Dans la s\u00e9curit\u00e9 des protocoles blockchain, une faille bien plac\u00e9e peut valoir plus cher qu’un braquage. C’est le pari du bug bounty: r\u00e9mun\u00e9rer un chercheur pour qu’il signale une vuln\u00e9rabilit\u00e9 plut\u00f4t que de l’exploiter. En quelques ann\u00e9es, ces primes sont pass\u00e9es de quelques milliers d’euros \u00e0 des records d\u00e9passant les neuf millions d’euros. Voici l’\u00e9tat d’un march\u00e9 devenu central pour la crypto, et ce qu’il signifie concr\u00e8tement pour les investisseurs francophones.<\/p>\n\n\n\n
Un bug bounty est un programme public par lequel un projet paie des \u00ab hackers \u00e9thiques \u00bb, les white hats, pour d\u00e9couvrir et signaler ses failles avant que des acteurs malveillants ne les exploitent. Le principe existe depuis longtemps dans le logiciel classique, mais il prend une dimension particuli\u00e8re dans la crypto. Le code des protocoles est ouvert, souvent immuable une fois d\u00e9ploy\u00e9, et il contr\u00f4le directement des fonds. Une seule erreur peut vider une tr\u00e9sorerie en quelques minutes, sans possibilit\u00e9 d’annuler la transaction.<\/p>\n\n\n\n
L’arithm\u00e9tique est simple. Selon les donn\u00e9es compil\u00e9es par Immunefi et relay\u00e9es par The Block<\/a>, les piratages et arnaques ont co\u00fbt\u00e9 plus de 1,4 milliard de dollars (environ 1,3 milliard d’euros) \u00e0 l’\u00e9cosyst\u00e8me en 2024. Face \u00e0 de tels montants, verser une prime de quelques centaines de milliers d’euros \u00e0 un chercheur honn\u00eate revient \u00e0 payer une assurance. La plupart des programmes passent par des plateformes sp\u00e9cialis\u00e9es qui classent les vuln\u00e9rabilit\u00e9s par gravit\u00e9 et encadrent la divulgation responsable.<\/p>\n\n\n\n La fronti\u00e8re avec la criminalit\u00e9 reste mince. Un m\u00eame bug peut rapporter une prime confortable s’il est signal\u00e9, ou un butin colossal s’il est exploit\u00e9, parfois revendu sur le march\u00e9 gris. C’est pr\u00e9cis\u00e9ment cette tentation que les programmes cherchent \u00e0 neutraliser, en rendant la divulgation responsable plus rentable, ou du moins moins risqu\u00e9e, que l’attaque.<\/p>\n\n\n\n Lanc\u00e9e en d\u00e9cembre 2020, la plateforme Immunefi domine le segment. Elle a d\u00e9pass\u00e9 100 millions de dollars de primes vers\u00e9es (environ 92 millions d’euros) un peu plus de trois ans apr\u00e8s son ouverture, au terme de plus de 3 000 rapports r\u00e9mun\u00e9r\u00e9s; les bugs de smart contracts y repr\u00e9sentent 77,5 % des sommes, devant les failles de protocole (18,6 %) et les vuln\u00e9rabilit\u00e9s web ou applicatives (3,8 %), selon The Block<\/a>.<\/p>\n\n\n\n La plateforme revendique plus de 45 000 chercheurs et affirme avoir prot\u00e9g\u00e9 plus de 25 milliards de dollars (environ 23 milliards d’euros) de fonds d’utilisateurs, sur des projets comme Polygon, Optimism, Chainlink ou MakerDAO. La prime m\u00e9diane pour une faille critique tourne autour de 20 000 dollars (environ 18 400 euros); la moyenne, elle, est tir\u00e9e vers le haut par une poign\u00e9e de r\u00e9compenses exceptionnelles.<\/p>\n\n\n\n Immunefi n’est pas seule sur ce terrain. Des plateformes comme Code4rena, Sherlock ou Cantina ont popularis\u00e9 un mod\u00e8le voisin, le concours d’audit, o\u00f9 des dizaines de chercheurs passent un code au crible sur une fen\u00eatre limit\u00e9e et se partagent une cagnotte. HackerOne et la fran\u00e7aise YesWeHack couvrent, de leur c\u00f4t\u00e9, un p\u00e9rim\u00e8tre bien plus large que la seule crypto. Cette concurrence tire les r\u00e9compenses vers le haut et professionnalise un m\u00e9tier longtemps rest\u00e9 informel.<\/p>\n\n\n\n Quelques affaires ont fait basculer le bug bounty dans une autre \u00e9chelle. Le tableau ci-dessous r\u00e9capitule les versements les plus marquants, convertis en euros au taux courant (1 dollar valant environ 0,92 euro).<\/p>\n\n\n\nImmunefi, le g\u00e9ant qui a franchi la barre des 100 millions<\/h2>\n\n\n\n
Wormhole, Polygon, Optimism: l’anatomie des primes record<\/h2>\n\n\n\n