Piratages de ponts crypto : pourquoi l’histoire se répète

Le 19 juillet 2026, Allbridge Core a suspendu son protocole après la découverte d’un vol d’environ 1,65 million de dollars sur ses réserves de liquidité déployées sur Solana. La mécanique de l’attaque n’avait rien d’inédit : un prêt flash de 1,12 million de dollars emprunté sur le protocole Kamino, quelques échanges rapides entre USDC et USDT pour déséquilibrer un pool, puis un retrait à un taux artificiellement favorable, avant un blanchiment via des protocoles de confidentialité, comme le rapporte The Block. Ce qui rend cet épisode réellement instructif n’est pas son montant, modeste comparé aux catastrophes des années précédentes, mais sa répétition presque à l’identique : Allbridge avait déjà subi une attaque quasiment similaire en 2023 et avait promis, à l’époque, un correctif structurel censé la rendre impossible. Ce correctif n’avait tout simplement jamais été étendu à son déploiement Solana.

Cet épisode n’est que le dernier maillon d’une chaîne d’incidents qui remonte à plusieurs années et à plusieurs milliards de dollars. Les ponts inter-chaînes, ces protocoles qui permettent de faire circuler des jetons entre des blockchains qui, par construction, ne communiquent pas nativement entre elles, restent le point de rupture le plus constant de l’industrie crypto. Poly Network, Ronin, Wormhole, Harmony, Nomad, BNB Bridge, Multichain, KelpDAO : chacun de ces noms est associé à un piratage à neuf ou dix chiffres. Cet article revient sur les causes structurelles de cette fragilité récurrente, détaille les cas les plus marquants de 2021 à 2026, chiffre l’ampleur du problème et examine ce que la régulation, notamment via l’AMF et le cadre MiCA, peut ou ne peut pas faire face à des protocoles qui, une fois déployés, n’ont souvent plus aucun opérateur unique à sanctionner.

Pourquoi les ponts inter-chaînes restent le maillon faible de la crypto

Un pont inter-chaînes doit résoudre un problème presque contradictoire : convaincre une blockchain B qu’un événement s’est réellement produit sur une blockchain A, alors que B n’a, par définition, aucun moyen natif de vérifier l’état de A. Pour combler ce vide, chaque pont choisit un modèle de confiance, c’est-à-dire une manière de désigner qui a le droit d’affirmer que quelque chose s’est bien passé sur l’autre chaîne et de déclencher, en conséquence, la libération ou la frappe de jetons de l’autre côté.

Le cofondateur d’Ethereum Vitalik Buterin résumait ce dilemme dès janvier 2022 : il existerait, selon lui, « des limites fondamentales à la sécurité des ponts qui sautent entre plusieurs zones de souveraineté », des propos rapportés par Cointelegraph. Sa thèse, un avenir multi-chaînes oui, un avenir vraiment inter-chaînes non, reste largement citée dans le secteur plus de quatre ans après, à mesure que chaque nouvel incident semble lui donner raison. En pratique, l’industrie distingue généralement cinq grandes familles de modèles de confiance, chacune avec sa propre surface d’attaque, résumées dans le tableau ci-dessous.

Cette diversité de modèles explique pourquoi il n’existe pas de solution miracle unique : chaque architecture déplace le risque plutôt qu’elle ne le supprime. Un audit de smart contract classique, aussi rigoureux soit-il, ne détecte ni une clé privée volée par ingénierie sociale, ni une infrastructure RPC compromise, ni un opérateur arrêté par la police, une limite documentée plus en détail dans notre analyse des angles morts de l’audit crypto en 2026. La majorité des piratages de ponts ne sont d’ailleurs pas des bugs Solidity : ce sont des défaillances humaines, organisationnelles ou d’infrastructure.

Poly Network et Ronin : les deux records qui ont marqué l’histoire

Le 10 août 2021, Poly Network, un protocole d’interopérabilité reliant Bitcoin, Ethereum et BNB Chain, perdait plus de 610 millions de dollars (environ 534 millions d’euros au taux de change actuel) dans ce qui restait alors le plus gros piratage DeFi de l’histoire. L’attaquant avait exploité une faille de contrôle d’accès entre les contrats du protocole pour s’octroyer les droits nécessaires à l’autorisation de retraits massifs sur les trois chaînes concernées. L’épilogue reste unique dans les annales : l’équipe de Poly Network a publiquement interpellé l’attaquant sous le surnom de « Mr. White Hat », lui a proposé une prime de 500 000 dollars et un rôle honorifique de conseiller en sécurité, et a récupéré la quasi-totalité des fonds en l’espace de deux semaines, un dénouement confirmé par CNBC.

Le piratage du Ronin Bridge, qui alimente le jeu Axie Infinity, a débuté le 23 mars 2022 mais n’a été détecté que six jours plus tard, le temps que l’attaquant vide environ 173 600 ETH et 25,5 millions d’USDC, soit près de 625 millions de dollars (environ 547 millions d’euros) selon CoinDesk, ce qui en fait toujours le plus important vol de cryptomonnaies jamais enregistré. Le pont reposait sur un multisig de 5 signatures sur 9, mais Sky Mavis, l’éditeur du jeu, en contrôlait directement quatre, et une cinquième clé, celle de la DAO Axie, lui avait été déléguée temporairement lors d’un pic de trafic en 2021 sans jamais être révoquée. Un seul acteur compromis suffisait donc à réunir la majorité requise. Le vecteur d’entrée fut une fausse offre d’emploi sur LinkedIn, attribuée au groupe Lazarus, contenant un document piégé qui a permis de prendre le contrôle du poste d’un ingénieur senior. Sky Mavis a levé 150 millions de dollars auprès d’un tour mené par Binance pour garantir le remboursement des utilisateurs, effectif fin juin 2022.

Wormhole, Harmony et Nomad : trois défaillances, un seul schéma

Le 2 février 2022, Wormhole, le pont reliant Solana et Ethereum, perdait environ 325 millions de dollars (environ 285 millions d’euros) en 120 000 wETH. La cause : une fonction de vérification obsolète côté Solana n’a pas confirmé qu’un compte de signature appartenait bien au réseau de guardians de Wormhole, ce qui a permis à l’attaquant de forger une fausse approbation contournant l’exigence de 13 signatures sur 19, selon l’analyse détaillée de Halborn. Jump Crypto, soutien financier de l’équipe de développement, a intégralement reconstitué les 120 000 ETH en moins de 24 heures : aucun utilisateur final n’a subi de perte.

Quatre mois plus tard, le 23 juin 2022, c’est le Horizon Bridge d’Harmony qui cédait pour environ 100 millions de dollars (environ 88 millions d’euros), cette fois avec un seuil multisig de seulement 2 signatures sur 5, rapporte CoinDesk. Le FBI a attribué l’attaque au groupe Lazarus et à l’unité APT38 ; les fonds ont été blanchis via Tornado Cash puis plusieurs mixeurs additionnels, et seule une fraction dérisoire des fonds a pu être interceptée a posteriori.

Le cas de Nomad, exploité à partir du 1er août 2022 pour environ 190 millions de dollars (environ 166 millions d’euros), illustre un troisième mode de défaillance. Une mise à jour du contrat avait initialisé la racine de confiance à une valeur nulle qui, par coïncidence, correspondait à la valeur par défaut attribuée aux messages non prouvés : tout message était donc automatiquement validé. L’incident s’est transformé en ruée collective, des centaines d’adresses copiant simplement la transaction du premier attaquant en y substituant leur propre adresse, un phénomène que les chercheurs de Mandiant ont qualifié de « vol décentralisé » dans leur analyse post-mortem. Environ 36 millions de dollars ont été restitués via une prime de 10 % offerte aux white hats, et un suspect clé a depuis été extradé vers les États-Unis.

BNB Bridge et Multichain : quand la centralisation devient la seule protection

En octobre 2022, une preuve Merkle falsifiée a permis de frapper deux fois 1 000 000 BNB sur le Token Hub de BNB Chain, soit une valeur faciale d’environ 566 millions de dollars (environ 496 millions d’euros), documente Halborn. L’ironie de ce dossier est que le petit nombre de validateurs de la chaîne, généralement pointé comme un facteur de risque, est précisément ce qui a permis de stopper l’intégralité du réseau en quelques heures : environ 430 millions de dollars de jetons frappés frauduleusement ont ainsi été gelés sur place, et la société de sécurité SlowMist a estimé que seuls 100 à 110 millions de dollars avaient réellement quitté la chaîne.

Multichain, anciennement Anyswap, illustre un dernier scénario, celui de l’effondrement opérationnel plutôt que du bug de code. Son PDG, connu sous le nom de Zhaojun, a été interpellé par la police chinoise le 21 mai 2023 ; ses appareils, portefeuilles matériels et phrases de récupération ont été saisis, privant l’équipe de tout accès à l’infrastructure MPC qu’il contrôlait seul. Environ 130 millions de dollars ont ensuite transité vers des adresses inconnues début juillet 2023, avant que le protocole ne cesse toute activité, comme l’a rapporté CoinDesk. Plus de trois ans après les faits, le dossier reste juridiquement irrésolu entre procédures de liquidation à Singapour et gels d’actifs prolongés aux États-Unis.

Chronologie des piratages majeurs de ponts crypto

Le tableau suivant résume, en euros au taux de change approximatif de juillet 2026 (environ 1,14 dollar pour 1 euro), l’ensemble des incidents évoqués dans cet article, y compris les deux cas les plus récents de l’été 2026 détaillés dans les sections suivantes.

KelpDAO et LayerZero : 292 millions de dollars et une bataille de responsabilité

Le 18 avril 2026, KelpDAO a subi le piratage le plus coûteux du premier semestre 2026 : 116 500 rsETH, soit environ 292 millions de dollars (environ 256 millions d’euros), selon CoinDesk. Contrairement à la plupart des cas précédents, il ne s’agissait pas d’un bug de smart contract : les attaquants ont compromis l’infrastructure RPC interne alimentant le DVN (Decentralized Verifier Network) de LayerZero pour le déploiement rsETH, tout en saturant par déni de service les fournisseurs RPC externes, avant de falsifier un message inter-chaînes. La configuration en cause reposait sur un seuil de vérification d’un seul validateur sur un.

« La plupart des ponts ne vérifient pas entièrement ce qui s’est passé sur une autre chaîne. Ils s’appuient plutôt sur un système plus restreint pour le leur rapporter », a expliqué Ben Fisch, PDG d’Espresso Systems, dans les colonnes de CoinDesk. « Le pont a fonctionné comme prévu. Il a simplement cru la mauvaise information. » Sergej Kunz, cofondateur de 1inch, a ajouté dans le même article : « La sécurité n’est souvent pas la priorité numéro un. Les équipes se concentrent sur le lancement rapide », avant de souligner comment ce type de faille se propage dès lors que des actifs pontés sont ensuite acceptés comme collatéral ailleurs dans la DeFi.

LayerZero et Kelp se sont ensuite renvoyé la responsabilité de cette configuration à un seul validateur : LayerZero a fait valoir que Kelp avait rétrogradé manuellement une configuration multi-DVN, en dehors du périmètre de son programme de bug bounty, tandis que Kelp a soutenu que ce réglage avait été validé par LayerZero au moment du déploiement. La TVL du secteur du restaking, qui avoisinait 19 à 20 milliards de dollars avant l’incident, s’est effondrée jusqu’à un point bas avant de se stabiliser partiellement, un épisode que nous détaillons dans notre analyse du virage vers le cloud vérifiable. Une coalition baptisée « DeFi United », réunissant notamment Aave et Mantle, a reconstitué le stock de rsETH nécessaire pour couvrir les utilisateurs en deux tranches sur environ cinq semaines, si bien qu’aucune perte n’a finalement été répercutée sur les détenteurs finaux, un dénouement rare pour ce type d’incident ; Aave a néanmoins absorbé l’essentiel de la dette impayée résultant de l’épisode, un montant estimé de manière incohérente selon les sources, entre environ 177 et 190 millions de dollars. Les analystes on-chain ont suivi le déroulement du piratage en temps quasi réel, une pratique de plus en plus centrale que nous décryptons dans notre guide sur la lecture des mouvements de baleines.

Dans les semaines qui ont suivi, LayerZero a relevé ses seuils minimaux de DVN pour ne plus jamais autoriser de configuration à un seul validateur en production, et plusieurs protocoles ont annoncé des migrations vers des architectures de vérification distribuées sur un plus grand nombre d’opérateurs indépendants, à l’image de Chainlink CCIP.

Taiko : quand une clé de signature fuite sur GitHub

Le 22 juin 2026, le layer 2 Ethereum Taiko a subi un piratage nettement plus modeste en montant, environ 1,7 million de dollars (environ 1,5 million d’euros), mais tout aussi révélateur sur le plan méthodologique. Une clé de signature SGX, une enclave sécurisée utilisée pour authentifier certaines opérations du pont, avait été accidentellement exposée sur GitHub. L’attaquant s’en est servi pour forger de fausses preuves de retrait et vider une partie du pont ainsi que du contrat ERC20 Vault, comme l’a rapporté CoinDesk.

L’équipe de Taiko a mené une restauration en plusieurs étapes : correction de la faille, reconstitution intégrale des réserves du pont à un ratio de 1 pour 1, remise en route progressive du réseau, revue de sécurité indépendante, puis réouverture sous quotas de retrait prudents. Dix jours après l’exploit, le 2 juillet 2026, le pont était de nouveau pleinement opérationnel et l’équipe affirmait que « le réseau est entièrement restauré et chaque utilisateur est indemne ». Le jeton TAIKO a bondi jusqu’à 136 % à l’annonce de cette restauration complète. L’incident illustre un point récurrent de cet article : ce n’est pas le code du smart contract qui a cédé, mais une clé, égarée par erreur humaine dans un dépôt public.

Allbridge : la même faille, deux fois

Revenons à l’épisode qui ouvre cet article. En avril 2023, Allbridge Core avait déjà perdu entre 570 000 et environ 650 000 dollars sur ses pools de liquidité déployés sur BNB Chain, via un attaquant agissant simultanément comme fournisseur de liquidité et comme emprunteur d’un prêt flash pour manipuler le prix de swap. L’équipe avait alors récupéré environ 465 000 dollars via une négociation à l’amiable, puis publié un post-mortem détaillé promettant un correctif structurel précis : déployer un seul pool de liquidité par blockchain, ce qui rend la manipulation en une seule transaction structurellement impossible, complété par une autorité de rééquilibrage et un arrêt automatique en cas de déséquilibre extrême.

L’attaque du 19 juillet 2026 a pourtant exploité une paire de pools USDC et USDT coexistant côte à côte sur Solana, exactement la configuration multi-pools que le correctif de 2023 était censé éliminer, selon l’analyse de CryptoTimes. Autrement dit, la leçon de 2023 avait bien été retenue, mais seulement partiellement appliquée : le correctif n’avait jamais été étendu au déploiement Solana. Les défenses ajoutées depuis, dont l’autorité de rééquilibrage censée corriger justement ce type de déséquilibre, n’ont pas empêché la répétition du scénario.

Dans la foulée, l’équipe a mis en pause le protocole, demandé aux arbitragistes ayant profité du déséquilibre temporaire de restituer leurs gains, précisé que le produit Allbridge Next n’était pas concerné, puis annoncé l’arrêt définitif de Core et de Classic dans un délai de trois mois. Leur remplaçant doit fonctionner sans aucun pool de liquidité, en acheminant les transferts via le protocole CCTP de Circle et via LayerZero, ce qui éliminerait structurellement le vecteur de manipulation de ratio ayant déjà servi deux fois de porte d’entrée.

Ce que révèlent les chiffres agrégés

Pris isolément, chaque incident peut sembler être un cas particulier. L’agrégation des données dresse un tableau plus systémique. Chainalysis a recensé environ 2 milliards de dollars volés sur 13 piratages de ponts rien qu’en 2022, soit près de 69 % du total des vols de cryptomonnaies cette année-là, selon son rapport. Cette proportion écrasante s’explique par la concentration de valeur que représente un pont : contrairement à un protocole DeFi isolé, un pont majeur verrouille souvent l’équivalent de plusieurs mois, voire années, de revenus protocolaires derrière un seul mécanisme de vérification.

Un second enseignement se dégage directement des dix cas détaillés dans cet article : une bonne moitié implique une défaillance de clés privées, de validateurs ou d’infrastructure plutôt qu’un bug strictement contenu dans le code du smart contract, à l’image de Ronin, Harmony, Multichain, KelpDAO et Taiko. Les cas restants, Poly Network, Wormhole, Nomad et BNB Bridge, relèvent davantage d’une logique de vérification mal conçue ou mal initialisée dans le contrat lui-même. Le cas d’Allbridge se situe encore ailleurs : un choix de conception connu et documenté depuis 2023, mais insuffisamment corrigé. Cette diversité illustre pourquoi une approche de sécurité centrée uniquement sur l’audit de code ne suffit pas ; elle doit s’étendre à la gestion des clés, à la configuration des seuils de vérification et à la sécurité opérationnelle des équipes.

Tornado Cash, les sanctions et la difficulté de réguler un code sans opérateur

Le mixeur Tornado Cash revient dans presque tous les dossiers de blanchiment liés aux ponts piratés : le Trésor américain (OFAC) l’a sanctionné dès août 2022, en citant un blanchiment cumulé de plusieurs milliards de dollars incluant des fonds issus notamment de Ronin, Harmony et Nomad. Ce dossier a toutefois connu un rebondissement majeur : en novembre 2024, la cour d’appel du 5e circuit américain a jugé que l’OFAC avait outrepassé son autorité en sanctionnant Tornado Cash, un smart contract immuable ne pouvant être considéré comme la propriété d’une personne sanctionnable dès lors que plus personne ne le contrôle une fois déployé. Le Trésor américain a formellement retiré Tornado Cash de sa liste SDN le 21 mars 2025, retirant plus de 100 adresses de la liste des sanctions, selon Forbes.

Cette même caractéristique, l’absence d’opérateur unique une fois le code déployé, qui complique tant la sécurisation des ponts, complique tout autant leur régulation après coup. Les poursuites pénales visant des individus, comme l’extradition du suspect clé de l’affaire Nomad vers les États-Unis, ont en revanche mieux résisté dans la durée que les sanctions visant des protocoles ou des mixeurs pris comme entités.

Ce que change la fin de la période transitoire MiCA pour les utilisateurs français

Pour les lecteurs français, ces dossiers résonnent différemment depuis le 1er juillet 2026, date à laquelle s’est achevée la période transitoire permettant aux prestataires de services sur actifs numériques (PSAN) d’opérer en France sans agrément MiCA complet. À compter de cette date, seuls les prestataires agréés en tant que PSCA (prestataires de services sur crypto-actifs) sous le régime MiCA peuvent continuer à fournir des services en France ; l’exercice non autorisé expose désormais à deux ans d’emprisonnement et 30 000 euros d’amende, rappelle l’Autorité des marchés financiers.

Ce cadre renforcé encadre les plateformes d’échange, de garde et de négociation, mais ne régule pas directement la sécurité technique des ponts inter-chaînes eux-mêmes : un protocole comme Wormhole, LayerZero ou Allbridge n’est pas un PSCA, c’est une infrastructure sur laquelle des PSCA agréés s’appuient parfois pour proposer des actifs multi-chaînes à leurs clients. Un utilisateur français transférant des fonds via une plateforme agréée par l’AMF bénéficie donc d’une supervision sur le prestataire, mais reste exposé, comme n’importe quel utilisateur ailleurs dans le monde, au risque technique du pont sous-jacent si celui-ci venait à être compromis. C’est précisément cette zone grise, entre régulation du service et sécurité de l’infrastructure, que les cas décrits dans cet article mettent en évidence.

Comment réduire son exposition en tant qu’utilisateur

Aucune de ces précautions n’élimine totalement le risque, mais plusieurs réflexes limitent l’exposition avant d’utiliser un pont inter-chaînes :

• Vérifier le modèle de confiance du pont (multisig, réseau de validateurs, preuve de fraude) et le nombre minimal de signatures ou de validateurs nécessaires pour approuver un retrait ; plus ce nombre est faible, plus le risque de point de défaillance unique est élevé.
• Consulter l’historique d’incidents du protocole : un pont déjà piraté qui n’a pas changé son architecture, comme le montre le cas Allbridge, présente un risque de récidive documenté.
• Privilégier les ponts dotés de limites de taux ou de délais de retrait, qui ralentissent une sortie massive de fonds et laissent le temps à une équipe de réagir.
• Éviter de laisser des fonds importants immobilisés sur un pont plus longtemps que nécessaire ; un pont doit rester un point de passage, pas un lieu de stockage.
• Diversifier les routes utilisées pour les montants importants plutôt que de dépendre d’un seul pont, et suivre les annonces officielles des équipes concernées en cas d’anomalie signalée.

Ces précautions relèvent de la gestion de risque individuelle ; elles ne remplacent pas une sécurité structurelle au niveau du protocole, qui reste d’abord la responsabilité des équipes qui le construisent et, dans une moindre mesure, des auditeurs qui l’examinent.

Vers où va la sécurité des ponts après 2026

La tendance la plus nette de 2026 est le recul progressif des architectures reposant sur un seul mécanisme de vérification configurable, celle-là même qui a coûté 292 millions de dollars à KelpDAO. Malgré la gravité de cet épisode, les capitaux institutionnels ont continué d’affluer vers le secteur du restaking dans les mois suivants, comme le montre notre suivi des flux de capitaux institutionnels en 2026, tandis que plusieurs protocoles explorent des alternatives à la dépendance envers un opérateur ou un jeton natif unique, comme le détaille notre analyse de Symbiotic et Karak, deux protocoles qui misent sur l’absence de jeton dédié.

Reste que le rythme des incidents de 2026, Taiko en juin, Allbridge en juillet, ne suggère pas une résolution rapide du problème. Tant que la promesse d’un accès instantané à la liquidité sur toutes les chaînes restera plus attractive commercialement que la lenteur d’une vérification native robuste, les ponts continueront probablement de concentrer une part disproportionnée du risque de sécurité de l’industrie.

Questions fréquentes

Qu’est-ce qu’un pont inter-chaînes (cross-chain bridge) en crypto ?

Un pont inter-chaînes est un protocole qui permet de transférer de la valeur ou des données entre deux blockchains distinctes, par exemple Ethereum et Solana, qui ne communiquent pas nativement entre elles. Concrètement, il verrouille ou détruit des jetons sur la chaîne d’origine et fait apparaître l’équivalent, souvent une version enveloppée comme le wETH, sur la chaîne de destination, en s’appuyant sur un mécanisme de vérification externe pour attester que l’opération d’origine a bien eu lieu.

Pourquoi les ponts crypto sont-ils autant piratés ?

Parce qu’ils concentrent une valeur considérable derrière un mécanisme de vérification plus restreint et plus centralisé que les blockchains elles-mêmes. Un multisig de quelques clés, un réseau de validateurs externes ou une configuration mal réglée suffisent souvent à compromettre l’ensemble du pont, ce qui en fait une cible bien plus rentable qu’un smart contract isolé sur une seule chaîne.

Quel est le plus gros piratage de pont crypto de l’histoire ?

Le piratage du Ronin Bridge d’Axie Infinity en mars 2022 reste le plus important vol de cryptomonnaies jamais enregistré, avec environ 625 millions de dollars dérobés. Le piratage de Poly Network en août 2021, environ 610 millions de dollars, arrive en deuxième position, bien que la quasi-totalité des fonds ait été restituée quelques semaines plus tard par l’attaquant lui-même.

Comment savoir si un pont crypto est sûr avant de l’utiliser ?

Il n’existe pas de garantie absolue, mais plusieurs signaux aident à évaluer le risque : le nombre et la diversité des validateurs ou signataires nécessaires pour approuver un transfert, l’existence d’audits publiés par des cabinets reconnus, l’historique d’incidents du protocole et la présence de limites de taux plafonnant les sorties de fonds en cas d’anomalie. Un pont où un seul acteur peut, seul ou presque, autoriser un retrait doit être considéré comme structurellement plus risqué.

Les utilisateurs sont-ils remboursés après un piratage de pont ?

Cela dépend entièrement des ressources et de la volonté de l’équipe derrière le protocole. Wormhole et Taiko ont été intégralement couverts par leurs soutiens financiers, Ronin a remboursé ses utilisateurs en quelques mois grâce à une levée de fonds, et KelpDAO a reconstitué une large part de son actif via une coalition d’acteurs de la DeFi. À l’inverse, les victimes de Multichain n’ont, plus de trois ans après les faits, toujours pas récupéré l’essentiel de leurs fonds.

Article rédigé par Camille Fontaine pour la rédaction sécurité de HOGE Wire.