Bug bounty hors EVM : Solana triple, Sui gèle, XRP sous-paie

Deux dates d’octobre 2026 racontent la même histoire par les deux bouts. Le 12 octobre, l’enquêteur on-chain ZachXBT a qualifié de « cheap » la prime de 250 000 dollars (environ 223 000 euros) offerte par Ripple au chercheur qui avait découvert, sur le XRP Ledger, une faille capable de fabriquer plus de 180 fois l’offre totale du jeton. Quatre jours plus tard, le 16 octobre, Firedancer, le client validateur de Solana développé par Jump Crypto, ouvrait son bug bounty en doublant les récompenses sur tout rapport valide et en les triplant sur les failles liées à Alpenglow, la refonte de son consensus. D’un côté, une chaîne accusée de sous-payer une faille existentielle. De l’autre, une chaîne qui surpaie pour attirer les chasseurs. Entre les deux, une vérité que l’industrie connaît sans toujours la formuler : hors de l’écosystème Ethereum, les bugs ne se paient pas sur la même grille.

Deux signaux d’octobre, une même question

Le marché des primes de sécurité s’est construit, image après image, autour d’Ethereum. Les records qui circulent (Wormhole et ses 10 millions de dollars, les plafonds à 15 ou 16 millions de certaines plateformes) sont nés dans l’univers de la machine virtuelle Ethereum, l’EVM, et de son langage Solidity. Mais une part grandissante de la valeur on-chain vit désormais ailleurs : sur Solana et son modèle de comptes, sur les chaînes Move comme Sui et Aptos, sur des réseaux applicatifs comme le XRP Ledger. Ces environnements ont leurs propres classes de bugs, leurs propres chasseurs, leurs propres plafonds et, surtout, leurs propres manières de récupérer des fonds quand la prévention a échoué.

Les deux épisodes d’octobre encadrent le sujet. La controverse XRP montre ce qui se passe quand le plafond affiché paraît dérisoire au regard du risque évité. Le lancement de Firedancer montre l’inverse : un acteur qui empile les multiplicateurs pour que ses chercheurs n’aient aucune raison d’aller voir ailleurs. Entre ces deux extrêmes se loge toute la question de ce chapitre : combien vaut une faille quand on sort du terrain balisé de l’EVM, et pourquoi le prix change-t-il autant d’une chaîne à l’autre ?

L’affaire XRP Ledger et la prime jugée « cheap »

Le 9 octobre, les développeurs du XRP Ledger ont divulgué une vulnérabilité critique restée tapie dans le code depuis 2015. Il s’agissait d’un dépassement d’entier (integer overflow) dans le moteur de paiement chargé de traiter les offres du carnet d’ordres décentralisé : une transaction unique, soigneusement construite, aurait pu créer de la monnaie dépensable au-delà du plafond historique de 100 milliards de jetons. L’estimation donne le vertige : environ 18 000 milliards de XRP, soit près de 184 fois l’offre totale, auraient pu sortir du néant en un seul bloc validé, selon le compte rendu de FinanceFeeds. Les équipes affirment n’avoir trouvé aucune trace d’exploitation sur un réseau public.

Détail marquant de l’année 2026 : la faille n’a pas été trouvée par un humain scrutant le code ligne à ligne, mais par un système de test automatisé. Le chercheur Cayden Liao et l’outil Veria AI ont signalé le problème en privé le 21 septembre, développé une preuve de concept le lendemain, et Ripple a publié un correctif d’urgence, la version 3.4.1, dès le 25 septembre, d’après crypto.news. Une faille de type mint infini corrigée en quatre jours : sur le papier, un cas d’école de divulgation responsable. C’est le montant de la récompense qui a mis le feu aux poudres. Ce même scénario de création de jetons sans autorisation a déjà valu, ailleurs, les primes les plus élevées du secteur, comme le rappelait notre analyse du hack de pont et du mint infini de THEO.

ZachXBT, l’un des enquêteurs les plus suivis de l’écosystème, n’a pas mâché ses mots. Payer « cheap » un whitehat 250 000 dollars pour un bug critique de mint infini de XRP quand la trésorerie de l’entreprise se compte en milliards, a-t-il lancé le 12 octobre, relève de l’absurde ; selon lui, la découverte de Cayden Liao et de Veria Labs devrait valoir « au minimum un paiement à sept chiffres », rapporte Yahoo Finance. Son avertissement dépasse le cas Ripple : une rémunération jugée dérisoire décourage les divulgations futures et pousse, à la marge, certains chercheurs à basculer du côté obscur plutôt qu’à envoyer un simple courriel.

La comparaison citée par la presse rend le contraste brutal. Face au plafond de 250 000 dollars du XRP Ledger, les chiffres rapportés par The Crypto Times rappellent que d’autres programmes affichent des plafonds bien supérieurs, jusqu’à 2 millions de dollars chez LayerZero et 10 millions chez Wormhole pour une faille critique. Pour une même classe de bug, la grille tarifaire varie d’un facteur quarante.

Pourquoi la même faille n’a pas le même prix selon la chaîne

Une prime de sécurité n’est pas un prix catalogue : c’est une fonction du risque évité. La plupart des grands programmes appliquent un principe dit de « primauté de l’impact » et une règle de pouce qui fixe la récompense critique à environ 10 % des fonds qu’un attaquant aurait pu emporter, dans la limite d’un plafond. Mécaniquement, une chaîne qui sécurise des dizaines de milliards de dollars peut justifier un plafond à huit chiffres, tandis qu’un protocole plus modeste s’arrête à cinq ou six. Le plafond devient alors un signal autant qu’une promesse : il dit aux meilleurs chercheurs combien l’équipe estime son propre risque.

C’est ici que l’univers non-EVM diverge. La valeur sécurisée y est réelle mais plus concentrée, les trésoreries de fondation remplacent souvent les trésoreries de protocole, et une partie des récompenses est versée dans le jeton natif, parfois bloqué plusieurs mois. Résultat : les plafonds non-EVM sont solides au niveau des ponts et des couches de base, mais restent en retrait sur beaucoup d’applications. Le tableau ci-dessous compare les plafonds affichés (et non les sommes réellement versées) de quelques programmes représentatifs, d’après le classement 2026 de Sherlock et les pages officielles des programmes.

Deux enseignements sautent aux yeux. Le sommet de la grille reste un territoire de ponts et de couches de base, là où une faille unique menace des centaines de millions. Et le XRP Ledger, avec son plafond à 250 000 dollars, se range tout en bas d’un classement dont le haut dépasse les 15 millions, ce qui explique l’indignation de ZachXBT mieux qu’un long discours.

Firedancer : Solana paie double, triple sur Alpenglow

À l’autre extrémité du spectre, Firedancer joue la surenchère. Développé par Jump Crypto, ce client validateur indépendant doit à terme faire tourner une part du réseau Solana sans partager le code du client historique, un gage de résilience : si l’un tombe, l’autre tient. Le 16 octobre, l’équipe a ouvert son programme de bug bounty en annonçant des récompenses doublées sur tout rapport éligible et triplées sur les découvertes liées à Alpenglow, et ce jusqu’au 20 novembre 2026, rapporte Crypto News. L’objectif est limpide : aspirer l’attention des meilleurs chercheurs vers le code critique au moment précis où il entre en production.

Alpenglow n’est pas une mise à jour mineure. C’est une réécriture du consensus de Solana censée faire chuter le temps de finalité de 12,8 secondes à une fourchette de 100 à 150 millisecondes. Avant d’activer un tel changement sur le réseau principal, la fondation a organisé en août une compétition de sécurité dédiée : ouverte du 5 au 19 août, elle offrait jusqu’à 50 000 SOL de récompenses (soit environ 5,1 millions de dollars au cours d’octobre) et a recueilli plus de 300 soumissions, d’après Crypto Briefing. Les candidats devaient verser 0,5 SOL non remboursable par rapport, un dépôt anti-spam, et les récompenses étaient bloquées un an.

Ce détail du dépôt résume une tension propre à 2026 : les programmes doivent désormais filtrer un flot de rapports de faible qualité, souvent générés par des outils automatiques, pour ne pas noyer leurs équipes de triage. Le même mois où une IA (Veria) trouvait un bug réel et grave sur le XRP Ledger, les chasseurs devaient payer pour avoir le droit de soumettre sur Alpenglow. Les deux visages de l’automatisation cohabitent désormais dans le même marché.

La grille Solana : du consensus au « bouton d’arrêt »

Au-dessus des applications, Solana sécurise son protocole de base avec un programme de fondation structuré autour de deux risques existentiels : le vol sans signature et l’arrêt du réseau. L’enveloppe atteint 2 millions de dollars versés en SOL bloqué douze mois, dont un million pour une violation du consensus ou de la sécurité, et 400 000 dollars pour une faille capable de provoquer une partition du réseau. Jacob Creech, responsable des relations développeurs de la fondation, l’avait résumé sans détour : « il y a une récompense de 400 000 dollars pour quiconque trouve du code capable d’éteindre Solana », cité par CryptoPotato.

Le choix du SOL bloqué n’est pas anodin. Il aligne le chercheur sur la santé du réseau (une prime qui s’effondre si la chaîne va mal), mais il introduit un risque de change et de liquidité absent des primes en stablecoins. Le même mécanisme s’appliquait à Alpenglow, dont les récompenses sont verrouillées un an. Pour un chasseur, la valeur affichée le jour du versement et la valeur réellement encaissée douze mois plus tard peuvent diverger fortement, surtout dans un marché où le SOL s’échangeait autour de 102 dollars à la mi-octobre.

Côté applications, le plus gros programme de l’écosystème est celui de Kamino, lancé fin 2025 via Immunefi : jusqu’à 1,5 million de dollars pour une faille critique, avec une règle inhabituelle, un plancher de 150 000 dollars garanti pour tout critique validé, puis 100 000 dollars pour un bug élevé et un forfait de 10 000 dollars pour un bug moyen, selon Coinspeaker. Ce plancher est une réponse directe au grief de ZachXBT : il garantit qu’un critique ne sera jamais payé une misère, quel que soit le calcul d’impact.

Un autre modèle de bugs : compte, Rust et pièges non-EVM

Si les primes diffèrent, c’est d’abord parce que les bugs diffèrent. Solana n’utilise pas Solidity mais Rust, et surtout un modèle de comptes où le programme et les données qu’il manipule sont séparés. Un contrat doit donc vérifier lui-même qui a le droit de signer et qui possède un compte, des contrôles qu’Ethereum gère plus implicitement. Les classes de vulnérabilités les plus courantes y portent des noms que l’on ne croise pas dans l’EVM :

• le contrôle de signataire manquant (missing signer check), quand un programme n’exige pas la signature de celui qui devrait autoriser une action ;
• le contrôle de propriétaire manquant (missing owner check), quand un programme ne vérifie pas qu’un compte lui appartient bien ;
• la confusion de comptes ou de types, favorisée par un typage plus permissif ;
• le dépassement d’entier, car Rust vérifie les débordements en mode débogage mais pas en production, le mode utilisé par défaut sur Solana ;
• l’appel inter-programmes (CPI) arbitraire, quand un contrat appelle un programme contrôlé par l’attaquant.

Le cadriciel Anchor, présent dans la grande majorité des programmes déployés, automatise une partie de ces contrôles, ce qui réduit la surface d’attaque la plus basique. Pour Robert Chen, fondateur du cabinet OtterSec, l’architecture elle-même change la donne : « les programmes sur Solana sont fondamentalement plus sûrs grâce au modèle de programmation », expliquait-il, ajoutant qu’« il n’y a pas de réentrance sur Solana, ce qui élimine une surface d’attaque assez large », dans un entretien relayé par SolanaFloor. Il nuance aussitôt : « tout exploit de nature économique est indépendant de la machine virtuelle. » Autrement dit, la manipulation d’oracle ou de prix frappe partout, un point que nous avons détaillé dans notre dossier sur le design des AMM quand la courbe devient l’oracle.

Qui chasse hors EVM : Neodyme, OtterSec et le bug à 2,6 milliards

Un marché différent crée des chasseurs différents. Sur Solana, deux noms dominent. Neodyme, cabinet allemand fondé en 2021, revendique 80 à 100 bugs trouvés dans le cœur de Solana, tous remontés via le programme de la fondation. Son coup d’éclat reste la faille du contrat SPL Token Lending, divulguée en coordination début décembre 2021 : un décalage entre dépôt et retrait permettait de vider jusqu’à 27 millions de dollars par heure, et exposait collectivement environ 2,6 milliards de dollars à travers Solend, Tulip, Larix et consorts, selon Bitcoin.com. Aucun vol : la faille a été corrigée avant exploitation, et la récompense, elle, n’a représenté qu’une fraction du capital protégé. C’est tout l’écart entre le chiffre à risque et la prime versée.

OtterSec, de son côté, s’est imposé comme l’auditeur offensif de référence de l’écosystème, avec plus de soixante protocoles couverts et des milliards de dollars de valeur sécurisée, travaillant aussi bien avec la fondation Solana qu’avec Wormhole. Ces spécialistes partagent une conviction : sur Solana, le danger vient rarement de la réentrance et plus souvent d’un contrôle oublié ou d’un calcul économique manipulable. La faille XRP, elle, rappelle qu’un simple dépassement d’entier dans un moteur de paiement peut valoir, en théorie, davantage que toutes ces primes réunies.

La liste des incidents Solana illustre d’ailleurs un trait récurrent : une part notable des pertes vient non du code, mais de clés compromises, comme dans le cas du portefeuille Slope dont les phrases de récupération fuyaient vers un serveur de journalisation. Ce risque autour des clés, que nous avons documenté avec l’affaire de l’implant caché dans des Ledger, échappe par nature au périmètre d’un bug bounty applicatif : aucune prime ne protège contre une phrase secrète qui fuit.

Le monde Move : Sui, Aptos et la sécurité « par conception »

Les chaînes Move, Sui et Aptos, promettent une sécurité « par conception ». Le langage Move traite les actifs comme des ressources qui ne peuvent être ni copiées ni détruites par accident, impose un emprunteur unique (borrow checker) et intègre un vérificateur formel, le Move Prover. Sur le papier, pas de réentrance, pas de double dépense accidentelle. En pratique, la logique et l’arithmétique mordent toujours.

L’exemple le plus spectaculaire de 2026 vient d’Aptos. En février, les chercheurs du cabinet Hexens ont remonté un bug de « cache périmé » dans la machine virtuelle Move, capable de détourner des structures et des ressources d’autorité on-chain. Le coût pour l’armer ? Un serveur à quelque 3 000 dollars et quelques tentatives, avec un taux de succès de simulation proche de 90 %. Hexens a chiffré l’exposition systémique à des dizaines de milliards de dollars ; Aptos a corrigé en quelques heures. Le bug a été validé par Mudit Gupta, directeur de la sécurité de Polygon, qui a confirmé après reproduction : « cela a fonctionné comme annoncé, et l’exploit avait du sens », selon CoinDesk. Le chercheur a choisi la divulgation plutôt que la vente au marché gris, et Aptos a assuré qu’aucun fonds d’utilisateur n’avait été touché.

Le programme d’Aptos illustre le flou des plafonds non-EVM : selon les sources, le maximum critique est annoncé jusqu’à un million de dollars, mais les pages publiques affichent parfois des montants inférieurs, d’où la mention « non divulgué » retenue dans notre tableau. L’incertitude sur le plafond est, en soi, un signal envoyé aux chercheurs, et rarement le bon.

Cetus : quand 114 validateurs gèlent les fonds à la place d’une prime

Le 22 mai 2025, le principal teneur de marché automatisé de Sui, Cetus, a été vidé d’environ 220 millions de dollars. La cause : un dépassement arithmétique dans une bibliothèque mathématique partagée servant à calculer la liquidité des pools. Un attaquant a manipulé un paramètre de pool avec une valeur gigantesque pour ouvrir une position déséquilibrée, une illustration de plus du fait que la formule de prix d’un AMM est un oracle en soi, comme nous l’avons expliqué dans notre guide pour fournir de la liquidité en tant que LP.

La suite est devenue un cas d’école du non-EVM. Cetus a d’abord proposé à l’attaquant une prime whitehat de 6 millions de dollars pour qu’il rende les fonds. Mais c’est un autre mécanisme qui a agi : les 114 validateurs de Sui ont déployé un code corrigé pour geler environ 162 millions de dollars encore présents sur la chaîne, en ignorant les transactions de l’attaquant. Un vote de gouvernance a ensuite entériné, à plus de 90 % du stake, la restitution de ces fonds aux utilisateurs, tandis que les 63 millions de dollars déjà envoyés vers Ethereum via un pont, eux, ont échappé au gel, d’après The Defiant.

Ce dénouement a déclenché un débat virulent sur la décentralisation : des validateurs capables de geler des fonds et un vote capable de réécrire l’état de la chaîne ressemblent, pour les critiques, à une base de données permissionnée. Sur le plan qui nous occupe, la leçon est ailleurs : la plus grosse récupération jamais réalisée sur une chaîne Move n’a pas été obtenue par une prime, mais par un gel décidé collectivement. Le tableau ci-dessous met en regard quelques dénouements non-EVM, du capital à risque à l’issue réelle.

Récupération sans rançon : le gel plutôt que la négociation

Dans le monde EVM, la récupération post-hack obéit à une norme désormais bien rodée : on offre à l’attaquant de garder 10 % en échange du retour des 90 % restants, souvent assortie d’une promesse de ne pas poursuivre. C’est le modèle de la prime de récupération, que nous avons disséqué dans notre article sur la prime de récupération payée au hacker pour ravoir les fonds. Loopscale, en avril 2025, en offre une version propre côté Solana : 90 % rendus, 10 % gardés, le tout bouclé en moins de 72 heures, selon The Block.

Mais le cas Cetus montre que le non-EVM dispose d’un levier que l’EVM n’a pas au même degré : la coordination des validateurs. Là où Ethereum s’en remet à la négociation, parce que personne ne peut geler les fonds d’un attaquant sans casser la neutralité du réseau, Sui a pu figer l’état et restituer par un vote. Le gel est plus efficace que la négociation quand il fonctionne, mais il a un coût politique : il prouve que la chaîne peut être arrêtée et réécrite par un petit nombre d’acteurs. Les deux approches coexistent, et le choix de l’une ou de l’autre en dit long sur le degré réel de décentralisation d’un réseau.

Reste le cas particulier des clés volées ou des attaquants sanctionnés, où ni la prime ni le gel ne suffisent. Quand les fonds partent vers un groupe lié à un État, comme lors des grands casses de 2025 attribués à la Corée du Nord, payer le voleur est illégal et le gel suppose une chaîne capable de l’imposer. C’est alors un troisième modèle qui s’active : payer des traqueurs tiers pour pister et bloquer les fonds, un marché que les records de vol de l’année ont largement nourri.

Plafond affiché contre prime versée : l’écart hors EVM

Le piège, pour qui lit une grille tarifaire, est de confondre le plafond et la prime. Les deux divergent massivement, et pas seulement hors EVM. Sur l’ensemble des programmes de longue durée suivis par Immunefi (près de 600 analysés), la prime médiane versée pour un bug critique s’établit à 20 000 dollars (environ 18 000 euros), pour une moyenne tirée vers le haut à 114 355 dollars par les rares versements à sept chiffres, selon les propres données d’Immunefi. Autrement dit, le plafond à 16 millions est l’exception publicitaire ; la réalité quotidienne du chercheur se compte en dizaines de milliers.

Le non-EVM accentue l’écart. Une partie des récompenses y est versée en jetons bloqués, ce qui creuse le fossé entre la valeur affichée et la valeur encaissée un an plus tard. Et les plus gros chiffres cités (les 2,6 milliards exposés de SPL Token Lending, les dizaines de milliards d’Aptos) sont des capitaux à risque, pas des chèques. La vraie prime, elle, reste une fraction de ces montants. C’est précisément ce que ZachXBT reproche au XRP Ledger : non pas d’avoir mal calculé l’impact, mais d’avoir fixé un plafond si bas que même un calcul généreux reste dérisoire.

Le contexte macro rend l’enjeu brûlant. Au premier semestre 2026, Immunefi a recensé 972 millions de dollars dérobés sur un nombre record de 207 incidents, pour seulement 13,45 millions de dollars versés en primes sur 837 rapports valides, rapporte The Block. Le coût de la prévention reste une fraction minuscule du coût des attaques : c’est l’argument central de tout chercheur qui réclame des plafonds plus élevés, et la toile de fond de la colère d’octobre.

AMF, pénal français et le SOL bloqué un an

Pour un chercheur basé en France, la grille non-EVM soulève des questions qui ne sont pas que financières. Côté régulation, il faut lever une confusion fréquente : l’AMF et le règlement européen MiCA encadrent les prestataires de services sur actifs numériques et les émetteurs, pas l’acte de recherche de faille ni le versement d’une prime. La période transitoire des anciens PSAN s’est achevée au 1er juillet 2026, mais cela concerne les plateformes, pas le whitehat. Le risque juridique du chercheur n’est donc pas de nature boursière, il est pénal.

Le droit français distingue nettement le signalement de bonne foi et l’intrusion. Depuis la loi pour une République numérique de 2016, l’article L2321-4 du Code de la défense protège celui qui signale une faille à l’ANSSI, seule autorité compétente, qui préserve alors la confidentialité de son identité. Mais ce n’est pas une immunité pénale générale : l’accès ou le maintien frauduleux dans un système de traitement automatisé de données reste réprimé par l’article 323-1 du Code pénal, héritier de la loi Godfrain. Exploiter un contrat pour « sauver » des fonds, même avec les meilleures intentions, sort de cette protection, car il s’agit d’une intrusion active et non d’un simple signalement. La frontière entre le whitehat et le délit se joue là.

Enfin, la fiscalité. Une prime versée en SOL ou en jeton bloqué est imposée, en France comme ailleurs en Europe, sur sa valeur au moment où elle est acquise, indépendamment de ce qu’elle vaudra à la fin de la période de blocage. Un chercheur récompensé en SOL verrouillé un an sur Alpenglow peut donc devoir l’impôt sur une valeur qu’il n’a jamais pu réaliser si le cours s’effondre entretemps. Le jeton bloqué, présenté comme un alignement vertueux, est aussi un transfert de risque de marché vers celui qui a rendu service au réseau.

Ce que la grille non-EVM dit du marché en 2026

Les deux épisodes d’octobre ne sont pas des anomalies, ce sont des symptômes. Le marché des primes se scinde en deux mondes qui se parlent de moins en moins. D’un côté, les acteurs qui comprennent que la sécurité est une enchère permanente et empilent les multiplicateurs, à l’image de Firedancer, pour capter les meilleurs chercheurs au bon moment. De l’autre, ceux qui traitent la prime comme une ligne budgétaire à comprimer, au risque de voir leurs failles les plus graves partir ailleurs, comme le reproche ZachXBT à Ripple.

Par-dessus tout cela plane l’automatisation. La même IA qui inonde les équipes de triage de rapports sans valeur, au point que des programmes exigent désormais un dépôt pour soumettre, est aussi celle qui a trouvé, seule, un bug vieux de dix ans sur le XRP Ledger. En 2026, hors EVM comme sur EVM, la vraie question n’est plus de savoir si une faille vaut un million de dollars, mais qui, de l’humain ou de la machine, la trouvera en premier, et de quel côté de la ligne il choisira de se tenir.

Foire aux questions

Pourquoi une faille sur Solana ou Sui est-elle souvent moins bien payée que sur Ethereum ?

Parce que la prime suit le capital à risque et la taille de la trésorerie, et que les plafonds non-EVM sont solides sur les ponts et les couches de base mais restent en retrait sur beaucoup d’applications. Une partie des récompenses y est aussi versée en jetons bloqués, ce qui réduit la valeur réellement encaissée.

Qu’a trouvé l’IA Veria sur le XRP Ledger ?

Un dépassement d’entier présent depuis 2015 dans le moteur de paiement, qui aurait permis de créer environ 18 000 milliards de XRP en une seule transaction, soit près de 184 fois l’offre totale. Le bug a été corrigé dans la version 3.4.1 le 25 septembre 2026 et divulgué le 9 octobre, sans aucune trace d’exploitation.

Pourquoi ZachXBT a-t-il critiqué la prime de Ripple ?

Il a jugé « cheap » les 250 000 dollars offerts pour un bug de mint infini alors que la trésorerie de Ripple se compte en milliards, estimant que la découverte méritait au minimum un paiement à sept chiffres. Son argument : sous-payer décourage les divulgations et pousse certains chercheurs vers l’exploitation.

Comment Sui a-t-il récupéré les fonds du hack Cetus sans prime ?

Les 114 validateurs du réseau ont déployé un code corrigé pour geler environ 162 millions de dollars encore présents sur la chaîne, puis un vote de gouvernance a entériné leur restitution. Environ 63 millions déjà envoyés vers Ethereum via un pont ont toutefois échappé au gel.

Un chercheur français peut-il légalement exploiter un contrat pour « sauver » des fonds ?

Non. Le signalement de bonne foi à l’ANSSI est protégé par le Code de la défense, mais exploiter activement un contrat reste une intrusion réprimée par l’article 323-1 du Code pénal. La prime versée est par ailleurs imposée sur sa valeur au moment de l’acquisition, jeton bloqué ou non.

Par Anneke de Vries, correspondante sécurité et exploits pour HOGE Wire.