Ponts crypto : trois hacks en sept jours, une faille commune

Sept jours, trois ponts

En une semaine d’octobre 2026, trois ponts cross-chain ont cédé à la chaîne. Le 17 octobre, Cysic a perdu le contrôle de sa fonction de frappe sur BNB Smart Chain. Le 22 octobre, le pont multichaîne de WAX a relâché des actifs qu’il n’avait jamais reçus. Le 23 octobre, Initia a mis toute sa blockchain à l’arrêt. Trois projets différents, trois équipes différentes, sept jours: le site spécialisé Shattered a résumé la séquence d’un titre, trois hacks en sept jours.

Le butin cumulé reste modeste à l’échelle de l’année: environ 3,5 millions de dollars (près de 3,15 millions d’euros) pour les trois affaires réunies. Rien à voir avec les 292 millions de dollars de Kelp DAO en avril ou les 320 millions de dollars du réseau Liquid en septembre. Mais le montant n’est pas l’histoire. La cadence l’est. Quand trois ponts tombent en une semaine, et quand une étude universitaire publiée dix jours plus tôt recense déjà huit cent trente failles de ce type, le hasard n’explique plus rien. Ces attaques ne sont pas des accidents isolés, ce sont les symptômes d’un défaut de conception que l’industrie documente sans le corriger.

Le décor financier n’aide pas à relativiser. Le Bitcoin traitait autour de 80 000 dollars (environ 72 000 euros) le 27 octobre, après avoir touché 79 250 dollars la veille, son plus bas depuis juillet, à vingt-quatre heures de la décision de la Réserve fédérale américaine, que les marchés voyaient maintenir ses taux à environ 72 % de probabilité (Benzinga). Dans un marché déjà nerveux, chaque pont percé rappelle que la plomberie cross-chain reste le maillon faible, et nos lecteurs trouveront le contexte macro détaillé dans notre suivi de la réunion de la Fed du 28 octobre.

Un mot sur les chiffres avant d’entrer dans le détail. Les montants sont donnés en euros, convertis au cours du 27 octobre, où un euro valait environ 1,11 dollar (Trading Economics), le chiffre en dollars étant précisé entre parenthèses puisque les sources d’origine raisonnent en dollars. Les termes techniques universels (bridge, smart contract, mint, flash loan) restent en anglais, conformément à l’usage.

Cysic: frapper dix millions de jetons sans les déposer

Le 17 octobre à 12 h 31 min 38 s UTC, un attaquant a créé dix millions de jetons CYS sur BNB Smart Chain sans aucune contrepartie. Il ne s’agissait pas de voler des CYS existants: le pont les a fabriqués sur ordre. En quelques minutes, l’assaillant a revendu 7,2 millions de ces jetons et transféré le produit, soit environ 306,6 ETH (près de 727 000 dollars, environ 655 000 euros), vers Ethereum (CoinCentral). Cysic a suspendu le pont à 13 h 47 min 52 s UTC, soit soixante-seize minutes après le premier jeton frauduleux, puis a placé l’adresse réceptrice sur liste noire, ce qui a figé environ 2,8 millions de CYS encore en transit.

L’enquête initiale pointe une cause inhabituelle: non pas une faille dans le code du contrat, mais un accès non autorisé à une base de données qui soutenait le pont, doublé d’un détournement de la logique de traitement des messages. Autrement dit, l’attaquant a réussi à faire croire à l’infrastructure hors chaîne qu’un dépôt légitime avait eu lieu, et le contrat de frappe a obéi. Le réseau principal de Cysic et les soldes des clients sont restés intacts; seul le pont a servi de robinet. L’équipe a proposé une prime de 10 % pour la restitution, offre déclinée, et ouvert une revue de sécurité externe.

Ce schéma est désormais la signature des hacks de ponts en 2026: l’actif volé n’est pas pris dans un coffre, il est émis de toutes pièces du côté de destination. Nous l’avons décrit en détail la semaine dernière en montrant comment les attaquants préfèrent désormais fabriquer des jetons plutôt que vider le coffre. Cysic en est une illustration de manuel: un pont qui frappe à la demande est un distributeur automatique dont la seule sécurité est la conviction qu’un dépôt a bien eu lieu ailleurs. Compromettez cette conviction, par le code ou par la base de données, et la monnaie sort.

WAX: payer un retrait sans jamais avoir reçu le dépôt

Cinq jours plus tard, le 22 octobre, le pont multichaîne de WAX a laissé filer un assortiment de stablecoins et de jetons: 52 986 USDC, 21 558 USDT, 840 DAI, 2,55 WETH et 0,11 WBTC, pour une perte estimée entre 75 000 et 90 500 dollars (environ 68 000 à 82 000 euros) selon les sources (CryptoTimes). La faille tient dans la fonction de retrait: en saisissant des valeurs de frais négatives, l’attaquant a empêché la déduction correcte du solde côté WAX, alors que le système continuait à exécuter la libération des actifs sur les réseaux de destination, Solana et Ethereum. La société d’analyse Blockaid a signalé les transactions suspectes.

Le mécanisme est limpide. Un pont à comptabilité en miroir a besoin que les deux côtés s’accordent sur le fait qu’un dépôt a eu lieu avant de libérer quoi que ce soit. Quand on parvient à convaincre un côté de sauter la vérification du paiement, l’autre paie sur parole. Le bug des frais négatifs a fait exactement cela: la case qui aurait dû enregistrer un débit est restée vide, mais l’ordre de versement, lui, est parti. WAX a mis le pont en pause le 22 octobre, puis l’a rouvert le 23 avec des correctifs, des plafonds par transfert et la promesse de reconstituer les réserves. La somme est petite, mais la nature du défaut est la même que chez Cysic: le pont a agi sur la foi d’un dépôt qui n’existait pas.

Initia: la réserve d’USDC tombée à 63 dollars

La troisième affaire est la plus grave des trois, parce qu’elle a emporté toute une blockchain. Le 23 octobre à 14 h 59 min 26 s UTC, un attaquant a lancé une transaction signée qui a frappé des actifs non adossés sur Initia en appelant directement une fonction Move, sans le message de pont qui aurait normalement dû garantir l’émission. La cause: une faille de cache de script dans l’implémentation MoveVM d’Initia, construite sur le Cosmos SDK, qui a contourné les contrôles de sécurité et falsifié l’état de la machine virtuelle. Quarante-deux minutes plus tard, à 15 h 41 min 30 s UTC, l’équipe a arrêté le L1, les rollups et les flux de pont.

Avant le gel, les réserves ont relâché environ 2,6 à 2,7 millions de dollars (près de 2,4 millions d’euros) en actifs étiquetés AUSD, en ETH et en USDC, acheminés vers Ethereum par LayerZero et par le protocole CCTP de Circle, tandis que les soldes de l’attaquant côté Initia affichaient une valeur faciale de 7,48 millions de dollars (environ 6,7 millions d’euros). L’image qui restera de cette semaine est un chiffre: la réserve d’USDC adossée à la blockchain Noble, qui valait près d’un million de dollars avant les retraits, est tombée à un plancher intrajournalier de 63 dollars, et les retraits des utilisateurs ont échoué faute de contrepartie (CryptoSlate). Au 27 octobre, le réseau restait arrêté, le correctif en cours d’audit, sans date de reprise ni post-mortem complet publié.

Initia pousse à l’extrême la logique des deux incidents précédents. Là où Cysic a été trompé par sa base de données et WAX par ses frais négatifs, Initia a été trompé par son propre moteur d’exécution: le cache de script a servi de porte dérobée pour frapper à volonté. Le pont n’est plus seulement le robinet, il devient la porte de sortie d’un vol qui prend racine dans le cœur de la chaîne. Et quand la sortie est la réserve, il suffit de 63 dollars restants pour geler tout un écosystème.

Le choix d’arrêter toute la chaîne mérite qu’on s’y attarde, car il résume le dilemme des équipes face à ce type d’attaque. Figer le réseau stoppe l’hémorragie et empêche l’attaquant de convertir le reste de ses jetons fictifs, mais cela gèle aussi les fonds légitimes de tous les utilisateurs et transforme un incident de pont en panne générale. Initia a opté pour le bouton d’arrêt d’urgence, comme BNB Chain l’avait fait en 2022; c’est un aveu que, passé un certain seuil, la seule parade immédiate contre une frappe illimitée est de couper le courant. La contrepartie est lourde: plusieurs jours d’immobilisation, une réserve d’USDC à reconstituer et une confiance à regagner, sans date de reprise annoncée au moment où nous écrivons.

Trois incidents, un même tableau

Mis côte à côte, les trois dossiers d’octobre racontent la même histoire sous trois habillages techniques différents. Aucun ne repose sur une clé privée volée au sens classique; tous reposent sur un pont qui a validé une information fausse.

La preuve par 830 failles: ce que dit la recherche

Pour comprendre pourquoi trois ponts sont tombés en une semaine, il faut sortir de l’actualité et regarder les données. Le 9 octobre 2026, une équipe de chercheurs de l’Académie chinoise des sciences et de l’Université du Zhejiang (Yuying Wang, Yi Guo, Jiachi Chen, Hanwen Zhang et Yi Sun) a mis en ligne la première étude empirique systématique d’une classe de bugs qu’ils baptisent CVV, pour Cross-chain Verification Vulnerability, la vulnérabilité de vérification cross-chain (arXiv:2610.13170). En dépouillant 588 rapports d’audit couvrant 36 projets de ponts et 786 fichiers de contrats, ils ont recensé 830 instances de ce défaut, regroupées en 11 motifs récurrents et 5 grandes catégories.

Ces catégories recouvrent les points de contrôle qu’un pont doit absolument réussir: valider une preuve d’état venue d’une autre chaîne, authentifier l’identité de l’expéditeur d’un message, vérifier une signature, contrôler qu’un dépôt a bien la valeur annoncée, s’assurer qu’un même message ne peut pas être rejoué. Chacun de ces contrôles est une occasion de se tromper, et l’étude montre que les mêmes erreurs se répètent d’un projet à l’autre, comme si chaque équipe réécrivait les mêmes pièges. Les trois hacks d’octobre cochent trois cases différentes de cette liste, ce qui illustre à quel point la surface d’erreur est large.

Le constat central est dérangeant de simplicité. Les contrats de pont, écrivent les auteurs, «introduisent une logique de vérification supplémentaire pour valider les données d’une chaîne externe, comme les preuves d’état, l’identité de l’expéditeur des messages et les signatures», et «implémenter correctement cette logique est difficile». Autrement dit, le point faible ne se situe pas dans la garde des jetons, le coffre, mais dans la logique qui décide si un événement a vraiment eu lieu ailleurs. C’est exactement le diagnostic que Shattered tire de l’étude: la zone la plus fragile loge dans la logique de vérification, pas dans la custody des actifs.

Pire, ces failles résistent à la détection automatique. Les chercheurs ont testé les outils existants et des grands modèles de langage sur la reconnaissance des 830 cas: le meilleur modèle n’atteint que 51,2 % de Macro-F1, à peine au-dessus d’une ligne de base naïve à 29,3 %. Un bug que les auditeurs et les scanners peinent à repérer, par construction, est un bug qui survivra jusqu’en production. Les trois hacks d’octobre sont donc trois échantillons vivants d’un catalogue publié huit jours avant le premier d’entre eux. La recherche a décrit la maladie; octobre en a fourni l’épidémie. Quand un défaut est à la fois répandu (830 occurrences), structurel (la vérification cross-chain est intrinsèquement dure) et difficile à détecter, sa matérialisation n’est plus une question de si, mais de quand.

Le pont a cru la mauvaise information

La formule la plus juste pour décrire cette famille de pannes ne vient pas d’un chercheur chinois mais d’un cryptographe américain. Benjamin Fisch, directeur général d’Espresso Systems, l’a posée à l’occasion du vol de Kelp DAO en avril: «La plupart des ponts ne vérifient pas vraiment ce qui s’est passé sur une autre chaîne. Au lieu de cela, ils s’en remettent à un système plus petit pour le leur rapporter» (CoinDesk). Et lorsque ce système plus petit est trompé, le pont obéit sans broncher. Sa conclusion sur le vol des 292 millions de dollars (environ 263 millions d’euros) de rsETH tient en deux phrases: «Le pont a fonctionné comme prévu. Il a simplement cru la mauvaise information.»

Kelp DAO est le cas d’école de 2026. Le 18 avril, un attaquant a forgé un message cross-chain en exploitant une configuration à vérificateur unique, et a fait passer pour authentique une opération qui ne l’était pas; 116 500 rsETH se sont évaporés, soit environ 292 millions de dollars, le plus gros vol du premier semestre. Aucune clé de signataire n’avait été dérobée: les signataires honnêtes ont validé une réalité falsifiée. C’est le même squelette que les trois affaires d’octobre. La base de données de Cysic a rapporté un faux dépôt; les frais négatifs de WAX ont fait sauter le contrôle de paiement; le cache de script d’Initia a menti sur l’état de la machine virtuelle. À chaque fois, le pont a cru la mauvaise information.

Fisch ajoute une mise en garde qui vaut pour toutes les parades que l’on verra plus loin: «Si tout le monde s’appuie sur la même source, vous n’avez pas réduit le risque. Vous l’avez simplement recopié.» Empiler des vérificateurs qui lisent la même donnée falsifiée ne protège de rien. La seule défense réelle consiste soit à vérifier mathématiquement l’événement distant, soit à supprimer purement et simplement l’objet qui tente l’attaquant, le jeton adossé frappé à la demande.

Clés volées ou code trompé: deux familles de pannes

Pour ranger ces incidents, un modèle à deux cases suffit. Dans la première, quelqu’un qui ne devrait pas pouvoir autoriser une opération y parvient: clés de signataire dérobées, identifiants d’administration volés, infrastructure hors chaîne compromise. Dans la seconde, les bonnes personnes autorisent la mauvaise chose: le code de vérification est honnête mais trompé par une donnée falsifiée. La première case est un problème de garde; la seconde, un problème de vérité.

Ronghui Gu, cofondateur de la société d’audit CertiK, résume l’enseignement de l’année: «Un protocole peut réussir un audit de code impeccable et perdre quand même des millions à cause d’une clé d’administration compromise» (Forbes). Les chiffres lui donnent raison: au premier semestre 2026, les vols crypto ont atteint environ 1,3 milliard de dollars (près de 1,17 milliard d’euros), la compromission de portefeuilles et de clés en constituant la catégorie la plus coûteuse, au-delà de 444 millions de dollars, avec une moyenne supérieure à 13 millions de dollars par événement. Pour la première fois, le vol de clés a dépassé les bugs de code en valeur dérobée. Ce n’est pas le pont qui lâche, c’est son porteur de clés ou son serveur.

Octobre illustre les deux cases à la fois. WAX et Initia sont de purs problèmes de vérité: le code a été dupé, aucune clé n’a filé. Cysic est hybride: l’accès frauduleux à une base de données relève de la compromission d’infrastructure, mais il a servi à fabriquer un faux message, donc à tromper la vérification. Cette porosité est précieuse à comprendre, car elle rappelle que le facteur humain reste l’entrée la plus commode. Un identifiant de serveur hameçonné, un ordinateur de développeur infecté, une carte SIM détournée: ce sont des portes dérobées vers le même robinet. Le vol de numéro de téléphone pour vider un portefeuille, que nous avons détaillé à propos du SIM swapping, appartient exactement à ce registre: compromettre l’humain pour contourner le code.

Une fois les jetons fictifs frappés, l’attaquant doit encore les transformer en valeur qui tient. C’est la deuxième moitié de l’histoire, souvent la plus rapide: chez Cysic, la revente des 7,2 millions de CYS et le passage vers Ethereum ont pris quelques minutes, bien avant que l’adresse ne soit mise sur liste noire. Cette course contre la montre explique pourquoi la fenêtre de réaction compte autant que le correctif. Soixante-seize minutes chez Cysic, quarante-deux chez Initia: le temps qui sépare le premier jeton frauduleux du gel décide de la part des fonds qui s’échappe pour de bon, car au-delà, les stablecoins se dispersent et les ETH prennent le chemin des services de brouillage.

Ce que coûtent vraiment les ponts: le palmarès

Les 3,5 millions de dollars d’octobre paraissent dérisoires au regard de l’ardoise historique. Depuis 2021, les ponts ont englouti plus de 2,8 milliards de dollars cumulés, soit autour de 40 % de toute la valeur jamais dérobée dans le Web3. L’année 2022 reste le sommet: Chainalysis l’a qualifiée de plus grosse année de piratage, avec environ 3,8 milliards de dollars volés, dont près de 64 % (quelque 2 milliards) par le seul canal des ponts, répartis sur treize attaques (Chainalysis). Le tableau ci-dessous rassemble les cas qui ont forgé cette réputation, des clés de Ronin au cache de Liquid.

Deux enseignements sautent aux yeux. D’abord, les plus gros montants ne viennent pas des bugs les plus exotiques mais des configurations de confiance les plus concentrées: cinq clés chez Ronin, deux chez Harmony, une seule personne chez Multichain. Ensuite, le dénouement tient surtout à la chance et aux relations: Poly Network a tout récupéré parce que le pirate a choisi de rendre, Kelp DAO a survécu parce que des rivaux l’ont recapitalisé, et la plupart des autres victimes ont simplement encaissé la perte.

Pourquoi la leçon ne passe pas

Si le menu des failles est connu, documenté et désormais chiffré à 830 occurrences, pourquoi les ponts continuent-ils de tomber de la même manière? La réponse tient aux incitations. Sergej Kunz, cofondateur de 1inch, la formule sans détour: «La sécurité n’est souvent pas la priorité. Les équipes se concentrent sur un lancement rapide, la croissance du nombre d’utilisateurs et l’augmentation de la valeur totale verrouillée» (CoinDesk). Un pont rapporte des frais et de la liquidité dès qu’il ouvre; sa logique de vérification, elle, ne se voit que le jour où elle casse. L’industrie optimise ce qui se mesure vite.

Kunz pointe aussi la raison structurelle de la récidive: «Tant que nous dépendrons de ponts fondés sur des validateurs, ces problèmes continueront.» Un comité qui rapporte l’état d’une autre chaîne est, par nature, une cible plus petite et plus molle que la chaîne elle-même. Et le danger ne s’arrête pas au pont percé. «D’autres plateformes peuvent traiter un actif piraté comme légitime, prévient Kunz. C’est ainsi que la contagion se propage.» Le vol de Kelp DAO l’a montré: le rsETH servait de collatéral un peu partout dans la finance décentralisée, et sa chute a menacé des marchés de prêt entiers. Quand l’actif adossé frappé par un pont irrigue le reste de l’écosystème, la panne devient systémique. C’est tout l’enjeu de la concentration que nous avons analysée à propos du restaking et de ses opérateurs: moins il y a de points d’appui, plus la chute d’un seul se propage.

La difficulté de détection, mesurée par l’étude universitaire, achève le tableau. Un défaut que les meilleurs outils ne repèrent qu’une fois sur deux ne sera pas filtré par un audit de routine. Les équipes ne manquent pas d’honnêteté, elles manquent d’instruments et de temps face à une classe de bugs intrinsèquement retorse. Le résultat, ce sont des leçons parfaitement écrites dans des post-mortem que personne n’a le temps d’appliquer avant le prochain lancement.

La limite structurelle: multi-chaîne, pas cross-chain

Au-delà des incitations, il existe un plafond que nul correctif ne franchira. Vitalik Buterin l’a posé dès janvier 2022: il y a «des limites fondamentales à la sécurité des ponts qui sautent entre plusieurs zones de souveraineté», et l’avenir sera «multi-chaîne, mais pas cross-chain» (Cointelegraph). Son raisonnement est géométrique. Un actif natif conservé sur sa chaîne d’origine est protégé par la sécurité de cette chaîne: même un attaquant disposant de la majorité de la puissance ne peut pas vous retirer vos jetons, il peut au pire censurer ou réorganiser. Dès que l’actif est verrouillé dans un pont et représenté ailleurs, cette garantie disparaît: une réorganisation ou une tromperie du côté source peut léser tous les utilisateurs dont les fonds dorment dans le contrat.

Autrement dit, un pont peut être rendu plus sûr, jamais aussi sûr que la détention native. Les trois hacks d’octobre ne sont pas des anomalies à corriger une à une; ils sont l’expression répétée de ce plafond. Chaque pont ajoute, selon la formule de Fisch, de nouvelles hypothèses, et chaque hypothèse est une surface d’attaque. La seule façon d’éliminer le risque de pont est d’éliminer le pont, ce qui ramène à la question que se posent de plus en plus de protocoles: a-t-on vraiment besoin de déplacer l’actif, ou peut-on déplacer seulement l’intention de l’utilisateur?

C’est précisément le pari des architectures dites d’intentions. Plutôt que de verrouiller un actif d’un côté pour en frapper une copie de l’autre, l’utilisateur exprime un résultat souhaité (recevoir tel montant sur telle chaîne) et un réseau de solveurs se charge de l’exécuter en avançant ses propres fonds, remboursés ensuite. Le standard ERC-7683, coécrit par Uniswap Labs et Across, cherche à normaliser ces ordres cross-chain. Le coffre ne disparaît pas totalement, mais il rétrécit et change de main: le risque se déplace vers les solveurs, qui n’engagent que leur propre capital, et non vers une réserve commune où dorment les dépôts de milliers d’utilisateurs. Déplacer l’intention plutôt que l’actif, c’est réduire la taille de la cible.

Les parades: supprimer le coffre, empiler les vérificateurs

Trois mouvements de fond cherchent à relever le plancher de sécurité, et chacun répond à une partie du diagnostic d’octobre. Le premier consiste à supprimer le coffre. Avec l’émission native en mode burn-and-mint, l’actif est brûlé sur la chaîne de départ puis frappé sur celle d’arrivée par son émetteur d’origine, sans jeton adossé stocké dans une réserve pillable. Le protocole CCTP de Circle pour l’USDC en est l’exemple le plus répandu. L’ironie d’Initia est instructive: l’attaquant a utilisé CCTP comme voie de sortie, mais la faille n’était pas dans CCTP, elle était dans le moteur d’Initia; supprimer le coffre ne protège pas d’un cœur de chaîne corrompu, cela supprime seulement la tentation de la réserve.

Le deuxième mouvement empile des vérificateurs indépendants. Les réseaux de vérificateurs décentralisés (DVN) de LayerZero exigent qu’un nombre configurable de validateurs sur un ensemble donné s’accordent avant qu’un message passe; le Risk Management Network de Chainlink CCIP ajoute un second réseau, écrit séparément, qui surveille le premier. La mise en garde de Fisch reste cependant valable: multiplier des vérificateurs qui lisent tous la même source falsifiée ne fait que recopier le risque. La vraie robustesse vient de la diversité des sources, pas de leur nombre. Le troisième mouvement remplace les comités par des mathématiques: les clients légers et les ponts à preuve de connaissance nulle (ZK) vérifient l’événement distant par une preuve cryptographique contrôlée on-chain, et non par le rapport d’un groupe de signataires. C’est la direction d’IBC dans l’univers Cosmos et des zkBridge sur Ethereum.

Le marché, lui, vote déjà. En 2026, environ 15 milliards de dollars de valeur tokenisée ont migré vers CCIP, qui sécurise désormais quelque 85 milliards de dollars de valeur cross-chain au 21 octobre, portés par des transferts emblématiques: plus de 7 milliards de dollars de WBTC de BitGo, 2,5 milliards de MNT de Mantle, 1,5 milliard de rsETH de Kelp, le kBTC de Kraken (FinanceFeeds). Cette fuite vers des architectures plus défensives est la réponse économique aux hacks: quand la sécurité devient un argument de vente, les capitaux se déplacent vers ceux qui en font la démonstration.

Aucune ligne de ce tableau n’est parfaite. Le client léger et le ZK offrent la meilleure garantie théorique, mais restent coûteux et complexes à déployer correctement, ce qui ramène à la conclusion de l’étude: la logique de vérification est dure à écrire, quelle que soit la méthode. Le progrès réel de 2026 n’est pas un modèle miracle, c’est le déplacement de la valeur vers les architectures qui multiplient les sources de vérité indépendantes et réduisent la taille du coffre.

Ce que dit le droit: AMF, MiCA et la question de la responsabilité

Pour un épargnant français, la première déception est juridique. Le règlement MiCA encadre les prestataires de services sur crypto-actifs (les CASP) et les émetteurs, pas le code d’un pont décentralisé. Un contrat intelligent sans permission n’a pas de personne morale à poursuivre, pas de guichet où réclamer. L’Autorité des marchés financiers peut sanctionner un intermédiaire enregistré, elle ne peut rien contre un bug de MoveVM frappé par un inconnu.

Le calendrier ajoute une contrainte de conformité pour les acteurs régulés. En France, le régime transitoire des PSAN a pris fin le 1er juillet 2026, et l’AMF avait renouvelé dès le 5 février 2026 son avertissement selon lequel les prestataires non conformes devaient organiser une liquidation ordonnée (AMF). Depuis l’échéance, l’exercice non autorisé est un délit au titre des articles L.54-10-4 et L.572-23 du Code monétaire et financier, passible de deux ans d’emprisonnement et de 30 000 euros d’amende. À l’échelle européenne, l’article 75 de MiCA fixe un régime de responsabilité pour le dépositaire qui perd les actifs de ses clients, et le règlement DORA impose des obligations de résilience informatique: une compromission de base de données comme celle de Cysic entre précisément dans le champ des risques que DORA entend forcer les acteurs régulés à maîtriser.

La limite est nette. Ces obligations pèsent sur les plateformes enregistrées, pas sur les trois ponts d’octobre, dont aucun n’est un CASP français. Un utilisateur qui passe par un dépositaire agréé bénéficie d’un filet; celui qui bridge en direct via un contrat sans permission reste en terrain caveat emptor, où la seule protection est celle qu’il se donne. Le droit rétrécit la surface de risque sur les bords, aux points d’entrée régulés, mais le cœur du pont demeure une zone sans recours. C’est une raison de plus de traiter chaque passage de pont comme une décision de sécurité, pas comme un simple clic.

Que faire, côté utilisateur

Aucune de ces précautions ne supprime le risque, mais ensemble elles réduisent sensiblement la probabilité de se retrouver du mauvais côté du prochain mint non adossé.

• Préférer l’émission native (CCTP, ponts canoniques des rollups) au jeton adossé chaque fois que c’est possible: pas de coffre, pas de pillage de coffre.
• Vérifier le modèle de confiance avant de bridger: combien de vérificateurs, quelle diversité de sources, quel seuil. Les tableaux de bord de type L2BEAT détaillent ces hypothèses pour les principaux ponts.
• Ne pas laisser dormir de gros montants dans un actif adossé par un pont. Bridger juste-à-temps, le montant nécessaire, puis rapatrier vers l’actif natif.
• Se demander si un pont est vraiment nécessaire: un échange centralisé, un agrégateur d’intentions ou un solveur peut parfois éviter entièrement le coffre.
• Surveiller les annonces de pause et d’exploit, et révoquer les approbations de contrats une fois le transfert terminé.
• Garder en tête qu’aucun régulateur ne remboursera un bug de code: la prévention est la seule assurance réellement disponible.

La séquence d’octobre tombe dans un marché peu enclin à l’indulgence. Avec une Réserve fédérale qui resserre et un Bitcoin qui bute sous les 80 000 dollars, les capitaux cherchent la sécurité, et chaque pont percé accélère la fuite vers les architectures les plus défensives. Notre analyse des perspectives de fin d’année face à une Fed qui resserre détaille ce contexte. Pour les ponts, la trajectoire est claire: moins de coffres, plus de preuves, et une prime croissante à ceux qui savent vérifier plutôt que croire.

Foire aux questions

Quels ponts crypto ont été piratés en octobre 2026 ?

Trois ponts ont cédé en sept jours: Cysic le 17 octobre (environ 727 000 dollars déplacés vers Ethereum), WAX le 22 octobre (environ 75 000 à 90 500 dollars) et Initia le 23 octobre (environ 2,6 à 2,7 millions de dollars sortis des réserves). Soit près de 3,5 millions de dollars cumulés.

Pourquoi les ponts cross-chain se font-ils autant pirater ?

Parce que leur point faible n’est pas la garde des jetons mais la logique de vérification qui décide si un événement a vraiment eu lieu sur une autre chaîne. Une étude universitaire de 2026 a recensé 830 failles de ce type sur 36 ponts. Le pont fonctionne comme prévu, mais il croit une information falsifiée.

Qu’est-ce qu’un hack de mint sur un pont crypto ?

C’est une attaque où le pont fabrique des jetons non adossés du côté de destination, au lieu de voler des jetons existants. L’attaquant trompe la vérification par une fausse donnée ou un bug de code, le contrat frappe de la monnaie sans dépôt réel, puis l’assaillant la revend et sort les fonds.

Comment réduire le risque quand on utilise un pont crypto ?

Préférer l’émission native comme le CCTP de Circle au jeton adossé, vérifier le modèle de confiance et le nombre de vérificateurs, ne bridger que le montant nécessaire juste-à-temps, révoquer les approbations de contrats après usage, et se rappeler qu’aucun régulateur ne remboursera un bug de code.

L’AMF ou MiCA protègent-ils des hacks de ponts ?

Pas directement. MiCA encadre les prestataires et émetteurs régulés, pas le code d’un pont décentralisé. L’article 75 de MiCA et le règlement DORA imposent des obligations aux dépositaires et plateformes agréés, mais un pont décentralisé n’a pas de personne morale à poursuivre, et l’utilisateur qui bridge en direct reste sans recours.

Par Julien Roy, cellule sécurité et exploits de HOGE Wire. Cet article est informatif et ne constitue pas un conseil en investissement.