Hack Bitget : SAFU, réserves, qui protège vraiment vos cryptos ?

Le 24 septembre 2026, peu après 18 h 31 UTC, la plateforme d’échange Bitget a repéré une série de retraits qu’elle n’avait pas autorisés sur ses portefeuilles chauds et tièdes. En quelques minutes, environ 352 millions de dollars (près de 310 millions d’euros) ont quitté ses réserves. La direction a suspendu les retraits, ouvert une enquête avec les cabinets Mandiant et SlowMist, et promis que son fonds de protection couvrirait chaque euro. Cinq jours plus tard, la question que se posent les utilisateurs n’est pas de savoir combien a été volé, mais ce qui, exactement, se tient entre eux et une perte sèche.

Cette question prend un relief particulier en 2026, car le volume des échanges se concentre comme jamais. En août, près de la moitié du volume spot mondial des grandes plateformes a transité par Binance, et le trio de tête en a capté près des deux tiers. Or chaque euro de volume est un euro qui passe par la trésorerie et la garde d’une plateforme. Plus le volume se concentre, plus le risque de contrepartie se concentre lui aussi. Le rempart censé absorber ce risque porte plusieurs noms : SAFU, fonds d’assurance, Proof of Reserves. Le hack de Bitget vient de les soumettre à un test grandeur nature.

Nous avons déjà raconté ici la décrue des volumes, la question du faux volume et la mécanique du prix de référence. Cet article regarde ailleurs : non pas le chiffre affiché, mais ce qui se tient derrière lui. À quoi servent réellement ces coussins, ce qu’ils couvrent, ce qu’ils ne couvrent pas, et pourquoi l’Europe a choisi une tout autre voie que la promesse d’un fonds maison.

Bitget, le coussin mis à l’épreuve

Selon le décompte communiqué par la plateforme et repris par la presse spécialisée, le vol s’élève à 351,6 millions de dollars, soit environ 310 millions d’euros au cours du moment. L’attaque n’a pas visé les clés privées. Gracy Chen, la directrice générale de Bitget, a explicitement écarté cette hypothèse : les assaillants, a-t-elle indiqué, n’ont obtenu les clés d’aucun portefeuille, qu’il soit froid, chaud ou tiède. Les portefeuilles froids sont restés intacts, tout comme le Bitget Wallet auto-hébergé. Le mode opératoire ressemble davantage à la compromission d’un outil interne ayant permis de déclencher des retraits frauduleux, exactement le genre de scénario que le paradoxe de l’audit avait déjà pointé : le vol se produit hors du code, pas à cause d’une faille de smart contract.

Pour couvrir la perte, Bitget dispose de son User Protection Fund, un fonds de protection créé en 2022 avec un engagement initial de 300 millions de dollars. Au moment des faits, il pesait plus de 464 millions de dollars (environ 408 millions d’euros), dont quelque 5 500 Bitcoin. Rembourser 351,6 millions de dollars en consommerait autour de 76 %, ce qui ramènerait le fonds vers 112 millions de dollars (près de 99 millions d’euros), soit sous le plancher de 300 millions que la plateforme s’était elle-même fixé, comme l’a calculé TokenPost. Le coussin a donc rempli son office, mais il ressort de l’épreuve nettement plus mince qu’il n’y est entré.

« Chaque dollar et chaque décision seront justifiés, de façon transparente et intégrale », a déclaré Gracy Chen, qui a assuré que le fonds absorberait la perte et que les soldes des clients resteraient exacts, selon le compte rendu de The Crypto Times. Sur l’origine de l’attaque, la dirigeante est restée prudente : les enquêteurs ont relevé des adresses IP correspondant à des schémas de VPN utilisés par un groupe lié à la Corée du Nord, mais « l’attribution n’est pas encore certaine », et Bitget ne croit pas à un acte interne.

Le volume se concentre, le risque aussi

Le contexte de marché rend l’affaire Bitget d’autant plus sensible. Après un creux estival, le volume spot des grandes plateformes a rebondi de 19 % en août 2026, à 510,4 milliards de dollars (environ 449 milliards d’euros), la plus forte progression mensuelle de l’année selon BeInCrypto. Ce sursaut ne masque pas la tendance de fond : le volume reste inférieur d’environ 45 % à celui de janvier.

Surtout, ce volume est de plus en plus l’affaire de quelques acteurs. Binance a traité à lui seul 243,1 milliards de dollars, soit 47,6 % du total, contre 43,9 % en janvier, d’après les données relayées par Bloomingbit. Loin derrière, OKX a compté 46,9 milliards de dollars et Coinbase 40,9 milliards. Le trio de tête a capté 64,8 % du volume spot. Du côté des dérivés, la concentration est comparable, et ce compartiment représente désormais l’essentiel de l’activité, autour des trois quarts du volume total.

Cette concentration a une conséquence rarement mise en avant : le risque de contrepartie se concentre au même rythme. Confier ses cryptos à une plateforme, ce n’est pas seulement lui payer des frais ; c’est lui prêter la garde de ses actifs. Plus une poignée d’acteurs agrège le volume, plus la question de leur solidité individuelle devient systémique. D’où l’importance des mécanismes censés protéger l’utilisateur, que le tableau ci-dessous met en regard des parts de marché d’août.

Note : n.d. signale un volume d’août non détaillé dans la source citée ; les parts de marché sont arrondies. Sources : BeInCrypto et Bloomingbit pour les volumes, communications des plateformes pour les fonds.

Deux coussins qu’on confond souvent : sécurité et assurance

Avant d’aller plus loin, une distinction s’impose, car deux dispositifs très différents portent des noms voisins. D’un côté, les fonds de sécurité, comme le SAFU de Binance ou le User Protection Fund de Bitget : ils sont censés couvrir les pertes exceptionnelles subies par la plateforme, un piratage, une faille, un incident opérationnel. De l’autre, les fonds d’assurance des dérivés (les Futures Insurance Funds), qui n’ont rien à voir avec les hacks. Leur rôle est d’éponger les liquidations qui ne se dénouent pas au prix de faillite, afin d’éviter que le mécanisme d’auto-deleveraging (ADL) ne vienne rogner les gains des traders gagnants.

Confondre les deux conduit à surestimer sa protection. Un gros fonds d’assurance dérivés ne dit rien de la capacité d’une plateforme à rembourser un vol commis sur sa custody, et inversement. Binance, par exemple, distingue clairement son SAFU de son fonds d’assurance dérivés, publié séparément. Passons-les en revue l’un après l’autre.

SAFU, le fonds qui a fait école (et son pari Bitcoin)

Le SAFU (Secure Asset Fund for Users) est le doyen du genre. Binance l’a créé en juillet 2018 en s’engageant à y verser 10 % de ses frais de transaction, conservés dans un portefeuille froid distinct, selon la fiche de CoinMarketCap. Sa première grande démonstration date de mai 2019 : après un vol d’environ 7 000 Bitcoin (près de 40 millions de dollars de l’époque), Binance avait entièrement indemnisé ses clients via le fonds, sans perte pour eux. Dès le début de 2023, le SAFU dépassait le milliard de dollars.

En février 2026, Binance a franchi une étape symbolique : convertir la totalité du fonds en Bitcoin. Au terme d’un mois d’achats échelonnés, dont une acquisition finale de 4 545 BTC, le SAFU détenait 15 000 Bitcoin, valorisés autour de 1,005 milliard de dollars au cours d’alors, comme l’a rapporté The Block. « Avec un SAFU désormais entièrement en bitcoin, nous renforçons notre conviction que le BTC est l’actif de réserve de long terme par excellence », a fait valoir Binance. Pour parer à la volatilité, la plateforme a fixé un plancher : si la valeur du fonds tombe sous 800 millions de dollars, elle le ramènera à un milliard.

Ce pari a une faille que ses détracteurs relèvent volontiers : assurer contre un sinistre avec un actif aussi volatil que le Bitcoin est procyclique. Un krach de marché et un piratage peuvent survenir ensemble, précisément au moment où le fonds vaut le moins. Le plancher de 800 millions est une parade partielle, mais il suppose que Binance soit en mesure de le réabonder au pire instant. Le contexte de l’annonce, en pleine baisse de marché de février 2026, avait d’ailleurs été lu par certains comme un geste opportuniste autant que comme une mesure de prudence.

Le fonds d’assurance des dérivés : quand la liquidation paie la liquidation

Le deuxième coussin est plus discret mais plus sollicité. Sur les marchés de dérivés, quand un trader est liquidé et que sa position ne peut être soldée au prix de faillite (par exemple lors d’un décrochage brutal), le fonds d’assurance comble la différence. À l’inverse, quand une liquidation se dénoue à un meilleur prix que le prix de faillite, le surplus vient l’alimenter. Résultat : le fonds grossit en marché calme et fond en marché violent. Sa raison d’être est d’éviter le recours à l’auto-deleveraging, ce mécanisme de dernier ressort qui ferme d’autorité les positions des traders gagnants pour équilibrer les comptes.

Ce fonds est donc directement branché sur le volume : les dérivés pèsent environ les trois quarts de l’activité, et le coussin se nourrit littéralement du flux de liquidations. C’est aussi le plus exposé aux épisodes de stress, comme le violent décrochage d’octobre 2025, où des milliards de dollars de positions ont été liquidés en quelques minutes. La dynamique du levier, que nous avons décryptée dans notre analyse du funding après la Fed, décide alors de tout : dans ces moments, la vitesse à laquelle le fonds se vide en dit plus long que sa taille affichée.

La transparence de ces fonds varie fortement. Bybit tient une page publique de solde quotidien de son fonds d’assurance, avec un historique reconstituable, ce qui en fait le plus vérifiable ; il pesait environ 400 millions de dollars à la mi-2026, d’après le comparatif de Decentralised.news. Binance publie le sien via son site et une API, mais sans historique natif, ce qui oblige à passer par des tiers pour le suivre dans le temps. OKX, lui, ne dispose pas de page d’historique dédiée et met plutôt en avant son Proof of Reserves.

Bybit 2025, quand le trou dépasse le coussin

Que se passe-t-il quand la perte dépasse tous les coussins ? La réponse a été donnée en février 2025, lors du plus gros vol de l’histoire de la crypto. Le groupe nord-coréen Lazarus a détourné environ 1,5 milliard de dollars (près de 1,3 milliard d’euros) à Bybit, en interceptant un transfert d’un portefeuille froid vers un portefeuille chaud, comme l’a confirmé le FBI. Aucun fonds d’assurance au monde ne couvre une telle somme.

Bybit n’a pourtant ni suspendu les retraits ni fait défaut. La plateforme a comblé le trou en 72 heures, en reconstituant environ 447 000 Ether en 72 heures via un prêt-relais et des apports d’urgence de maisons comme Galaxy Digital, FalconX et Wintermute, selon CNBC. Ben Zhou, le PDG de Bybit, avait alors indiqué avoir sécurisé près de 80 % de l’Ether volé grâce à ce prêt-relais, d’après DL News.

La leçon est double. Pour les sinistres les plus lourds, ce n’est pas un fonds préconstitué qui sauve, mais le bilan de la plateforme et son accès à des liquidités d’urgence. Et cela ne fonctionne que si la plateforme est solvable et bien entourée. Quand ce n’est pas le cas, on obtient l’inverse : une plateforme qui gèle les retraits, puis s’effondre, et la course pour récupérer les fonds volés commence, avec un taux de succès très inégal.

Proof of Reserves, la réponse née de FTX

Les fonds d’indemnisation répondent à la question du sinistre. Le Proof of Reserves (PoR) en pose une autre, plus fondamentale : la plateforme détient-elle vraiment les actifs qu’elle prétend garder ? La question a explosé en novembre 2022 avec la faillite de FTX, dont le trou pour les clients avoisinait 8 milliards de dollars (près de 7 milliards d’euros). La custody « prouvée » n’existait pas ; les fonds clients avaient été siphonnés. De ce traumatisme est né le standard du PoR.

Le principe repose sur un arbre de Merkle : chaque solde client est haché puis agrégé dans une structure qui permet à un utilisateur de vérifier que son compte est bien inclus dans le total, sans dévoiler les soldes des autres. Les plateformes y ajoutent de plus en plus des preuves à divulgation nulle de connaissance (zk-SNARK, zk-STARK), une piste que Vitalik Buterin avait suggérée dès 2022 pour en renforcer la confidentialité. L’instantané de Binance d’août 2026 illustre le format : Bitcoin couvert à 100,25 % (658 293 BTC détenus pour 656 644 dus aux clients), USDT à 103,62 % et USDC à 107,64 %, vérifiés par arbre de Merkle et zk-SNARK, selon The Cryptonomist.

Toutes les grandes plateformes n’appliquent pourtant pas le PoR de la même façon, ni avec le même niveau de vérification indépendante, comme le résume le tableau suivant.

Ce que le Proof of Reserves ne prouve pas

Le PoR rassure, mais il faut savoir lire ce qu’il ne dit pas. Un instantané montre les actifs à une date donnée ; il ne prouve pas le passif, c’est-à-dire ce que la plateforme doit par ailleurs (emprunts, engagements hors bilan, appels de marge sur ses propres dérivés). Il ne prouve pas non plus que les portefeuilles affichés n’ont pas été empruntés le temps de la photo. Autrement dit, un ratio supérieur à 100 % ne signifie pas qu’une plateforme est sans risque, et le PoR ne remplace pas un audit financier complet, comme le rappelle FinanceFeeds.

Nic Carter, associé chez Castle Island Ventures et l’un des promoteurs historiques du PoR, insiste sur ce point depuis des années : un Proof of Reserves complet doit inclure une preuve du passif, faute de quoi il ne dit rien de la solvabilité. Dans ses textes destinés aux régulateurs, il souligne que si les réserves sont vérifiables, l’exhaustivité du passif ne l’est pas : une preuve qui passe réduit la surface de fraude sans la refermer. C’est pourquoi la ligne « publie le passif » du tableau précédent compte au moins autant que la méthode cryptographique : Kraken l’inclut dans chaque rapport, Coinbase le dévoile via ses comptes déposés à la SEC, la plupart des autres restent partiels.

L’histoire récente rappelle les limites de la photo périodique. Selon FinanceFeeds, l’effondrement de la plateforme polonaise Zondacrypto en 2026, où les réserves en portefeuille chaud auraient chuté de 99,7 %, a montré qu’un PoR trimestriel ne dit rien de la solvabilité entre deux clichés. Le parallèle avec l’audit de code est direct : de même qu’un audit passé n’empêche pas la perte (l’essentiel des vols de 2026 a frappé des projets pourtant audités), un PoR validé n’empêche pas l’insolvabilité. Le hack de Bitget en est l’illustration : une plateforme qui publie un PoR peut tout de même se faire vider un portefeuille chaud.

La réponse européenne : la ségrégation plutôt que le coussin

Face à ces limites, l’Union européenne a fait un choix différent. Plutôt que de s’en remettre à la promesse d’un fonds maison, le règlement MiCA impose une obligation légale. Son article 70 encadre la conservation des crypto-actifs et des fonds des clients : un prestataire de services sur crypto-actifs (le CASP, la nouvelle catégorie d’agrément) doit séparer les actifs de ses clients des siens, les inscrire sur un registre et informer ses clients. Si des actifs clients sont perdus à la suite d’une défaillance opérationnelle, le prestataire en est tenu responsable.

MiCA ne s’arrête pas à la ségrégation. L’agrément suppose des exigences de fonds propres, une gouvernance éprouvée et un dispositif de résilience informatique aligné sur le règlement DORA (articles 28 à 30 pour le risque lié aux prestataires tiers). En 2026, l’ESMA a d’ailleurs lancé sa première opération de supervision conjointe depuis l’entrée en vigueur pleine de MiCA, en examinant la résilience opérationnelle de quelque 280 dépositaires agréés sur six dimensions. La logique n’est plus « faites-nous confiance, nous avons un fonds », mais « prouvez que les actifs des clients ne sont pas les vôtres, et tenez-vous prêts à en répondre ».

En France, l’AMF a piloté la bascule : le régime transitoire des PSAN, hérité de la loi PACTE, a pris fin le 1er juillet 2026. Depuis cette date, une plateforme qui n’a pas obtenu l’agrément CASP ne peut plus servir la clientèle française et doit organiser une sortie ordonnée, sous peine de sanctions pénales. L’avis publié par l’AMF à la fin du régime transitoire a rappelé ces attentes aux professionnels comme aux investisseurs particuliers.

Coussin volontaire ou obligation légale : deux mondes

Deux philosophies s’opposent donc. D’un côté, le modèle offshore et discrétionnaire : un fonds maison, auto-financé, logé dans une juridiction accommodante (Binance a installé son siège à Abou Dabi en 2025), assorti d’une promesse de remboursement. De l’autre, le modèle réglementé européen : pas de coussin discrétionnaire, mais une obligation de ségrégation, une responsabilité juridique et un socle de fonds propres et de résilience. Le premier mise sur la crédibilité de la plateforme ; le second, sur la contrainte légale.

Aucun des deux n’est parfait, et il faut le dire clairement. La ségrégation protège contre la confusion des patrimoines et la faillite, mais pas nécessairement contre le vol : si un pirate vide un portefeuille chaud, les actifs séparés ont tout de même disparu, et la responsabilité juridique ne vaut que si la plateforme reste solvable pour indemniser. À l’inverse, un fonds discrétionnaire peut être vidé (Bitget), déplacé ou, dans le pire des cas, s’avérer moins garni qu’annoncé. Chaque modèle ferme une porte et en laisse une autre entrouverte.

Reste une question que personne n’aime poser : qui garantit le garant ? En crypto, il n’existe pas de prêteur en dernier ressort, pas de banque centrale prête à éponger la faillite d’une plateforme. Quand un acteur devient trop gros ou trop connecté pour faire défaut sans dégâts, le sauvetage relève de l’improvisation et de la bonne volonté de partenaires privés, comme l’a montré le sauvetage du pont KelpDAO. Le coussin ultime, en somme, n’existe pas.

Le volume comme label de confiance, et son revers

Il faut enfin comprendre pourquoi le volume et la sécurité sont liés dans l’esprit du public, souvent à tort. Un volume élevé nourrit un bon score de confiance (le Trust Score de CoinGecko en est l’exemple), qui attire davantage de flux, ce qui gonfle encore le volume et concentre le marché. Cette boucle réflexive fait du classement par volume un quasi-label de fiabilité.

Le hack de Bitget rappelle brutalement que le volume n’est pas la solvabilité. Bitget figure parmi les toutes premières plateformes mondiales par l’activité, et cela ne l’a pas empêchée de perdre 352 millions de dollars en une soirée. Le volume mesure l’intensité de l’usage, pas la santé du bilan ni la robustesse de la custody. Une plateforme peut afficher des carnets d’ordres profonds, des frais compétitifs et un classement flatteur, tout en gérant mal ses clés ou ses accès internes. Le chiffre qui rassure et le chiffre qui protège ne sont pas le même.

Que peut faire concrètement un particulier ?

De tout cela découlent quelques réflexes pratiques, qui ne constituent pas un conseil en investissement mais relèvent du bon sens en matière de risque de contrepartie.

• Lire le PoR et le passif : un ratio de réserves n’a de valeur que s’il s’accompagne d’une preuve des engagements ; privilégier les plateformes qui publient les deux.
• Préférer un CASP agréé : en France, un agrément délivré sous la supervision de l’AMF apporte la ségrégation des actifs et une responsabilité juridique, absentes du simple fonds discrétionnaire.
• Ne laisser sur une plateforme que ce que l’on trade : le solde de trading est une chose, l’épargne de long terme en est une autre.
• Distinguer fonds de sécurité et fonds d’assurance : vérifier lequel couvre réellement le risque qui vous concerne, la custody ou les dérivés.
• Envisager l’auto-conservation pour le long terme : « not your keys, not your coins » reste la seule façon d’éliminer le risque de contrepartie, au prix d’une responsabilité personnelle sur les clés.

Ce dernier réflexe rejoint une tendance de fond observée en 2026 : le lent retour vers l’auto-conservation, à mesure que les particuliers réévaluent le coût réel de la commodité offerte par les plateformes.

Ce qu’il faut surveiller d’ici la fin 2026

Le hack de Bitget et la conversion du SAFU en Bitcoin ne sont pas des faits divers isolés : ils dessinent les questions ouvertes des prochains mois.

• La reconstitution du fonds Bitget, tombé sous son propre plancher de 300 millions de dollars : la plateforme le réabondera-t-elle, et à quel rythme ?
• Les chiffres du troisième trimestre, attendus début octobre, qui diront si le rebond d’août tient ou n’était qu’un sursaut.
• La vague d’agréments et de retraits CASP sous MiCA, et les résultats de l’opération de supervision DORA lancée par l’ESMA sur les dépositaires.
• La généralisation, ou non, d’un PoR incluant le passif, seule version réellement probante pour la solvabilité.
• L’éventuelle contagion du pari Bitcoin de Binance : d’autres plateformes convertiront-elles leurs fonds de sécurité en actifs volatils, au risque d’aggraver la procyclicité ?

Une chose est acquise : tant que le volume se concentrera sur une poignée de plateformes, la solidité de leurs coussins restera le sujet le plus important dont on parle le moins. Le chiffre affiché en haut des classements ne dit rien de ce qui se passe quand quelqu’un force la porte du portefeuille chaud.

Foire aux questions

Qu’est-ce que le fonds SAFU de Binance ?

Le SAFU (Secure Asset Fund for Users) est un fonds d’urgence créé par Binance en juillet 2018, à l’origine alimenté par 10 % des frais de transaction, destiné à indemniser les utilisateurs en cas de piratage ou d’incident majeur. En février 2026, Binance l’a intégralement converti en Bitcoin, soit 15 000 BTC pour environ 1 milliard de dollars, avec l’engagement de le ramener à ce niveau s’il tombe sous 800 millions.

Le fonds de protection de Bitget a-t-il couvert le hack de septembre 2026 ?

Oui, selon Bitget. Le vol du 24 septembre 2026, estimé à 351,6 millions de dollars, est couvert par son User Protection Fund, qui pesait plus de 464 millions de dollars. L’indemnisation en consommerait environ 76 %, ramenant le fonds autour de 112 millions de dollars, soit sous le plancher de 300 millions que la plateforme s’était fixé. Les portefeuilles froids et le Bitget Wallet auto-hébergé n’ont pas été touchés.

Quelle différence entre un fonds d’assurance et le Proof of Reserves ?

Un fonds d’assurance est une réserve d’argent destinée à absorber une perte, qu’il s’agisse d’un piratage (fonds de sécurité comme le SAFU) ou d’une liquidation qui ne se dénoue pas au prix de faillite (fonds d’assurance des dérivés). Le Proof of Reserves, lui, ne couvre rien : c’est une preuve cryptographique que la plateforme détient bien les actifs qu’elle doit à ses clients à une date donnée. L’un indemnise, l’autre atteste.

Le Proof of Reserves prouve-t-il qu’un exchange est solvable ?

Non, pas à lui seul. Le PoR montre les actifs à une date donnée, mais ne prouve pas le passif de la plateforme (emprunts, engagements hors bilan) ni que les portefeuilles n’ont pas été empruntés pour l’occasion. Un ratio supérieur à 100 % ne garantit donc pas la solvabilité. Seul un PoR incluant une preuve du passif, comme le publient Kraken ou Coinbase, s’en approche.

Comment MiCA et l’AMF protègent-ils les fonds des clients en France ?

Sous MiCA, un prestataire agréé (CASP) doit séparer les crypto-actifs de ses clients des siens, les inscrire sur un registre et en répondre en cas de défaillance opérationnelle (article 70), le tout avec des exigences de fonds propres et de résilience informatique (DORA). En France, le régime transitoire des PSAN a pris fin le 1er juillet 2026 ; depuis, seule une plateforme titulaire de l’agrément CASP, supervisée par l’AMF, peut légalement servir la clientèle française.

Par Liam Brennan, rédacteur marchés chez HOGE Wire.