre Riptide : quand un plafond de 2 millions devient 400 ETH

Le contre-exemple est tout aussi célèbre, et c’est lui qui a fait entrer le débat du plafond affiché contre la prime versée dans le folklore des chercheurs. Le 19 septembre 2022, un whitehat opérant sous le nom de Riptide a découvert dans Arbitrum Nitro une faille du séquenceur d’entrée qui lui aurait permis de détourner tout l’ETH entrant vers le pont reliant la couche 1 à la couche 2. Le capital exposé : environ 470 millions de dollars. Le plafond annoncé du programme : 2 millions de dollars.

La prime effectivement versée : 400 ETH, soit environ 540 000 dollars à l’époque, l’euro et le dollar évoluant alors autour de la parité. Riptide n’a pas caché sa colère, et sa formule est depuis citée comme un avertissement au secteur : « Si vous affichez une prime de 2 millions, soyez prêts à la payer quand elle est justifiée. Sinon, dites simplement que la prime maximale est de 400 ETH et n’en parlons plus », a-t-il écrit, rapporté par CryptoPotato.

Son argument dépasse le cas d’espèce. Les chercheurs, rappelait-il, observent quels projets paient et lesquels rechignent ; sous-payer une trouvaille critique, c’est risquer d’inciter un whitehat à passer de l’autre côté. Quand la prime honnête vaut 540 000 dollars et que le butin d’un vol atteint 470 millions, l’écart de tentation devient vertigineux. C’est précisément ce facteur humain qui décide, in fine, qu’une faille finit en rapport ou en exploit, un ressort que nous avons exploré dans notre enquête sur le vol de clés privées. L’affaire Arbitrum a d’ailleurs durablement changé les attentes : depuis, les meilleurs chercheurs lisent les conditions d’un programme comme un contrat, en repérant les clauses qui permettraient à un protocole de requalifier un impact critique en simple gravité élevée pour réduire l’addition.

Le classement 2026 des plafonds

Combien vaut, en vitrine, la sécurité des grands protocoles en 2026 ? Le marché du bug bounty crypto affiche désormais plus de 162 millions de dollars (environ 140 millions d’euros) de récompenses potentielles cumulées, réparties sur des centaines de programmes actifs, selon le décompte de Sherlock. Voici les plafonds les plus élevés, convertis au cours d’août 2026.

Ces montants sont des plafonds, pas des versements. Ils dessinent une hiérarchie : plus le capital verrouillé est important, plus l’enseigne est haute. Le cas d’Optimism mérite un mot, car son plafond de 2 000 042 dollars n’a rien d’un chiffre rond par hasard. Il commémore la prime de 2 millions versée en 2022 à Jay Freeman, alias saurik, pour une faille de frappe infinie d’ETH sur la couche 2, complétée de 100 000 dollars par Boba Network ; les 42 dollars sont un clin d’oeil devenu signature, une manière de rappeler que le protocole a réellement payé. Ces montants dessinent une hiérarchie claire, mais ils ne disent rien de ce qui change de main en pratique, comme le montre le tableau suivant.

Plafond affiché contre prime versée

Mettons face à face les deux colonnes qui comptent : ce qui est promis et ce qui est payé. Le tableau ci-dessous résume les quatre situations types du marché, du plafond jamais touché à la médiane statistique, en passant par le record honoré et l’écart contesté. C’est cette grille, plus que n’importe quel classement, qui dit la valeur réelle d’une faille.

La lecture est brutale : sauf impact quasi total, comme chez Wormhole, la prime versée n’a presque aucun rapport avec le plafond affiché. Les grands nombres servent à attirer et à rassurer les utilisateurs ; la médiane, elle, rémunère un travail. Ce décalage n’est pas propre au bug bounty : il ressemble à la prime d’assurance d’un risque rare, où la sinistralité réelle reste bien inférieure à la couverture maximale. Les mêmes classes de failles qui déclenchent ces primes, des attaques de gouvernance aux prises de contrôle de contrats, sont celles que nous décortiquons dans notre anatomie des attaques de gouvernance.

Le déluge d’IA : quand les fausses failles rabotent les primes

En 2026, un nouveau venu a commencé à peser sur les barèmes : l’IA générative. Le problème n’est pas que des modèles trouvent des failles, c’est qu’ils produisent en masse des rapports qui en ont l’apparence sans en avoir la substance. Ce « slop », comme l’appelle le milieu, sature les équipes de tri et fait exploser le coût de traitement de chaque véritable trouvaille. Concrètement, l’afflux frappe les programmes de trois façons.

• Il noie les vrais rapports sous un bruit de fond que des humains doivent lire un par un.
• Il allonge les délais de réponse, ce qui décourage les chercheurs sérieux.
• Il pousse les programmes à durcir les conditions d’entrée, voire à couper les récompenses du bas de l’échelle.

L’économie du tri se retourne alors contre les programmes. Chaque rapport, vrai ou faux, doit être lu par un humain compétent, et ce temps se paie. Quand la grande majorité des soumissions sont sans valeur, le coût réel de traitement d’une seule vraie faille grimpe, car il faut d’abord écarter tout le reste. La prime versée au chercheur légitime n’a pas bougé, mais la charge invisible qui l’entoure a été multipliée, et c’est cette charge que les plateformes cherchent désormais à répercuter.

Le signal le plus net est venu d’un projet emblématique hors crypto. Fin janvier 2026, Daniel Stenberg, créateur de la bibliothèque curl, a purement et simplement fermé le programme de bug bounty du projet, actif depuis avril 2019, qui avait confirmé 87 vulnérabilités et versé plus de 100 000 dollars en tout. La raison : le taux de rapports valides était tombé de plus de 15 % à moins de 5 %. « Nous avons vu une explosion de rapports générés par IA, du slop, combinée à une baisse de qualité même dans les rapports qui n’étaient pas manifestement du remplissage », a-t-il écrit sur son blog.

Sa conclusion est la plus radicale qui soit sur le plan de la tarification : « Nous ne versons plus aucune récompense monétaire pour les rapports de sécurité, quelle que soit la gravité, afin de retirer l’incitation à soumettre des mensonges fabriqués. » Autrement dit, quand le bruit devient ingérable, la première variable d’ajustement n’est pas le plafond, c’est l’existence même de la prime.

Le tour de vis 2026 : GitHub coupe, la crypto filtre

curl n’est pas un cas isolé. Le 27 juillet 2026, GitHub a restructuré son propre programme, divisant en gros par deux ses primes publiques : la strate critique est passée d’une fourchette de 20 000 à plus de 30 000 dollars à un montant fixe de 10 000 dollars (environ 8 640 euros), tandis qu’un nouveau palier « VIP », réservé aux chercheurs invités, conserve les récompenses les plus élevées. La logique, résumée par l’entreprise : on ne gagne pas plus en soumettant plus, on gagne plus en soumettant mieux, rapporte The Hacker News.

La réponse de la crypto se distingue sur un point : plutôt que de couper les plafonds, les plateformes verrouillent l’entrée. Immunefi combine tri humain et dépôt sous caution pour soumettre, de sorte qu’un rapport bidon coûte quelque chose à son auteur. L’objectif est le même que celui de Stenberg, mais l’outil diffère : préserver la prime pour les vraies failles en taxant le bruit à la source, plutôt qu’en supprimant la récompense. Le pari est que la valeur d’une critique à huit chiffres justifie de payer un tri sévère à l’entonnoir.

Récupération et extorsion : la zone grise du paiement

Toutes les primes ne se ressemblent pas, et certaines se négocient après coup, une fois les fonds déjà partis. Les primes de récupération (« recovery bounties ») obéissent à une règle devenue standard : un attaquant, ou un whitehat qui a pris les fonds en premier pour les mettre à l’abri, garde 10 % et rend 90 %. Le procédé transforme un vol potentiel en sauvetage rémunéré, mais il déplace la frontière morale, car la même mécanique peut servir de couverture à une rançon.

La ligne entre prime et extorsion s’est brouillée à plusieurs reprises. En 2024, un prétendu chercheur a exploité un bug chez Kraken pour retirer près de 3 millions de dollars, puis a refusé de rendre les fonds sans paiement. Le verdict du directeur de la sécurité de la plateforme, Nick Percoco, a été sans appel : « Ce n’est pas du white-hat hacking, c’est de l’extorsion », déclaration rapportée par CoinDesk. Des cadres comme le Safe Harbor porté par la Security Alliance tentent de sécuriser juridiquement le whitehat qui agit de bonne foi pendant une attaque, précisément pour éviter que le doute ne pousse un sauveteur à se taire. Reste que ces cadres n’ont aucune portée contraignante universelle : un chercheur qui intervient pendant un exploit s’expose toujours à un risque juridique, et c’est cette zone grise qui rend certaines primes de récupération si tendues à négocier.

Ce qui se joue après l’exploit compte donc autant que la prime elle-même. La reconstitution des faits, la traçabilité des fonds et la négociation de retour font désormais partie du métier ; nous en avons détaillé la mécanique dans notre anatomie du post-mortem d’exploit. Une prime bien conçue prévoit ces scénarios à l’avance, plutôt que de les improviser sous la pression d’un vol en cours.

La professionnalisation : une loi de puissance des revenus

Derrière les chiffres se cache une population : plus de 92 000 chercheurs enregistrés sur Immunefi, plus de 180 milliards de dollars d’actifs sous surveillance et quelque 650 programmes. Mais la distribution des revenus suit une loi de puissance impitoyable. La médiane à 20 000 dollars par critique côtoie une poignée de chercheurs devenus millionnaires. Le plus emblématique, connu sous le pseudonyme LonelySloth, cumule environ 3,6 millions de dollars (près de 3,1 millions d’euros) pour une soixantaine de rapports payés.

Pour organiser cette élite, Immunefi a lancé en mai 2025, au coeur du hack record de Bybit (environ 1,4 milliard de dollars), un programme sur invitation baptisé All Stars, dont LonelySloth fut le premier membre. En mars 2026, ce cercle comptait 165 chercheurs, pour des versements cumulés de 133,9 millions de dollars sur la plateforme et 2,7 millions rien qu’en mars, selon The Block. Le total distribué par Immunefi depuis ses débuts a franchi 140 millions de dollars (environ 121 millions d’euros) en juin 2026.

Cette professionnalisation a un revers. Une poignée de stars capte l’essentiel des gros versements, pendant que la masse des chercheurs se partage des primes modestes et absorbe la charge croissante du tri anti-slop. C’est un marché du travail à deux vitesses, où le talent rare se paie très cher et le reste se paie au rapport. Pour un débutant, la promesse n’est pas la richesse immédiate mais une rampe d’accès : accumuler des rapports payés, monter dans les classements, viser un jour l’invitation au cercle fermé. Cette trajectoire attire une population de plus en plus internationale, souvent autodidacte, qui apprend la sécurité des smart contracts sur des plateformes d’entraînement avant d’affronter des programmes réels. Le talent brut ne suffit plus : il faut savoir rédiger un rapport propre, dialoguer avec des équipes techniques et résister à la tentation de monétiser une faille du mauvais côté.

France et Europe : déclarer une prime, et qui régule quoi

Pour un chercheur résidant en France, une prime de bug bounty n’est pas une plus-value crypto : c’est un revenu. En l’absence de régime fiscal dédié aux primes, l’administration rattache ces sommes aux revenus d’activité, généralement dans la catégorie des bénéfices non commerciaux (BNC) lorsqu’elles sont perçues de façon habituelle, et non au prélèvement forfaitaire unique de 30 % qui s’applique aux plus-values des particuliers cédant des actifs numériques. Une prime versée en crypto se valorise au cours du jour de sa réception, ce qui fixe une base de coût pour une éventuelle cession ultérieure.

Côté supervision, MiCA encadre les prestataires de services sur actifs numériques (les PSAN devenus PSCA) et les émetteurs, pas les protocoles ni les primes elles-mêmes. L’AMF a rappelé que la période transitoire pour les acteurs français s’achève au 1er juillet 2026, après quoi l’exercice non conforme devient une infraction pénale. En parallèle, le règlement DORA impose depuis janvier 2025 aux entités financières et à leurs prestataires une résilience opérationnelle qui pousse, indirectement, vers une sécurité continue plutôt qu’un audit isolé.

Pour l’investisseur, l’enjeu n’est pas de connaître le plafond affiché par un protocole, mais de savoir s’il paie quand il le doit. Un programme généreux sur le papier et pingre en pratique envoie un signal négatif aux meilleurs chercheurs, comme le montrait déjà l’affaire Arbitrum. Le calendrier réglementaire, que nous suivons dans notre compte à rebours réglementaire, ajoute une couche : la conformité devient un critère de sécurité à part entière. Pour un chercheur français, cela veut dire aussi vérifier qu’un programme peut légalement lui verser une prime, déclarer ce revenu correctement et conserver la trace du cours de réception lorsqu’il est payé en actifs numériques.

Ce que le fossé prix-prime dit du marché

Rassemblons les fils. Le plafond est un outil marketing calibré sur le capital à défendre ; la médiane est le salaire réel d’un métier ; et le resserrement anti-IA de 2026 est la nouvelle variable qui rabote les barèmes du bas. Les trois coexistent parce qu’ils répondent à des besoins différents : recruter l’élite, rémunérer le travail courant, filtrer le bruit. Confondre les trois, c’est mal lire le marché.

Les chiffres du premier semestre 2026 cadrent le tableau. Selon le rapport d’Immunefi relayé par The Block, la crypto a perdu environ 972 millions de dollars (840 millions d’euros) sur 207 incidents, le nombre d’attaques le plus élevé jamais enregistré, alors même que les pertes liées à la DeFi ont reculé de 74 % par rapport au pic de 2022. Dans le même temps, les programmes ont versé 13,45 millions de dollars (11,6 millions d’euros) pour 837 failles remontées avant exploitation. « La sécurité crypto est par nature adverse, et elle n’arrête jamais d’évoluer. La lecture honnête des chiffres est simple : l’industrie apprend », résume Mitchell Amador, patron d’Immunefi.

Pour l’utilisateur, quelques réflexes valent mieux qu’un grand nombre. Un plafond élevé rassure, mais ce qui compte, c’est l’historique de versement d’un protocole, la clarté de son barème et la rapidité de sa réponse. Un programme qui publie ses primes payées, adhère à un cadre de type Safe Harbor et ne conteste pas systématiquement la gravité d’un rapport envoie un signal bien plus fiable qu’une enseigne à huit chiffres restée lettre morte.

Le marché des primes disponibles, environ 162 millions de dollars, reste minuscule face aux plus de 25 milliards que la plateforme dit avoir protégés. C’est tout le paradoxe du bug bounty en 2026 : une assurance sous-tarifée, dont le prix affiché grimpe pour impressionner, dont la facture réelle reste modeste, et dont la vraie mesure n’est pas le plafond en vitrine mais la fiabilité du versement le jour où une faille à huit chiffres tombe sur le bureau.

Questions fréquentes

Quelle est la plus grosse prime de bug bounty en crypto ?

Le plus gros plafond affiché est celui d’Usual, 16 millions de dollars (environ 13,8 millions d’euros) sur Sherlock, présenté comme la plus grande prime de l’histoire de la tech. Mais le plus gros versement réellement effectué reste les 10 millions de dollars (8,6 millions d’euros) payés à satya0x par Wormhole en 2022. Plafond et prime versée sont deux choses distinctes.

Combien gagne réellement un chercheur en bug bounty ?

Sur Immunefi, la prime médiane pour une faille critique tourne autour de 20 000 dollars (17 300 euros), pour une moyenne d’environ 114 355 dollars (99 000 euros) tirée vers le haut par de rares versements géants. Une poignée de chercheurs d’élite, comme LonelySloth avec 3,6 millions de dollars cumulés, capte l’essentiel des gros montants.

Pourquoi les plafonds sont-ils si élevés si personne ne les touche ?

Parce qu’un plafond sert de signal pour attirer les meilleurs chercheurs, pas de prévision de dépense. La prime est souvent indexée sur les fonds mis en danger, autour de 10 %, dans une limite proportionnelle au capital défendu. Un protocole gardant des milliards en jeu peut donc afficher un plafond à huit chiffres sans s’attendre à le verser.

Comment une prime de bug bounty est-elle imposée en France ?

Une prime de bug bounty est traitée comme un revenu, non comme une plus-value. Perçue de façon habituelle, elle relève généralement des bénéfices non commerciaux (BNC) et doit être déclarée, contrairement au prélèvement forfaitaire unique de 30 % qui vise les plus-values des particuliers sur actifs numériques. Une prime reçue en crypto se valorise au cours du jour de sa réception.

L’IA menace-t-elle les programmes de bug bounty ?

Oui. L’afflux de rapports générés par IA, ou slop, a fait chuter le taux de rapports valides et poussé plusieurs programmes à réagir : curl a fermé le sien fin janvier 2026, GitHub a divisé par deux ses primes publiques en juillet 2026. Côté crypto, la parade passe surtout par des filtres de tri et un dépôt sous caution pour soumettre, plutôt que par une baisse des plafonds.

Par Anneke de Vries, rédactrice sécurité chez HOGE Wire.