{"id":261,"date":"2026-08-09T22:35:05","date_gmt":"2026-08-09T22:35:05","guid":{"rendered":"https:\/\/hoge.gg\/fr\/compromission-cles-privees-risque-crypto-2026\/"},"modified":"2026-08-09T22:35:05","modified_gmt":"2026-08-09T22:35:05","slug":"compromission-cles-privees-risque-crypto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/compromission-cles-privees-risque-crypto-2026\/","title":{"rendered":"Compromission de cl\u00e9s priv\u00e9es : le vrai risque crypto de 2026"},"content":{"rendered":"

Pendant longtemps, le cauchemar de la crypto tenait dans une ligne de code: un bug de smart contract qu’un attaquant exploite en quelques transactions. En 2026, la menace a chang\u00e9 de nature. La majorit\u00e9 des fonds vol\u00e9s ne partent plus \u00e0 cause d’une faille logique, mais parce qu’une cl\u00e9 priv\u00e9e a chang\u00e9 de mains. Le braquage n’est plus seulement math\u00e9matique, il est humain, logistique et, d\u00e9sormais, industriel.<\/p>

Les chiffres ne laissent pas de place au doute. Selon le rapport de Chainalysis publi\u00e9 en d\u00e9cembre 2025<\/a>, plus de 3 milliards d’euros de crypto-actifs ont \u00e9t\u00e9 d\u00e9rob\u00e9s sur l’ann\u00e9e, et la compromission de cl\u00e9s priv\u00e9es s’est impos\u00e9e comme le premier poste de pertes. Le seul braquage de Bybit a co\u00fbt\u00e9 pr\u00e8s de 1,4 milliard d’euros. Cet article d\u00e9cortique le ph\u00e9nom\u00e8ne: ce qu’est r\u00e9ellement une cl\u00e9 priv\u00e9e, comment elle tombe entre de mauvaises mains, o\u00f9 file l’argent vol\u00e9, ce que dit le r\u00e9gulateur fran\u00e7ais, et surtout comment r\u00e9duire le risque, que l’on soit un particulier ou une plateforme.<\/p>

Une cl\u00e9 priv\u00e9e, c’est quoi exactement ?<\/h2>

Une cl\u00e9 priv\u00e9e est un tr\u00e8s grand nombre secret. C’est lui, et lui seul, qui autorise les mouvements de fonds associ\u00e9s \u00e0 une adresse. Contrairement \u00e0 un mot de passe, il ne se r\u00e9initialise pas: quiconque en prend connaissance peut signer des transactions \u00e0 votre place, sans limite et sans recours. La cryptographie asym\u00e9trique s\u00e9pare une cl\u00e9 publique, que l’on partage (elle donne l’adresse), et une cl\u00e9 priv\u00e9e, que l’on garde. Signer une transaction, c’est prouver math\u00e9matiquement que l’on d\u00e9tient la cl\u00e9 priv\u00e9e, sans jamais la r\u00e9v\u00e9ler.<\/p>

Dans la pratique, peu d’utilisateurs manipulent la cl\u00e9 brute. Ils g\u00e8rent une phrase de r\u00e9cup\u00e9ration (la fameuse seed de 12 ou 24 mots, standard BIP-39) \u00e0 partir de laquelle un portefeuille d\u00e9rive toutes les cl\u00e9s. Perdre cette phrase, c’est perdre l’acc\u00e8s; la divulguer, c’est tout perdre. D’o\u00f9 la formule r\u00e9p\u00e9t\u00e9e en boucle: \u00ab not your keys, not your coins \u00bb. Elle a un revers rarement dit \u00e0 voix haute: en auto-conservation, la s\u00e9curit\u00e9 repose enti\u00e8rement sur vous, sans service client pour annuler une op\u00e9ration frauduleuse.<\/p>

La compromission de cl\u00e9 priv\u00e9e d\u00e9signe donc toute situation o\u00f9 un tiers obtient la cl\u00e9 (ou la seed), ou pousse un signataire l\u00e9gitime \u00e0 valider une op\u00e9ration qu’il n’a pas comprise. C’est une cat\u00e9gorie diff\u00e9rente de l’exploit de smart contract: ici, le code fonctionne comme pr\u00e9vu, mais l’autorisation est d\u00e9tourn\u00e9e. Cette distinction est capitale, car elle change compl\u00e8tement les parades. Un audit de code ne d\u00e9tecte ni un employ\u00e9 hame\u00e7onn\u00e9, ni une interface de signature pi\u00e9g\u00e9e.<\/p>

2026, l’ann\u00e9e o\u00f9 le vol de cl\u00e9s est devenu la norme<\/h2>

La bascule est r\u00e9cente et document\u00e9e. Le rapport annuel de Chainalysis sur le crime crypto<\/a> chiffre \u00e0 plus de 3 milliards d’euros (environ 3,4 milliards de dollars) le total d\u00e9rob\u00e9 en 2025. La part attribu\u00e9e aux acteurs li\u00e9s \u00e0 la Cor\u00e9e du Nord atteint pr\u00e8s de 1,9 milliard d’euros (2,02 milliards de dollars), un record. Surtout, la firme pr\u00e9cise que la compromission de cl\u00e9s priv\u00e9es a repr\u00e9sent\u00e9 88 % des pertes au premier trimestre 2025, et que 76 % des attaques visant des services ont impliqu\u00e9 ce vecteur.<\/p>

Le d\u00e9placement de la cible est tout aussi net. Les attaques contre des portefeuilles individuels ont pes\u00e9 44 % de la valeur vol\u00e9e en 2025, contre 7,3 % en 2022. Autrement dit, les attaquants ne se contentent plus des grosses plateformes; ils traquent aussi les particuliers, un par un. Depuis 2022, le butin cumul\u00e9 des groupes nord-cor\u00e9ens d\u00e9passe d\u00e9sormais 6 milliards d’euros.<\/p>

L’ann\u00e9e 2026 confirme la tendance. Le rapport Hack3D de CertiK pour le premier semestre 2026<\/a> recense environ 1,2 milliard d’euros (1,32 milliard de dollars) de pertes sur 344 incidents, avec la compromission de portefeuilles comme cat\u00e9gorie la plus co\u00fbteuse. Le volume total recule d’environ 47 % par rapport au premier semestre 2025, mais ce chiffre est trompeur: il \u00e9tait gonfl\u00e9 par le seul cas Bybit. Hors Bybit, l’environnement n’est pas plus s\u00fbr, il l’est moins. Les deux plus gros sinistres du semestre, la compromission de KelpDAO (environ 270 millions d’euros) et celle de Drift Protocol (pr\u00e8s de 265 millions d’euros), survenues toutes deux en avril, concentrent \u00e0 elles seules une large part des pertes, et sont attribu\u00e9es \u00e0 des groupes pr\u00e9sum\u00e9s nord-cor\u00e9ens. Le m\u00eame rapport de CertiK<\/a> pointe une autre facette du probl\u00e8me: les \u00ab wrench attacks \u00bb, ces agressions physiques destin\u00e9es \u00e0 extorquer des cl\u00e9s sous la contrainte, ont co\u00fbt\u00e9 environ 115 millions d’euros (124 millions de dollars) sur le semestre. La compromission de cl\u00e9s n’est pas toujours num\u00e9rique.<\/p>

Bybit : autopsie du hold-up \u00e0 1,4 milliard d’euros<\/h2>

Le 21 f\u00e9vrier 2025, Bybit subit le plus gros vol de l’histoire de la crypto. Lors d’un transfert de routine depuis un portefeuille froid, pr\u00e8s de 401 000 ETH et plusieurs d\u00e9riv\u00e9s de staking, soit pr\u00e8s de 1,4 milliard d’euros (environ 1,5 milliard de dollars), quittent les r\u00e9serves de la plateforme en une poign\u00e9e de transactions.<\/p>

Le point cl\u00e9: les signataires n’ont pas \u00e9t\u00e9 trahis par leur mat\u00e9riel, mais par ce qu’ils voyaient \u00e0 l’\u00e9cran. L’attaque a vis\u00e9 l’interface de Safe{Wallet}, la solution de multisignature utilis\u00e9e par Bybit, via l’injection de code JavaScript malveillant dans le front-end, une attaque de la cha\u00eene d’approvisionnement. Les analyses techniques, notamment celle de NCC Group<\/a>, d\u00e9crivent une interface falsifi\u00e9e: les signataires validaient une adresse et un montant en apparence corrects, tandis que le message r\u00e9ellement sign\u00e9 modifiait la logique du contrat du portefeuille froid, transf\u00e9rant son contenu vers une adresse contr\u00f4l\u00e9e par les attaquants.<\/p>

Le cofondateur et PDG de Bybit, Ben Zhou, a racont\u00e9 avoir v\u00e9rifi\u00e9 l’adresse de destination et l’interface avant d’approuver, sans d\u00e9tecter que le contenu de la signature avait \u00e9t\u00e9 alt\u00e9r\u00e9, selon ses d\u00e9clarations rapport\u00e9es peu apr\u00e8s l’incident<\/a>. C’est l’illustration parfaite du blind signing, que nous d\u00e9taillons plus bas.<\/p>

Le FBI a rapidement attribu\u00e9 le vol au groupe Lazarus, li\u00e9 \u00e0 la Cor\u00e9e du Nord, d\u00e9j\u00e0 responsable du braquage de Ronin en 2022. Le blanchiment a \u00e9t\u00e9 fulgurant: environ 160 millions d’euros ont transit\u00e9 en 48 heures, et plus de 86 % des ETH ont \u00e9t\u00e9 convertis en Bitcoin via des plateformes d\u00e9centralis\u00e9es et des mixeurs. La rapidit\u00e9 de l’op\u00e9ration a montr\u00e9 que la partie difficile, pour ces groupes, n’est plus de voler, mais de recycler.<\/p>

Fait notable, Bybit a tenu. La plateforme a honor\u00e9 les retraits pendant la crise, combl\u00e9 le trou gr\u00e2ce \u00e0 des pr\u00eats et \u00e0 des apports de partenaires, puis lanc\u00e9 un programme de primes pour tracer les fonds en fuite. L’\u00e9pisode a rappel\u00e9 une v\u00e9rit\u00e9 inconfortable: m\u00eame un portefeuille froid, longtemps pr\u00e9sent\u00e9 comme la r\u00e9f\u00e9rence en mati\u00e8re de s\u00e9curit\u00e9, ne prot\u00e8ge pas si la couche de signature qui l’entoure peut \u00eatre manipul\u00e9e. Le froid met la cl\u00e9 hors ligne; il ne garantit pas que l’ordre de transfert soit honn\u00eate.<\/p>

Comment une cl\u00e9 priv\u00e9e tombe : la carte des vecteurs<\/h2>

Aucune cl\u00e9 ne tombe par magie. Derri\u00e8re chaque vol se cache un vecteur pr\u00e9cis, et les conna\u00eetre, c’est d\u00e9j\u00e0 savoir o\u00f9 placer ses d\u00e9fenses. Le tableau ci-dessous r\u00e9sume les principales portes d’entr\u00e9e observ\u00e9es en 2025 et 2026.<\/p>

Vecteur<\/th>M\u00e9canisme<\/th>Exemple marquant<\/th>Parade principale<\/th><\/tr><\/thead>
Ing\u00e9nierie sociale \/ spear-phishing<\/td>Faux recruteur, faux support, lien pi\u00e9g\u00e9 pour voler des acc\u00e8s<\/td>Ronin (2022)<\/td>Formation, v\u00e9rification hors bande, moindre privil\u00e8ge<\/td><\/tr>
Cha\u00eene d’approvisionnement (front-end)<\/td>Code malveillant inject\u00e9 dans l’interface de signature<\/td>Bybit (2025)<\/td>Clear signing, v\u00e9rification sur appareil d\u00e9di\u00e9<\/td><\/tr>
Malware presse-papiers \/ infostealer<\/td>Remplace l’adresse coll\u00e9e, capture la seed<\/td>CryptoBandits (2026)<\/td>Portefeuille mat\u00e9riel, machine d\u00e9di\u00e9e, anti-malware<\/td><\/tr>
Empoisonnement d’adresse<\/td>Fausse adresse ressemblante gliss\u00e9e dans l’historique<\/td>Vagues 2025-2026<\/td>Carnet d’adresses, contr\u00f4le de l’adresse compl\u00e8te<\/td><\/tr>
Fuite de phrase de r\u00e9cup\u00e9ration<\/td>Photo, cloud, capture d’\u00e9cran, phishing<\/td>Cas innombrables<\/td>Sauvegarde hors ligne uniquement<\/td><\/tr>
Signataire multisig pi\u00e9g\u00e9<\/td>Un ou plusieurs signataires validant une op\u00e9ration falsifi\u00e9e<\/td>WazirX (2024)<\/td>Simulation, appareils ind\u00e9pendants, quorum \u00e9lev\u00e9<\/td><\/tr>
Informaticien infiltr\u00e9 (insider)<\/td>Agent embauch\u00e9, porte d\u00e9rob\u00e9e pos\u00e9e<\/td>Campagnes DPRK<\/td>V\u00e9rification RH, cloisonnement des acc\u00e8s<\/td><\/tr><\/tbody><\/table><\/figure>

Un point m\u00e9rite d’\u00eatre soulign\u00e9: ces vecteurs se combinent. Une campagne de phishing installe un infostealer, qui vole une seed, qui donne acc\u00e8s \u00e0 un signataire d’un multisig. La d\u00e9fense doit donc \u00eatre en couches, jamais d\u00e9pendante d’un seul rempart.<\/p>

Faux recruteurs et informaticiens infiltr\u00e9s : la m\u00e9thode nord-cor\u00e9enne<\/h2>

La signature commune des plus gros vols de la p\u00e9riode porte un nom: Lazarus, ou plus largement les groupes affili\u00e9s \u00e0 la Cor\u00e9e du Nord. Leur force n’est pas seulement technique, elle est organisationnelle. Chainalysis d\u00e9crit une campagne d’infiltration par de faux informaticiens: des agents se font embaucher dans des exchanges, des d\u00e9positaires et des projets Web3 pour poser des portes d\u00e9rob\u00e9es, voler des identifiants et pr\u00e9parer des attaques de grande ampleur.<\/p>

Le braquage de Ronin, en mars 2022, reste le cas d’\u00e9cole. D’apr\u00e8s le post-mortem officiel de Sky Mavis<\/a>, un employ\u00e9 a \u00e9t\u00e9 pi\u00e9g\u00e9 par une offre d’emploi frauduleuse; l’acc\u00e8s obtenu a permis de compromettre cinq des neuf cl\u00e9s de validateurs du r\u00e9seau et de forger de faux retraits, pour environ 580 millions d’euros (624 millions de dollars) en ETH et USDC. Aucun contrat n’a \u00e9t\u00e9 cass\u00e9: cinq cl\u00e9s ont suffi.<\/p>

Le mode op\u00e9ratoire s’est raffin\u00e9 depuis. Faux recruteurs sur les r\u00e9seaux professionnels, tests techniques pi\u00e9g\u00e9s, entretiens vid\u00e9o o\u00f9 l’on demande d’installer un logiciel, fausses mises \u00e0 jour: l’objectif est toujours le m\u00eame, obtenir un premier acc\u00e8s sur une machine qui, un jour, signera une transaction ou d\u00e9tiendra une cl\u00e9. La le\u00e7on d\u00e9range, car elle sort du p\u00e9rim\u00e8tre technique habituel: la s\u00e9curit\u00e9 des cl\u00e9s commence au service des ressources humaines et dans la v\u00e9rification des identit\u00e9s.<\/p>

Le playbook est d\u00e9sormais bien cartographi\u00e9 par les chercheurs: profils de recruteurs cr\u00e9dibles, entreprises fictives dot\u00e9es de sites soign\u00e9s, d\u00e9p\u00f4ts de code pi\u00e9g\u00e9s pr\u00e9sent\u00e9s comme des tests techniques, puis un appel vid\u00e9o o\u00f9 l’on invoque un probl\u00e8me de cam\u00e9ra pour faire installer un correctif. Le correctif est le malware. D’autres campagnes visent les salari\u00e9s en poste via de faux outils internes ou de fausses alertes de s\u00e9curit\u00e9. Dans tous les cas, l’humain est le maillon attaqu\u00e9 en premier, parce qu’il est le plus rentable \u00e0 casser.<\/p>

Presse-papiers pi\u00e9g\u00e9 et empoisonnement d’adresse<\/h2>

Pour les particuliers, deux techniques dominent, discr\u00e8tes et redoutablement efficaces. La premi\u00e8re est le malware presse-papiers. En juin 2026, Microsoft a document\u00e9 un logiciel malveillant baptis\u00e9 Trojan:Win32\/CryptoBandits<\/a>, un \u00ab crypto clipper \u00bb actif depuis f\u00e9vrier 2026. Il surveille le presse-papiers \u00e0 la recherche de phrases de r\u00e9cup\u00e9ration et de cl\u00e9s priv\u00e9es, prend des captures d’\u00e9cran et, au moment o\u00f9 l’utilisateur colle une adresse de destination, la remplace silencieusement par celle de l’attaquant. Il se propage via des cl\u00e9s USB pi\u00e9g\u00e9es et communique avec ses serveurs de commande par le r\u00e9seau Tor, un niveau de sophistication rare pour un simple voleur de presse-papiers.<\/p>

La seconde est l’empoisonnement d’adresse. Le principe joue sur une faiblesse humaine: personne ne lit une adresse de 42 caract\u00e8res en entier. L’attaquant envoie de petits montants depuis une adresse qui ressemble fortement \u00e0 l’une de vos adresses habituelles (m\u00eames premiers et derniers caract\u00e8res). Elle s’inscrit dans votre historique; un jour, vous copiez la mauvaise. Les campagnes recens\u00e9es par Blockaid<\/a> se comptent en millions de tentatives, et un particulier a perdu pr\u00e8s de 46 millions d’euros (environ 50 millions de dollars) en USDT fin 2025 sur ce seul sch\u00e9ma. La baisse des frais de transaction sur Ethereum a m\u00e9caniquement rendu ces campagnes plus rentables, donc plus massives.<\/p>

La parade tient en quelques r\u00e9flexes: ne jamais copier une adresse depuis l’historique, utiliser un carnet d’adresses v\u00e9rifi\u00e9, contr\u00f4ler l’adresse enti\u00e8re (pas seulement le d\u00e9but et la fin) et faire un petit virement test avant un gros transfert.<\/p>

Le blind signing : signer \u00e0 l’aveugle, perdre \u00e0 coup s\u00fbr<\/h2>

Bybit et WazirX ont un d\u00e9nominateur commun: dans les deux cas, des signataires ont approuv\u00e9 une op\u00e9ration sans voir ce qu’ils signaient r\u00e9ellement. C’est le blind signing, ou signature \u00e0 l’aveugle. Le portefeuille affiche une donn\u00e9e illisible ou une interface falsifi\u00e9e, et l’utilisateur fait confiance. Or une signature peut autoriser bien plus qu’un simple envoi: un appel de contrat, une d\u00e9l\u00e9gation de logique, une approbation illimit\u00e9e de d\u00e9pense (le tristement c\u00e9l\u00e8bre setApprovalForAll).<\/p>

La r\u00e9ponse de l’industrie porte un nom: le clear signing, ou signature lisible. L’id\u00e9e est simple: une transaction doit \u00eatre affich\u00e9e en clair, sur un \u00e9cran de confiance, avant d’\u00eatre sign\u00e9e. Ce que vous voyez est ce que vous signez. Ledger a propos\u00e9 le standard ERC-7730<\/a> en 2024 pour normaliser cet affichage, avant d’en confier la gouvernance \u00e0 l’Ethereum Foundation; le format est aujourd’hui soutenu par Ledger, Trezor et MetaMask. Charles Guillemet, directeur technique de Ledger, en a fait un cheval de bataille public, pr\u00e9sentant la fin de la signature \u00e0 l’aveugle comme la condition d’une auto-conservation r\u00e9ellement s\u00fbre.<\/p>

Le clear signing ne r\u00e8gle pas tout (une interface enti\u00e8rement compromise reste dangereuse), mais il ferme la porte la plus b\u00e9ante: celle o\u00f9 l’utilisateur ne peut tout simplement pas savoir ce qu’il valide.<\/p>

Multisig, MPC et l’illusion des signatures multiples<\/h2>

On pr\u00e9sente souvent la multisignature comme la solution ultime: plusieurs cl\u00e9s, plusieurs signataires, donc plus de s\u00e9curit\u00e9. C’est vrai sur le papier, et faux d\u00e8s que l’humain et l’interface entrent en jeu. Bybit utilisait un multisig; WazirX aussi. Dans les deux cas, le quorum a \u00e9t\u00e9 respect\u00e9, mais les signataires ont valid\u00e9 une op\u00e9ration falsifi\u00e9e. Multiplier les cl\u00e9s ne sert \u00e0 rien si toutes affichent le m\u00eame mensonge.<\/p>

Le calcul multipartite (MPC) va plus loin en supprimant la cl\u00e9 unique: la signature est produite collectivement, sans que la cl\u00e9 compl\u00e8te n’existe jamais en un seul endroit. C’est une avanc\u00e9e r\u00e9elle contre l’extraction de cl\u00e9, mais elle d\u00e9place le risque vers la gouvernance et l’impl\u00e9mentation, pas vers z\u00e9ro. La vraie discipline consiste \u00e0 v\u00e9rifier chaque transaction sur des appareils ind\u00e9pendants, \u00e0 simuler l’op\u00e9ration avant de signer, \u00e0 s\u00e9parer les r\u00f4les et \u00e0 d\u00e9sactiver la signature \u00e0 l’aveugle. C’est pr\u00e9cis\u00e9ment l’objet de notre checklist multisig 2026<\/a>, qui s\u00e9pare la s\u00e9curit\u00e9 r\u00e9elle de son illusion.<\/p>

Corollaire important pour les protocoles: un audit de smart contract, aussi rigoureux soit-il, ne couvre pas cette couche op\u00e9rationnelle. Le code peut \u00eatre parfait et les cl\u00e9s, mal gard\u00e9es. Les deux plans de s\u00e9curit\u00e9 sont distincts, et confondre l’un avec l’autre revient \u00e0 verrouiller la porte en laissant la fen\u00eatre ouverte.<\/p>

Les grands sinistres de la compromission de cl\u00e9s<\/h2>

Rien ne vaut une vue d’ensemble. Le tableau suivant r\u00e9unit les compromissions de cl\u00e9s les plus marquantes des derni\u00e8res ann\u00e9es, avec les montants convertis en euros (valeur au moment des faits) et la m\u00e9thode employ\u00e9e.<\/p>

Incident<\/th>Date<\/th>Perte estim\u00e9e<\/th>M\u00e9thode<\/th>Attribution<\/th><\/tr><\/thead>
Ronin Network<\/td>Mars 2022<\/td>~580 M\u20ac (624 M$)<\/td>Cl\u00e9s de validateurs, spear-phishing<\/td>Lazarus (FBI)<\/td><\/tr>
DMM Bitcoin<\/td>Mai 2024<\/td>~280 M\u20ac (305 M$)<\/td>Cl\u00e9 priv\u00e9e compromise<\/td>Lazarus (pr\u00e9sum\u00e9)<\/td><\/tr>
WazirX<\/td>Juillet 2024<\/td>~215 M\u20ac (230 M$)<\/td>Interface multisig falsifi\u00e9e (Liminal)<\/td>Lazarus (pr\u00e9sum\u00e9)<\/td><\/tr>
Bybit<\/td>F\u00e9vrier 2025<\/td>~1,4 Md\u20ac (1,5 Md$)<\/td>Front-end Safe{Wallet}, blind signing<\/td>Lazarus (FBI)<\/td><\/tr>
KelpDAO<\/td>Avril 2026<\/td>~270 M\u20ac (291 M$)<\/td>Compromission d’infrastructure (RPC)<\/td>DPRK (pr\u00e9sum\u00e9)<\/td><\/tr>
Drift Protocol<\/td>Avril 2026<\/td>~265 M\u20ac (285 M$)<\/td>Compromission de portefeuille<\/td>DPRK (pr\u00e9sum\u00e9)<\/td><\/tr><\/tbody><\/table><\/figure>

Deux affaires de 2024 m\u00e9ritent qu’on s’y arr\u00eate, car elles pr\u00e9figurent Bybit. En mai, l’exchange japonais DMM Bitcoin a perdu plus de 4 500 BTC, environ 280 millions d’euros, sur une compromission de cl\u00e9 priv\u00e9e; l’entreprise ne s’en est jamais remise et a fini par fermer. En juillet, l’indien WazirX a vu pr\u00e8s de 215 millions d’euros s’\u00e9vaporer quand des signataires ont valid\u00e9, sur une interface de conservation pi\u00e9g\u00e9e, une transaction qui ne correspondait pas \u00e0 ce qu’ils croyaient approuver. Ces deux vols, que The Block classait parmi les pires de 2024<\/a>, portent la signature de Lazarus. Le sch\u00e9ma de Bybit \u00e9tait d\u00e9j\u00e0 l\u00e0, \u00e0 plus petite \u00e9chelle.<\/p>

Un cas m\u00e9rite un mot: KelpDAO est un protocole de restaking liquide, dont le jeton repr\u00e9sente des ETH remis en jeu pour s\u00e9curiser d’autres r\u00e9seaux. Sa compromission rappelle que les nouvelles briques de rendement (voir notre analyse des LRT en 2026<\/a>) empilent aussi les surfaces d’attaque, y compris au niveau des cl\u00e9s d’infrastructure. Plus un protocole s’appuie sur des composants externes, plus il multiplie les endroits o\u00f9 une cl\u00e9 peut \u00eatre d\u00e9tourn\u00e9e.<\/p>

O\u00f9 file l’argent vol\u00e9 : le blanchiment industriel<\/h2>

Voler est une chose, encaisser en est une autre. C’est m\u00eame devenu le vrai goulot d’\u00e9tranglement pour les groupes \u00e9tatiques. Le sch\u00e9ma type combine, tr\u00e8s t\u00f4t, des mixeurs, des protocoles d\u00e9centralis\u00e9s et des ponts inter-cha\u00eenes pour fragmenter et convertir les fonds, souvent d’ETH vers Bitcoin, plus difficile \u00e0 geler.<\/p>

La vitesse impressionne. Sur Bybit, environ 160 millions d’euros avaient d\u00e9j\u00e0 \u00e9t\u00e9 brass\u00e9s en 48 heures. Andrew Fierman, responsable du renseignement de s\u00e9curit\u00e9 nationale chez Chainalysis, note que la r\u00e9gularit\u00e9 et l’ampleur de ces op\u00e9rations \u00e9voquent un recours \u00e0 l’automatisation, voire \u00e0 l’intelligence artificielle, et rappelle que l’acc\u00e8s mondial et permanent de la crypto en fait une cible de choix pour un r\u00e9gime cherchant \u00e0 contourner les sanctions, selon ses propos rapport\u00e9s par CoinDesk<\/a>.<\/p>

Pour l’\u00e9cosyst\u00e8me, cela dessine une seconde ligne de d\u00e9fense: si l’on ne peut pas toujours emp\u00eacher le vol, on peut compliquer l’encaissement. Analyse on-chain, listes de sanctions, coop\u00e9ration des plateformes et gel rapide des adresses forment un filet qui, \u00e0 d\u00e9faut d’\u00eatre parfait, r\u00e9duit le butin net des attaquants. Cette seconde ligne ne remplace pas la premi\u00e8re, mais elle a d\u00e9j\u00e0 permis, dans plusieurs affaires r\u00e9centes, de figer une partie des fonds avant leur dispersion compl\u00e8te.<\/p>

AMF, PSAN et MiCA : qui r\u00e9pond de vos cl\u00e9s ?<\/h2>

Pour un lecteur fran\u00e7ais, la question du droit est centrale: qui r\u00e9pond de vos cl\u00e9s ? La r\u00e9ponse d\u00e9pend d’un mot, la conservation. En France, l’AMF<\/a> encadre les prestataires de services sur actifs num\u00e9riques (PSAN), et la conservation pour compte de tiers d’actifs num\u00e9riques, le cas \u00e9ch\u00e9ant sous forme de cl\u00e9s cryptographiques priv\u00e9es, constitue la premi\u00e8re cat\u00e9gorie de service, soumise \u00e0 enregistrement obligatoire. Les exigences de cybers\u00e9curit\u00e9 (doctrine DOC-2019-24) en d\u00e9coulent directement.<\/p>

Le r\u00e8glement europ\u00e9en MiCA, qui prend le relais du r\u00e9gime PSAN, retient une d\u00e9finition proche: la conservation consiste \u00e0 garder ou contr\u00f4ler, pour le compte de clients, des crypto-actifs ou les moyens d’acc\u00e8s \u00e0 ces crypto-actifs, le cas \u00e9ch\u00e9ant sous forme de cl\u00e9s cryptographiques priv\u00e9es. Les analyses juridiques du cadre MiCA<\/a> insistent sur un point d\u00e9cisif: en cas de vol de cl\u00e9s, c’est au prestataire de conservation de prouver que ses dispositifs de s\u00e9curit\u00e9 \u00e9taient ad\u00e9quats pour s’exon\u00e9rer, et les actifs des clients doivent \u00eatre s\u00e9gr\u00e9gu\u00e9s des siens.<\/p>

La cons\u00e9quence est nette. Si vous confiez vos cryptos \u00e0 une plateforme r\u00e9gul\u00e9e, un cadre de responsabilit\u00e9 existe. Si vous \u00eates en auto-conservation, vous sortez de ce p\u00e9rim\u00e8tre: aucun PSAN, aucun prestataire agr\u00e9\u00e9, aucune assurance implicite. La libert\u00e9 de l’auto-conservation a un prix, celui d’une responsabilit\u00e9 enti\u00e8re. Ce partage explique aussi pourquoi les plateformes sont des cibles si convoit\u00e9es: elles concentrent, par construction, l’acc\u00e8s \u00e0 des milliers de cl\u00e9s.<\/p>

Prot\u00e9ger ses cl\u00e9s : le guide du particulier<\/h2>

R\u00e9duire le risque de compromission ne demande pas d’\u00eatre expert, mais d’\u00eatre m\u00e9thodique. Voici les gestes qui font la diff\u00e9rence, par ordre d’importance.<\/p>