Après le post-mortem, le procès : « code is law » jugé

Le 29 avril 2026, un portefeuille surveillé depuis des mois par le FBI, l’IRS et la police néerlandaise a envoyé 2 900 ETH, environ 6 millions d’euros (6,8 M$), dans Tornado Cash. L’auteur présumé de ce transfert, le plus gros mouvement de blanchiment confirmé dans son dossier, s’appelle Andean Medjedovic. Il a 23 ans, il est né en novembre 2002, et il est en cavale depuis bientôt cinq ans (news.bitcoin.com).Son parcours résume la question qui traverse toute la rubrique sécurité en 2026. Quand un protocole est vidé, la crypto sait désormais écrire l’autopsie : un post-mortem minute par minute, une cause racine, une prime proposée à l’attaquant, parfois un vote de gouvernance pour solder l’affaire. Mais une fois l’autopsie publiée, une autre question reste ouverte, et elle ne se règle pas sur la blockchain : celui qui a vidé le protocole a-t-il commis un crime, et qui en décide ? Pendant dix ans, la réponse fut souvent : personne. En 2026, elle devient de plus en plus : un juge.Le troisième trimestre 2026 a été le pire de l’année pour les pertes crypto, avec environ 1,13 milliard d’euros (1,26 Md$) envolés sur 247 incidents selon le bilan trimestriel de CertiK, soit près de 2,4 milliards d’euros (2,68 Md$) depuis janvier (Cointelegraph). Derrière chaque ligne de ce décompte, il y a un auteur. La plupart ne seront jamais inquiétés. Quelques-uns, désormais, le sont. Cet article raconte ce qui se passe quand le post-mortem se termine non pas par une prime, mais par un acte d’accusation.

« Code is law » : le slogan que la crypto a elle-même renié

La formule « code is law » (le code fait loi) vient du juriste Lawrence Lessig, mais la crypto en a fait un principe moral : si un contrat intelligent autorise une opération, alors cette opération est légitime, quelles qu’en soient les conséquences. Pas de petits caractères, pas d’intention des développeurs qui tienne : seul compte ce que le code exécute. C’est la version numérique de « ce n’est pas interdit, donc c’est permis ».Le paradoxe, c’est que l’écosystème a renié ce principe la première fois qu’il lui a coûté cher. En juin 2016, une faille de réentrance a permis de siphonner environ un tiers des fonds de The DAO, le fonds d’investissement autonome phare de l’époque. Plutôt que d’accepter le verdict du code, la communauté Ethereum a voté un hard fork au bloc 1 920 000 pour réécrire l’historique et rendre les fonds. Ceux qui ont refusé ce reniement, au nom précisément du « code is law », ont conservé la chaîne d’origine : Ethereum Classic. Autrement dit, Ethereum existe sous sa forme actuelle parce que ses fondateurs ont décidé que le code ne faisait pas loi quand l’enjeu était assez grand.Dix ans plus tard, le débat n’a pas bougé d’un pouce, il a seulement changé de salle. Il ne se tranche plus sur un forum de gouvernance ou dans un canal Discord, mais devant des jurys fédéraux américains, des juges néerlandais et, bientôt peut-être, un tribunal correctionnel français. Et la question posée est exactement la même qu’en 2016 : exploiter un contrat tel qu’il est écrit, est-ce un coup de génie permis par la liberté du code, ou un vol déguisé en trade ?

La justice privée de la crypto : prime, vote de DAO, négociation on-chain

Pour comprendre pourquoi un procès fait figure d’exception, il faut voir le système que la crypto a bâti pour éviter les tribunaux. Après un exploit, une mécanique rodée se met en marche, totalement en dehors de l’appareil judiciaire. L’équipe publie un post-mortem. Des chercheurs retracent les fonds. Puis commence une négociation, souvent écrite directement dans le champ mémo des transactions : rends la majeure partie, garde une « prime de bug » de 5 à 10 %, et personne ne portera plainte.Les exemples canoniques sont devenus des références morales du secteur. En mars 2023, l’attaquant d’Euler Finance, après avoir drainé environ 177 millions d’euros (197 M$) via un flash loan, a renvoyé la quasi-totalité des fonds en laissant un message on-chain resté célèbre : il n’avait, écrivait-il, « aucune intention de garder ce qui ne lui appartient pas » (The Block). En août 2021, l’auteur du piratage de Poly Network, plus de 550 millions d’euros (611 M$), a lui aussi presque tout rendu, décliné une prime de 500 000 dollars et une offre de poste de « chief security advisor », avant de disparaître sans jamais être poursuivi (Cointelegraph).Ce droit coutumier s’est même institutionnalisé. La Security Alliance (SEAL) propose un « Safe Harbor », une offre unilatérale et juridiquement contraignante : le white hat qui restitue les fonds sous 72 heures, accepte une prime plafonnée à environ 900 000 euros (1 M$), se soumet au KYC et aux contrôles OFAC, obtient en échange une immunité civile de la part du protocole (securityalliance.org). Tout le dispositif repose sur une idée simple : la crypto préfère récupérer son argent que voir un coupable puni. C’est aussi, bien souvent, la seule voie de recours, car beaucoup de victimes de la finance décentralisée n’ont aucun régulateur à qui s’adresser, un point que nous avons détaillé à propos des ponts cross-chain et du risque désormais dispersé.Le problème, c’est qu’un protocole peut promettre de ne pas poursuivre. Un procureur, lui, n’est lié par aucune de ces promesses.

Mango Markets : quand le vote de la DAO ne lie pas le procureur

Aucune affaire n’illustre mieux ce décalage que celle d’Avraham Eisenberg. En octobre 2022, il a manipulé le prix du token MNGO sur les contrats perpétuels de Mango Markets, une plateforme d’échange construite sur Solana, pour gonfler la valeur de sa position et emprunter contre elle environ 99 millions d’euros (110 M$) de la trésorerie du protocole. Il a qualifié publiquement l’opération de « stratégie de trading très rentable » (TRM Labs). Le mécanisme, une distorsion de l’oracle de prix d’un marché de dérivés, est précisément le type de manipulation que nous avons décrit en analysant l’essor des perp DEX et leur virage onshore.La suite a suivi le scénario coutumier : la DAO de Mango a voté un accord autorisant Eisenberg à conserver environ 42 millions d’euros (47 M$) en échange de la restitution d’environ 60 millions d’euros (67 M$) et d’un engagement de la communauté à ne pas déposer plainte. Sur la blockchain, l’affaire était close. Dans le monde réel, elle ne faisait que commencer. Le ministère public fédéral n’avait pas voté. En avril 2024, un jury de Manhattan a reconnu Eisenberg coupable de fraude sur matières premières, de manipulation de marché et de fraude électronique.Puis le dossier a basculé. Le 23 mai 2025, le juge fédéral Arun Subramanian a annulé ces condamnations et prononcé l’acquittement, estimant que les preuves ne soutenaient pas l’idée qu’Eisenberg avait fait de fausses déclarations à Mango. Son raisonnement est devenu un point d’appui pour toute la défense « code is law » : Mango n’avait pas de conditions d’utilisation interdisant son comportement, et rien ne prouvait, selon le juge, que la fonction « borrow » (emprunter) du protocole « emportait une obligation de remboursement » (The Block). Le juge a aussi relevé un défaut de compétence territoriale.L’histoire ne s’arrête pas là. Le 22 décembre 2025, le parquet a fait appel de cet acquittement, plaidant que la décision du juge « bouleverserait la conception traditionnelle de la fraude » et que le mot même d’« emprunt » implique une intention de rembourser (Yahoo Finance). Eisenberg, lui, purge par ailleurs une peine de quatre ans pour une tout autre affaire et reste visé par des poursuites civiles de la SEC et de la CFTC. Le signal envoyé à l’écosystème est brutal : un vote de DAO vous protège de la DAO, pas de l’État.

Andean Medjedovic : le prodige des maths devenu cavale

Si Eisenberg est le test juridique de la défense « code is law », Medjedovic en est le symbole romanesque. Canadien, diplômé du secondaire à 14 ans, il a étudié les mathématiques pures à l’université de Waterloo, bouclant une licence en trois ans et un master en un an. C’était aussi un codeur chevronné, participant régulier des concours d’audit de Code4rena, la plateforme même où l’industrie cherche des failles pour les corriger (The Globe and Mail).En octobre 2021, il a exploité Indexed Finance par une série de trades trompeurs sur des pools de liquidité, empochant environ 15 millions d’euros (16,5 M$). La réponse d’Indexed n’a pas été un dépôt de plainte pénale mais une procédure civile devant la Cour supérieure de l’Ontario, qui a délivré une ordonnance Anton Piller (une saisie-perquisition civile) le 3 mai 2022. Medjedovic a riposté sur le terrain du « code is law », arguant que l’exploit était légal et qu’il n’avait fait que profiter d’un défaut de conception du protocole : la presse canadienne y a vu le premier test de cet argument devant un tribunal du pays. Puis il a disparu.En novembre 2023, réapparition : KyberSwap est vidé d’environ 44 millions d’euros (48,8 M$) le 23 du mois. Cette fois, l’attaquant ne se contente pas de garder le butin ; il réclame à l’équipe une contrepartie pour restituer les fonds, ce que les procureurs qualifieront de tentative d’extorsion. Arrêté à Belgrade, en Serbie, en 2024, Medjedovic a été relâché après le rejet de la demande d’extradition. Le 3 février 2025, le ministère de la Justice américain a dévoilé un acte d’accusation devant un tribunal fédéral de Brooklyn : fraude électronique, atteinte non autorisée à un système informatique protégé, tentative d’extorsion, et blanchiment d’argent (DL News). Les procureurs ont décrit ces exploits comme parmi les « plus techniquement sophistiqués » de l’histoire de la DeFi (Cointelegraph).Le personnage ne cache pas sa lucidité sur sa situation. Dans des échanges rapportés par la presse, il aurait lâché après le coup de KyberSwap : « j’ai fait un truc très cool, mais je me suis doxxé moi-même au passage ; je vais peut-être rester en cavale pour toujours ». Laurence Day, cofondateur d’Indexed Finance, résume de son côté l’ironie de l’affaire : « l’essentiel de ce qu’il a volé lui a été volé à son tour » (DL News). Medjedovic, lui, reste introuvable. Son dossier prouve une chose : la justice peut inculper, elle ne peut pas toujours attraper.

Rendre les fonds et rester anonyme : les deux règles non écrites

En mettant ces affaires côte à côte, un schéma empirique apparaît, et il n’a rien de juridique. Ce qui sépare l’attaquant poursuivi de celui qui s’en tire tient à deux variables : a-t-il rendu l’argent, et a-t-il gardé l’anonymat ? Euler et Poly Network ont rendu et sont restés masqués : aucune poursuite. Eisenberg a gardé une partie du butin et agi à visage découvert : un procès, même suivi d’un acquittement contesté. Medjedovic a gardé le tout, s’est fait identifier, puis a fui : un acte d’accusation et une cavale.

Affaire	Montant	Fonds rendus ?	Identité	Issue judiciaire
Poly Network (2021)	~550 M€ (611 M$)	Quasi-totalité	Anonyme	Aucune poursuite
Euler Finance (2023)	~177 M€ (197 M$)	Quasi-totalité	Anonyme	Aucune poursuite
Mango / Eisenberg (2022)	~99 M€ (110 M$)	Partielle (vote DAO)	Identifié	Condamné 2024, acquitté 2025, appel du parquet 2025
Indexed + KyberSwap / Medjedovic	~59 M€ (65 M$)	Non	Identifié puis en fuite	Inculpé 2025, en cavale
Mango (volet civil)	Pénalités SEC / CFTC	n/a	Identifié	Poursuites civiles en cours

Ce tableau n’est pas un code pénal : c’est un calcul de risque. Et il explique pourquoi la négociation on-chain reste la norme. Rendre vite et rester invisible, c’est statistiquement la meilleure stratégie juridique disponible, bien avant n’importe quelle plaidoirie « code is law ». Mais ce calcul repose sur le silence des procureurs, un silence qui, en 2026, devient moins certain.Il faut aussi rappeler une limite structurelle : la justice ne touche que la minorité identifiable et accessible. L’essentiel de la valeur volée en 2026 part vers des acteurs qu’aucun tribunal n’atteindra jamais, au premier rang desquels des groupes étatiques comme Lazarus, à qui l’on attribue une large part des plus gros détournements de l’année (crypto.news). Pour ces dossiers, l’acte d’accusation est surtout symbolique : il nomme un ennemi hors de portée. Le pénal ne mord vraiment que sur les auteurs qui, comme Eisenberg ou Medjedovic, ont un visage, un nom et, un jour, un passeport à présenter à une frontière.

« Borrow » veut dire rembourser ? Pourquoi la défense vacille

La défense « code is law » paraît imparable dans un canal Telegram. Devant un jury, elle se heurte à trois notions que le code n’efface pas : la fausseté, l’intention et la compétence territoriale. La fraude suppose une tromperie. Or manipuler un oracle pour faire croire à un protocole qu’une position vaut davantage qu’elle ne vaut, c’est, du point de vue du parquet, mentir à une machine pour en tirer de l’argent. Peu importe que le contrat ait exécuté l’ordre : la fausseté ne porte pas sur le code, elle porte sur la représentation que l’attaquant a créée.C’est exactement là qu’Eisenberg a d’abord perdu, puis gagné. Le juge Subramanian a retenu que, faute de conditions d’utilisation et d’obligation explicite de remboursement attachée à la fonction « borrow », il n’y avait pas de fausse déclaration démontrée. L’appel du parquet attaque frontalement ce raisonnement : pour l’accusation, le mot « emprunter » porte en lui-même la promesse de rendre, et conclure l’inverse reviendrait à « bouleverser la conception traditionnelle de la fraude ». Le second front de bataille est procédural : où le crime a-t-il eu lieu quand l’auteur, les serveurs et les victimes sont répartis sur trois continents ? La question de la compétence, triviale dans un braquage de banque, devient un casse-tête quand la « banque » est un contrat déployé partout et nulle part.La leçon pour les équipes de protocole est contre-intuitive : des conditions d’utilisation claires et une documentation qui qualifie explicitement certains comportements d’interdits renforcent les chances d’une condamnation pénale ultérieure. Le minimalisme « code only », longtemps revendiqué comme une vertu, est aussi ce qui a offert à Eisenberg sa porte de sortie.

Le front des développeurs : Tornado Cash et la responsabilité du code

Il existe un second théâtre judiciaire, distinct de celui de l’attaquant : celui du constructeur de l’outil. Roman Storm, cofondateur du mixeur Tornado Cash, a été reconnu coupable en août 2025 d’un seul chef, l’exploitation d’un service de transfert d’argent sans licence, le jury n’étant pas parvenu à trancher les deux chefs les plus lourds, l’entente en vue de blanchiment et la violation de sanctions (justice.gov). Le ministère public a demandé un nouveau procès sur les chefs restés indécis, un temps évoqué pour l’automne 2026 (CoinDesk).L’enjeu dépasse de loin Storm. Amanda Tuminelli, directrice exécutive du DeFi Education Fund, a averti que la théorie du parquet est « sans limites » : si écrire un outil neutre suffit à être tenu responsable de son usage par des tiers, alors n’importe quel développeur de logiciel libre devient exposé (DL News). La même logique traverse l’Europe : aux Pays-Bas, l’autre cofondateur de Tornado Cash, Alexey Pertsev, a été condamné pour blanchiment et a fait appel, ce qui en fait le précédent européen le plus proche, même s’il vise un développeur et non un attaquant.Un contrepoint essentiel tempère ce durcissement. Le 21 mars 2025, l’OFAC a retiré Tornado Cash de sa liste de sanctions, à la suite de l’arrêt Van Loon de la cour d’appel du cinquième circuit, qui a jugé que des contrats intelligents immuables ne sont pas la « propriété » d’un ressortissant étranger et ne peuvent donc pas être sanctionnés comme tels (CoinDesk). Autrement dit : on ne peut pas sanctionner un bout de code autonome, mais on peut poursuivre la personne qui l’a écrit. La frontière entre le code et son auteur est devenue le vrai champ de bataille.

Do Kwon, quinze ans : l’arrière-plan d’une ère de comptes à rendre

Pour mesurer le changement d’époque, il faut regarder au-delà des exploits proprement dits. Le 11 décembre 2025, le juge fédéral Paul Engelmayer a condamné Do Kwon, cofondateur de Terraform Labs, à quinze ans de prison pour l’effondrement de TerraUSD et LUNA, qui a provoqué environ 36 milliards d’euros (40 Md$) de pertes pour les investisseurs. La peine dépasse les douze ans réclamés par l’accusation (DL News).Le cas Do Kwon n’est pas un exploit : c’est une fraude de conception, un mensonge sur le fonctionnement d’un stablecoin algorithmique, pas l’exploitation d’une faille par un tiers. La distinction est capitale pour ne pas tout confondre. Mais son procès définit l’arrière-plan émotionnel et politique dans lequel les affaires d’exploit sont désormais jugées. Après Sam Bankman-Fried, après Do Kwon, les tribunaux et l’opinion ne sont plus disposés à traiter les pertes crypto comme de simples accidents de marché. Cette fermeté déteint inévitablement sur la manière dont un jury regardera, demain, celui qui a vidé un protocole et appelé cela une « stratégie de trading ».

Les théories juridiques en présence

Il n’existe pas d’infraction unique « exploit de contrat intelligent ». Les procureurs assemblent des qualifications classiques, conçues pour un monde d’avant la blockchain, et c’est leur superposition qui fait la solidité d’un dossier. Le tableau ci-dessous récapitule les principales théories mobilisées et ce qu’elles exigent de prouver.

Qualification	Ce qu’il faut prouver	Angle mort pour « code is law »
Intrusion / atteinte à un système (CFAA aux USA, loi Godfrain en France)	Accès ou modification non autorisés d’un système	« Autorisé » est ambigu si le contrat exécute l’ordre volontairement
Fraude électronique (wire fraud)	Un stratagème reposant sur une tromperie	La tromperie vise-t-elle une personne ou une machine ?
Manipulation de marché	Distorsion artificielle d’un prix de référence	Suppose un marché et un oracle qualifiables de « marché »
Tentative d’extorsion	Menace ou chantage pour obtenir une contrepartie	Réclamer une prime « ou je garde tout » peut basculer dans l’extorsion
Blanchiment	Dissimulation de l’origine des fonds	Passer par un mixeur ou un pont est un aveu d’intention

La leçon transversale est cruelle pour l’attaquant : presque tout ce qu’il fait après l’exploit pour sécuriser son gain, négocier une prime, passer par Tornado Cash, faire sauter les fonds d’une chaîne à l’autre, renforce le dossier pénal plutôt que de l’affaiblir. Le passage de 2 900 ETH de Medjedovic dans Tornado Cash n’est pas qu’un geste de blanchiment : c’est une pièce à conviction.

Et en France ? Loi Godfrain, Parquet et les angles morts de l’AMF

Les affaires phares sont américaines, mais la question se poserait exactement de la même façon à Paris, avec d’autres textes. Un exploit visant un protocole opéré depuis la France relèverait d’abord du droit pénal commun, et singulièrement de la loi Godfrain (loi n° 88-19 du 5 janvier 1988), codifiée aux articles 323-1 et suivants du Code pénal sur les atteintes aux systèmes de traitement automatisé de données. L’accès ou le maintien frauduleux dans un système est puni de deux ans d’emprisonnement et 30 000 euros d’amende, porté à trois ans et 45 000 euros si des données sont supprimées ou modifiées ; l’introduction ou la modification frauduleuse de données expose à des peines allant jusqu’à cinq ans et 150 000 euros (donneespersonnelles.fr). S’y ajouteraient l’escroquerie, l’abus de confiance et le blanchiment.Point essentiel pour lever une confusion fréquente : ce ne serait pas l’Autorité des marchés financiers qui jugerait l’affaire, mais le Parquet, avec les services de police judiciaire spécialisés en cybercriminalité. Les pouvoirs de l’AMF en matière d’abus de marché, issus du titre VI de MiCA, ne visent que les crypto-actifs admis à la négociation sur la plateforme d’un prestataire enregistré (un PSAN devenu CASP), pas un protocole décentralisé autonome. De même, MiCA encadre les prestataires et les émetteurs, pas la responsabilité pénale, et ne s’applique pas à un code véritablement décentralisé (amf-france.org). Résultat : pour un exploit de DeFi pure, le gendarme boursier est largement hors-jeu, et c’est la justice pénale, lente et territoriale, qui prend le relais. Aucune juridiction d’un État membre de l’UE n’a d’ailleurs encore tranché un équivalent des affaires Eisenberg ou Medjedovic ; le dossier Pertsev, qui vise un développeur, reste le plus proche.Pour l’investisseur français, cette architecture laisse un vide concret. Si la plateforme piratée est un prestataire enregistré, le règlement DORA et l’article 75 de MiCA imposent des obligations de résilience opérationnelle et de responsabilité sur la conservation des actifs, et l’épargnant dispose d’un interlocuteur régulé. Mais si le protocole est une DeFi pure, sans société ni dirigeant identifiable, il n’existe ni garantie, ni médiateur, ni autorité à saisir : la victime n’a que le post-mortem pour comprendre ce qui s’est passé, et un dépôt de plainte pénale à l’issue incertaine. Les règles européennes dédiées à la finance décentralisée ne sont pas attendues avant 2027-2028.

Ce que le post-mortem documente, ce que seul un juge tranche

Le post-mortem d’exploit est un genre devenu mature : il établit le « comment » avec une précision remarquable, cause racine, chronologie, flux de fonds. Mais il bute sur deux questions qu’il ne peut pas trancher : qui doit payer, et qui est coupable. La première relève de l’économie de la récupération ; la seconde, désormais, d’un tribunal. L’autopsie technique et l’autopsie judiciaire racontent la même scène de crime dans deux langues qui ne se parlent pas.Cette limite éclaire aussi le rôle, et les angles morts, de l’industrie de l’audit. Un rapport d’audit documente le risque de code ; il ne dit rien de l’intention ni de la culpabilité, et il n’empêche ni l’exploit ni le procès qui, parfois, suit. Nous l’avons montré en passant au crible les cabinets d’audit crypto dans notre comparatif de fin 2026, et en racontant comment CertiK lui-même s’est repositionné en « couche de confiance » quand l’audit recule. Le post-mortem et l’audit couvrent le terrain technique ; dès qu’il s’agit de punir, ils cèdent la place au droit.

Primes, white hats et le risque juridique de la négociation

Si un procureur n’est pas lié par un vote de DAO, alors tout le système de la prime on-chain repose sur une fiction juridique fragile. Un chercheur qui draine un protocole « pour le sauver », puis négocie une récompense, commet, du point de vue du droit pénal, les mêmes actes matériels qu’un voleur : accès non autorisé, prise de contrôle de fonds, demande de contrepartie. La seule chose qui le distingue, c’est l’intention et le comportement qui suit. D’où l’importance croissante de dispositifs comme le Safe Harbor de SEAL, qui tentent de transformer une coutume en protection opposable : restitution sous 72 heures, prime plafonnée, KYC, filtrage OFAC.Mais le Safe Harbor protège contre les poursuites civiles du protocole, pas contre l’État. Un parquet déterminé pourrait très bien considérer qu’un white hat auto-proclamé qui vide un pont avant de « proposer » de rendre les fonds a franchi la ligne de l’extorsion, exactement le reproche fait à Medjedovic sur KyberSwap. La ligne entre le sauveur et le braqueur se joue sur quelques détails : a-t-on prévenu avant ou après, a-t-on gardé une part, a-t-on menacé. Pour les chercheurs en sécurité, le message de 2026 est sans ambiguïté : documentez votre bonne foi dès la première minute, ne gardez rien, restituez vite, et ne confondez jamais l’immunité offerte par un protocole avec une immunité pénale.Cette fragilité a un coût systémique. Si rendre les fonds n’immunise plus à coup sûr, l’incitation à la restitution volontaire, qui a permis de récupérer des centaines de millions, s’affaiblit. Le droit pénal, en cherchant à punir les pires, risque de décourager les repentirs qui faisaient la singularité de la culture crypto.

2026 : la convergence de la justice privée et de la justice publique

Le grand mouvement de 2026 n’est pas un durcissement unilatéral, c’est une convergence. D’un côté, la justice privée de la crypto, post-mortem, primes, Safe Harbor, continue de régler l’immense majorité des incidents sans jamais voir un juge. De l’autre, un petit nombre d’affaires emblématiques, Eisenberg en appel, Medjedovic en cavale, Storm vers un nouveau procès, installent une jurisprudence qui redéfinit les limites du permis. Les deux systèmes coexistent et commencent à s’influencer : la menace du pénal se glisse désormais dans chaque négociation on-chain.Le décor macroéconomique n’aide pas à relâcher la pression. Au 12 octobre 2026, le Bitcoin s’échange autour de 75 100 euros (environ 83 400 $) et l’Ether autour de 2 260 euros (environ 2 554 $), un marché que la remontée des rendements obligataires américains menace de refroidir (Fortune ; Yahoo Finance). Dans un cycle où le levier reprend la main et où les taux longs dictent l’appétit pour le risque, comme nous l’avons analysé dans nos perspectives de fin 2026 sur le cycle que la Fed a inversé, chaque exploit à neuf chiffres pèse plus lourd dans l’opinion et nourrit l’appétit des procureurs.La vérité, dix ans après The DAO, est que « code is law » n’a jamais vraiment décrit le monde réel : il décrivait une aspiration. Le code exécute, mais ce sont des humains qui décident si l’exécution était un vol. En 2026, ces humains portent de plus en plus souvent une robe de magistrat. Le post-mortem racontera toujours comment le protocole est mort. Le procès, lui, dira qui doit en répondre.

Foire aux questions

Exploiter un contrat intelligent, est-ce légal ?

Pas forcément. Même lorsque le contrat exécute l’opération, un parquet peut y voir une fraude, une manipulation de marché ou une atteinte à un système informatique. La défense « code is law » a convaincu un juge dans l’affaire Eisenberg en 2025, mais le ministère public a fait appel en décembre 2025 : le débat reste ouvert.

Que signifie « code is law » en crypto ?

C’est l’idée que si un contrat intelligent autorise une opération, celle-ci est légitime, sans égard pour l’intention des développeurs ou pour d’éventuels petits caractères. La communauté Ethereum a pourtant renié ce principe dès 2016 en forkant la chaîne pour annuler le piratage de The DAO, ce qui a donné naissance à Ethereum Classic.

Qui a piraté KyberSwap et Indexed Finance ?

Les autorités américaines accusent Andean Medjedovic, un Canadien de 23 ans diplômé en mathématiques, d’avoir détourné environ 59 millions d’euros (65 M$) sur Indexed Finance en 2021 puis KyberSwap en 2023. Inculpé en février 2025 à Brooklyn, il reste en cavale et a envoyé 2 900 ETH dans Tornado Cash en avril 2026.

Pourquoi les condamnations d’Avraham Eisenberg ont-elles été annulées ?

En mai 2025, le juge Arun Subramanian a estimé que les preuves ne démontraient pas de fausse déclaration à Mango Markets, faute de conditions d’utilisation et d’obligation de remboursement attachée à la fonction « borrow », et a relevé un défaut de compétence territoriale. Le parquet a fait appel de cet acquittement en décembre 2025.

En France, qui poursuivrait un exploit de protocole DeFi ?

Le Parquet, et non l’AMF. Un exploit relèverait de la loi Godfrain (articles 323-1 et suivants du Code pénal) sur les atteintes aux systèmes informatiques, complétée par l’escroquerie et le blanchiment. Les pouvoirs d’abus de marché de l’AMF, issus de MiCA, ne visent que les actifs négociés chez un prestataire enregistré, pas un protocole décentralisé autonome.Par Anneke de Vries, rédactrice en chef de la rubrique sécurité et exploits de HOGE Wire.

More from this desk

SIM swapping : voler le numéro pour vider le portefeuille crypto

Oct 22, 2026

Ponts crypto : fabriquer des jetons plutôt que vider le coffre

Oct 21, 2026

Trail of Bits, iVerify et DarkSword : l’iPhone piégé

Oct 20, 2026