{"id":302,"date":"2026-08-15T10:25:57","date_gmt":"2026-08-15T10:25:57","guid":{"rendered":"https:\/\/hoge.gg\/fr\/securite-ponts-cross-chain-verifier-confiance-2026\/"},"modified":"2026-08-15T10:25:57","modified_gmt":"2026-08-15T10:25:57","slug":"securite-ponts-cross-chain-verifier-confiance-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/securite-ponts-cross-chain-verifier-confiance-2026\/","title":{"rendered":"S\u00e9curit\u00e9 des ponts cross-chain : v\u00e9rifier plut\u00f4t que croire"},"content":{"rendered":"

Un pont cross-chain ne d\u00e9tient jamais tr\u00e8s longtemps l’argent qu’on lui confie, et c’est pr\u00e9cis\u00e9ment le probl\u00e8me. Chaque mois, plus de 10 milliards de dollars transitent par les grands corridors inter-cha\u00eenes, selon une analyse de Yellow<\/a>, le temps qu’un actif quitte une blockchain pour en rejoindre une autre. Ce passage, en apparence anodin, est devenu le point le plus attaqu\u00e9 de toute la finance d\u00e9centralis\u00e9e.<\/p>

Les chiffres sont t\u00eatus. En mai 2026, les ponts ont repr\u00e9sent\u00e9 environ 42 % des pertes du mois li\u00e9es aux exploits, rapporte la m\u00eame \u00e9tude<\/a>, alors qu’ils n’immobilisent qu’une petite fraction de la valeur totale verrouill\u00e9e en DeFi. Un ratio rest\u00e9 obstin\u00e9ment \u00e9lev\u00e9 depuis 2022. Et le hack le plus co\u00fbteux de l’ann\u00e9e, les 252 millions d’euros (292 M$) envol\u00e9s du pont de KelpDAO en avril, n’a impliqu\u00e9 aucun bug de code.<\/p>

C’est tout le paradoxe de la s\u00e9curit\u00e9 des ponts en 2026 : le danger ne vient presque jamais de la ligne de Solidity qu’un auditeur aurait manqu\u00e9e, mais de la confiance accord\u00e9e \u00e0 un petit groupe de signataires, de serveurs ou de cl\u00e9s. Cet article explique comment un pont \u00e9tablit (ou non) cette confiance, pourquoi elle casse, et pourquoi les capitaux migrent aujourd’hui, \u00e0 hauteur de pr\u00e8s de 15 milliards de dollars, vers des syst\u00e8mes con\u00e7us pour v\u00e9rifier au lieu de croire sur parole.<\/p>

Pourquoi un pont existe (et pourquoi c’est un probl\u00e8me)<\/h2>

Chaque blockchain est un registre souverain et isol\u00e9. Ethereum ne sait pas, nativement, ce qui se passe sur Solana, Arbitrum ou Bitcoin ; un smart contract sur une cha\u00eene ne peut pas lire l’\u00e9tat d’une autre. Or les utilisateurs veulent d\u00e9placer leurs actifs partout : mettre de l’ETH au travail sur un layer 2, apporter des stablecoins \u00e0 un protocole sur une autre cha\u00eene, faire circuler du Bitcoin dans la DeFi. Le pont est la pi\u00e8ce d’infrastructure qui promet de rendre cela possible.<\/p>

Dans sa forme la plus r\u00e9pandue, un pont fonctionne par verrouillage et \u00e9mission (lock-and-mint). Vous d\u00e9posez 10 ETH dans un contrat sur la cha\u00eene de d\u00e9part ; le pont les verrouille, puis \u00e9met 10 ETH envelopp\u00e9s sur la cha\u00eene d’arriv\u00e9e. Ces jetons envelopp\u00e9s ne sont que des reconnaissances de dette : ils valent quelque chose uniquement parce que l’on croit que les 10 ETH d’origine restent bien verrouill\u00e9s, et qu’on pourra les r\u00e9cup\u00e9rer. Certaines architectures br\u00fblent et r\u00e9\u00e9mettent l’actif (burn-and-mint), d’autres n’\u00e9mettent rien du tout et s’appuient sur des r\u00e9serves de liquidit\u00e9 approvisionn\u00e9es des deux c\u00f4t\u00e9s.<\/p>

Le point commun de toutes ces variantes est une faille conceptuelle : la cha\u00eene d’arriv\u00e9e ne peut pas constater elle-m\u00eame le d\u00e9p\u00f4t effectu\u00e9 sur la cha\u00eene de d\u00e9part. Quelqu’un, ou quelque chose, doit le lui affirmer. Ce \u00abquelqu’un\u00bb est le c\u0153ur du probl\u00e8me de s\u00e9curit\u00e9. Tout ce qui suit dans cet article d\u00e9coule de cette question simple : \u00e0 qui, ou \u00e0 quoi, le pont demande-t-il de garantir qu’un \u00e9v\u00e9nement a bien eu lieu sur une autre cha\u00eene ?<\/p>

Le vrai risque n’est pas le code, ce sont les cl\u00e9s<\/h2>

L’intuition commune veut qu’un hack soit une faille de code : une fonction mal \u00e9crite, un d\u00e9bordement, une v\u00e9rification oubli\u00e9e. La r\u00e9alit\u00e9 de 2026 est diff\u00e9rente. Dans son bilan du premier semestre, TRM Labs<\/a> a recens\u00e9 207 hacks pour environ 972 millions de dollars (840 M\u20ac) d\u00e9rob\u00e9s, un nombre d’incidents qui a plus que doubl\u00e9 par rapport au premier semestre 2025, mais un montant en baisse de plus de moiti\u00e9. Surtout, la r\u00e9partition est \u00e9loquente : les exploits de smart contracts repr\u00e9sentent la majorit\u00e9 des incidents (125 sur 207), mais une petite part de la valeur ; les compromissions d’infrastructure, de cl\u00e9s priv\u00e9es et de failles op\u00e9rationnelles ne p\u00e8sent qu’environ 15 % des incidents, mais captent pr\u00e8s de 76 % des sommes vol\u00e9es.<\/p>

Ce d\u00e9s\u00e9quilibre d\u00e9crit parfaitement les ponts. Presque aucun des grands piratages inter-cha\u00eenes n’a \u00e9t\u00e9 un pur bug de Solidity. Ronin, c’est un vol de cl\u00e9s de validateurs. KelpDAO, c’est une infrastructure de noeuds compromise. Multichain, c’est l’effondrement d’un op\u00e9rateur qui contr\u00f4lait seul les cl\u00e9s. L\u00e0 o\u00f9 un contrat mal cod\u00e9 fait perdre quelques dizaines de milliers d’euros \u00e0 un petit protocole, la compromission de la poign\u00e9e de signataires qui gardent un pont fait perdre des centaines de millions. C’est le m\u00eame ph\u00e9nom\u00e8ne que celui d\u00e9crit dans notre analyse sur le vol de cl\u00e9s priv\u00e9es et le facteur humain<\/a> : les attaquants les plus efficaces ne cassent pas la cryptographie, ils ciblent les humains et les serveurs qui la manipulent.<\/p>

Pour \u00e9valuer la s\u00e9curit\u00e9 d’un pont, il faut donc arr\u00eater de se demander seulement \u00able code est-il audit\u00e9 ?\u00bb et commencer par \u00abqui peut, concr\u00e8tement, autoriser un retrait, et que faudrait-il compromettre pour forger cette autorisation ?\u00bb. La r\u00e9ponse tient dans le mod\u00e8le de confiance du pont.<\/p>

Les cinq mod\u00e8les de confiance d’un pont<\/h2>

Malgr\u00e9 une profusion de marques et de jetons, la quasi-totalit\u00e9 des ponts se ram\u00e8ne \u00e0 cinq grandes familles, selon la mani\u00e8re dont ils prouvent qu’un \u00e9v\u00e9nement s’est produit sur une autre cha\u00eene. Comprendre ces familles est le meilleur raccourci pour juger un pont en quelques minutes.<\/p>

Le multisig f\u00e9d\u00e9r\u00e9 confie l’approbation des transferts \u00e0 un petit comit\u00e9 de signataires : compromettez assez de cl\u00e9s, et vous videz le pont. Le r\u00e9seau d’attestation externe \u00e9largit ce comit\u00e9 \u00e0 des dizaines de validateurs ou d’oracles qui attestent l’\u00e9v\u00e9nement, mais la logique reste la m\u00eame. Le mod\u00e8le optimiste pr\u00e9sume qu’un transfert est valide sauf contestation dans un d\u00e9lai imparti. Le client l\u00e9ger, ou la validit\u00e9 par preuve \u00e0 divulgation nulle (ZK), fait v\u00e9rifier \u00e0 la cha\u00eene cible une preuve cryptographique de l’\u00e9tat source : c’est le plus proche d’une v\u00e9rification r\u00e9elle, et le plus difficile \u00e0 construire. Enfin, le r\u00e9seau de liquidit\u00e9 n’\u00e9met aucun actif envelopp\u00e9 et s’appuie sur des solveurs qui avancent la liquidit\u00e9.<\/p>

Mod\u00e8le de confiance<\/th>Comment le pont valide un transfert<\/th>Exemples<\/th>Point de rupture principal<\/th><\/tr><\/thead>
Multisig f\u00e9d\u00e9r\u00e9<\/td>Un petit comit\u00e9 de signataires approuve les retraits<\/td>Ronin, Harmony, premiers Multichain<\/td>Compromission des cl\u00e9s du comit\u00e9<\/td><\/tr>
R\u00e9seau d’attestation externe<\/td>Un r\u00e9seau de validateurs ou d’oracles atteste l’\u00e9v\u00e9nement<\/td>Wormhole (19 guardians), LayerZero (DVN), Axelar<\/td>Falsification ou capture du r\u00e9seau d’attestation<\/td><\/tr>
Optimiste (preuve de fraude)<\/td>Le transfert est pr\u00e9sum\u00e9 valide sauf contestation dans un d\u00e9lai<\/td>Nomad, Across<\/td>Fen\u00eatre de contestation trop courte ou hypoth\u00e8se de d\u00e9part erron\u00e9e<\/td><\/tr>
Client l\u00e9ger \/ ZK<\/td>La cha\u00eene cible v\u00e9rifie une preuve cryptographique de l’\u00e9tat source<\/td>IBC (Cosmos), Polyhedra zkBridge<\/td>Complexit\u00e9, co\u00fbt, bug d’impl\u00e9mentation du v\u00e9rificateur<\/td><\/tr>
R\u00e9seau de liquidit\u00e9<\/td>Des solveurs avancent la liquidit\u00e9, sans actif envelopp\u00e9<\/td>Across, Hop<\/td>Manipulation des pools, solvabilit\u00e9 des solveurs<\/td><\/tr><\/tbody><\/table><\/figure>

Aucun de ces mod\u00e8les n’est intrins\u00e8quement s\u00fbr ou dangereux dans l’absolu. Ce qui compte, c’est la distance entre la promesse marketing (\u00abd\u00e9centralis\u00e9\u00bb, \u00absans confiance\u00bb) et la r\u00e9alit\u00e9 : combien d’entit\u00e9s ind\u00e9pendantes faudrait-il r\u00e9ellement corrompre pour forger un transfert frauduleux ? Souvent, la r\u00e9ponse est bien plus petite que ce que le nom du produit laisse croire.<\/p>

Ce qu’un pont v\u00e9rifie vraiment (ou pas)<\/h2>

La formule la plus juste sur le sujet vient de Ben Fisch, PDG d’Espresso Systems, \u00e0 propos de l’affaire KelpDAO. Interrog\u00e9 par CoinDesk<\/a>, il r\u00e9sume : \u00abLa plupart des ponts ne v\u00e9rifient pas compl\u00e8tement ce qui s’est pass\u00e9 sur une autre cha\u00eene. Ils s’appuient plut\u00f4t sur un syst\u00e8me plus restreint pour le leur rapporter.\u00bb Et de conclure, sur le hack lui-m\u00eame : \u00abLe pont a fonctionn\u00e9 comme pr\u00e9vu. Il a simplement cru la mauvaise information.\u00bb<\/p>

Cette phrase capture la diff\u00e9rence entre attester et v\u00e9rifier. Un r\u00e9seau d’attestation dit \u00abnous, les validateurs, affirmons que le d\u00e9p\u00f4t a eu lieu\u00bb ; il faut lui faire confiance. Un client l\u00e9ger ou une preuve ZK dit \u00abvoici la preuve math\u00e9matique, v\u00e9rifiable par n’importe qui, que le d\u00e9p\u00f4t a eu lieu\u00bb ; il n’y a plus rien \u00e0 croire. Les ponts qui attestent sont plus simples et moins chers \u00e0 construire, ce qui explique leur domination ; ils reportent simplement le risque sur la qualit\u00e9 et l’ind\u00e9pendance de leur comit\u00e9.<\/p>

On peut d\u00e9composer la surface d’attaque d’un pont en trois couches. La couche de consensus concerne la mani\u00e8re dont les validateurs se mettent d’accord sur un message : c’est l\u00e0 que se logent les compromissions de cl\u00e9s et les collusions. La couche de transport concerne l’acheminement du message entre les cha\u00eenes : c’est l\u00e0 qu’on falsifie une signature ou qu’on injecte un faux message. La couche applicative concerne le contrat qui re\u00e7oit et ex\u00e9cute : c’est l\u00e0 que vivent les bugs de code classiques. Les hacks les plus co\u00fbteux frappent les deux premi\u00e8res couches, celles o\u00f9 l’audit de code ne va pas.<\/p>

Anatomie des grandes d\u00e9faillances<\/h2>

L’histoire des ponts est une biblioth\u00e8que de cas d’\u00e9cole, et presque tous confirment la th\u00e8se des cl\u00e9s plut\u00f4t que du code. En 2022, Chainalysis avait chiffr\u00e9<\/a> \u00e0 environ 2 milliards de dollars les vols li\u00e9s aux ponts sur la seule ann\u00e9e, soit pr\u00e8s de 69 % de toute la crypto vol\u00e9e cette ann\u00e9e-l\u00e0. La tendance ne s’est pas d\u00e9mentie : les donn\u00e9es Immunefi pour 2024 attribuaient encore 1,19 milliard de dollars de pertes aux ponts et aux protocoles de messagerie inter-cha\u00eenes, rappelle Yellow<\/a>.<\/p>

Regroup\u00e9s par cause racine, les grands incidents dessinent un sch\u00e9ma clair. C\u00f4t\u00e9 multisig : Ronin, le plus gros vol crypto de l’histoire (environ 540 M\u20ac, soit 625 M$), o\u00f9 le groupe Lazarus a compromis les cl\u00e9s de validateurs via une fausse offre d’emploi pi\u00e9g\u00e9e, selon CoinDesk<\/a> ; et Harmony, dont le seuil de 2 signatures sur 5 rendait le pont trivial \u00e0 vider. C\u00f4t\u00e9 attestation : Wormhole, o\u00f9 une fonction de v\u00e9rification obsol\u00e8te a permis de forger une fausse approbation de garde et de d\u00e9rober environ 281 M\u20ac (325 M$), document\u00e9 par Halborn<\/a>. C\u00f4t\u00e9 code : Nomad, dont la racine de confiance initialis\u00e9e \u00e0 z\u00e9ro a transform\u00e9 le pont en pillage collectif o\u00f9 des centaines d’inconnus recopiaient la transaction de l’attaquant, un \u00e9pisode que Mandiant a qualifi\u00e9 de vol d\u00e9centralis\u00e9<\/a> ; et Poly Network, o\u00f9 des droits d’appel privil\u00e9gi\u00e9s d\u00e9tourn\u00e9s ont permis de vider plus de 527 M\u20ac (610 M$), diss\u00e9qu\u00e9 par Kraken<\/a>. C\u00f4t\u00e9 op\u00e9rateur : Multichain, qui n’\u00e9tait pas un exploit mais un effondrement, l’\u00e9quipe ayant perdu l’acc\u00e8s \u00e0 une infrastructure MPC contr\u00f4l\u00e9e par un seul homme.<\/p>

Incident<\/th>Date<\/th>Perte estim\u00e9e<\/th>Cause racine<\/th>Issue<\/th><\/tr><\/thead>
Ronin (Axie Infinity)<\/td>mars 2022<\/td>~540 M\u20ac (625 M$)<\/td>Cl\u00e9s de validateurs vol\u00e9es<\/td>Utilisateurs rembours\u00e9s, lev\u00e9e de 150 M$<\/td><\/tr>
Wormhole<\/td>f\u00e9vrier 2022<\/td>~281 M\u20ac (325 M$)<\/td>Signature de garde falsifi\u00e9e<\/td>Jump Crypto recapitalise en un jour<\/td><\/tr>
Poly Network<\/td>ao\u00fbt 2021<\/td>~527 M\u20ac (610 M$)<\/td>Droits d’appel privil\u00e9gi\u00e9s d\u00e9tourn\u00e9s<\/td>Fonds rendus en deux semaines<\/td><\/tr>
Harmony Horizon<\/td>juin 2022<\/td>~86 M\u20ac (100 M$)<\/td>Seuil multisig 2\/5 trop bas<\/td>R\u00e9cup\u00e9ration partielle<\/td><\/tr>
Nomad<\/td>ao\u00fbt 2022<\/td>~164 M\u20ac (190 M$)<\/td>Racine de confiance \u00e0 z\u00e9ro<\/td>Pillage collectif, ~36 M$ rendus<\/td><\/tr>
BNB Bridge<\/td>octobre 2022<\/td>~489 M\u20ac de face (566 M$)<\/td>Preuve Merkle\/IAVL forg\u00e9e<\/td>Cha\u00eene stopp\u00e9e, ~100 M$ sortis<\/td><\/tr>
Multichain<\/td>juillet 2023<\/td>~112 M\u20ac (130 M$)<\/td>Effondrement de l’op\u00e9rateur (cl\u00e9s MPC)<\/td>Protocole ferm\u00e9, litige en cours<\/td><\/tr>
KelpDAO \/ LayerZero<\/td>avril 2026<\/td>~252 M\u20ac (292 M$)<\/td>Infra RPC compromise, DVN 1-de-1<\/td>Coalition reconstitue le rsETH<\/td><\/tr><\/tbody><\/table><\/figure>

Un cas fait figure d’exception instructive : le BNB Bridge, en octobre 2022, o\u00f9 une preuve forg\u00e9e a permis d’\u00e9mettre des jetons pour environ 489 M\u20ac de valeur faciale (566 M$). Le petit ensemble de validateurs de la cha\u00eene a pu la stopper en quelques heures, gelant la majeure partie du butin ; seuls quelque 100 M$ ont vraiment quitt\u00e9 le r\u00e9seau. La m\u00eame centralisation qui faisait de ce pont une cible est aussi ce qui a permis d’endiguer les d\u00e9g\u00e2ts. La s\u00e9curit\u00e9 des ponts est faite de ces arbitrages inconfortables.<\/p>

KelpDAO : le hack qui a fait basculer 2026<\/h2>

Le 18 avril 2026, un attaquant a d\u00e9tourn\u00e9 116 500 rsETH, soit environ 252 M\u20ac (292 M$), sur le d\u00e9ploiement de KelpDAO adoss\u00e9 \u00e0 LayerZero. C’est le plus gros exploit DeFi de l’ann\u00e9e, et le cas le plus important \u00e0 comprendre, parce qu’il ne ressemble en rien \u00e0 un piratage classique. Aucun contrat n’a \u00e9t\u00e9 cass\u00e9. Les attaquants ont compromis l’infrastructure RPC interne qui alimentait le v\u00e9rificateur (DVN) de LayerZero pour ce d\u00e9ploiement, tout en saturant de trafic les fournisseurs RPC externes, puis ont usurp\u00e9 un message inter-cha\u00eenes. La configuration en cause, un DVN unique (1-de-1), suffisait \u00e0 valider le transfert d\u00e8s lors qu’on contr\u00f4lait ce seul v\u00e9rificateur.<\/p>

S’en est suivie une bataille d’imputation instructive, rapport\u00e9e par CoinDesk<\/a> : LayerZero affirme que Kelp avait manuellement r\u00e9trograd\u00e9 sa s\u00e9curit\u00e9 vers un v\u00e9rificateur unique, hors du p\u00e9rim\u00e8tre de son programme de primes ; Kelp r\u00e9pond que cette configuration \u00e9tait de fait valid\u00e9e par LayerZero au moment du d\u00e9ploiement. Ce d\u00e9saccord illustre un angle mort r\u00e9current : la s\u00e9curit\u00e9 d’un pont d\u00e9pend d’un param\u00e9trage que peu d’utilisateurs voient, et dont la responsabilit\u00e9, une fois le vol commis, n’est claire pour personne. Sergej Kunz, cofondateur de 1inch, le formule sans d\u00e9tour dans le m\u00eame dossier : \u00abLa s\u00e9curit\u00e9 n’est souvent pas la priorit\u00e9. Les \u00e9quipes se concentrent sur un lancement rapide.\u00bb<\/p>

L’affaire n’a pas fini de r\u00e9sonner pour deux raisons. D’abord, l’attribution : TRM Labs relie environ 643 M$ (555 M\u20ac) de vols du semestre \u00e0 des acteurs li\u00e9s \u00e0 la Cor\u00e9e du Nord, dont deux op\u00e9rations d’avril, Drift et KelpDAO, pour pr\u00e8s de 577 M$ (499 M\u20ac) \u00e0 elles seules. Ensuite, le d\u00e9nouement, rare bonne nouvelle : une coalition d’acteurs DeFi a reconstitu\u00e9 l’adossement du rsETH en quelques semaines, en deux tranches, selon Incrypted<\/a>, de sorte qu’aucune perte n’a \u00e9t\u00e9 r\u00e9percut\u00e9e sur les utilisateurs finaux. Le march\u00e9 rsETH d’Aave a absorb\u00e9 une dette douteuse chiffr\u00e9e de fa\u00e7on variable selon les sources, entre 177 et 190 M$, preuve que la contagion d’un actif envelopp\u00e9 peut se propager bien au-del\u00e0 du pont d’origine.<\/p>

La fuite vers la v\u00e9rification : pr\u00e8s de 15 milliards vers CCIP<\/h2>

La cons\u00e9quence la plus lourde de KelpDAO n’est pas le montant, c’est le d\u00e9placement de capitaux qu’il a d\u00e9clench\u00e9. LayerZero a relev\u00e9 ses minimums de v\u00e9rificateurs, \u00e9cartant les configurations 1-de-1 en production. Puis les grands \u00e9metteurs ont commenc\u00e9 \u00e0 voter avec leurs actifs. D\u00e8s la mi-mai, environ 4 milliards de dollars d’actifs<\/a> (Lombard, Solv, le kBTC de Kraken) avaient bascul\u00e9 de LayerZero vers le protocole d’interop\u00e9rabilit\u00e9 de Chainlink, le CCIP.<\/p>

Le mouvement s’est amplifi\u00e9 tout l’\u00e9t\u00e9. Le 4 ao\u00fbt 2026, BitGo a annonc\u00e9 faire du CCIP son unique fournisseur d’interop\u00e9rabilit\u00e9 pour environ 7,3 milliards de dollars de Wrapped Bitcoin (WBTC), portant \u00e0 pr\u00e8s de 15 milliards de dollars<\/a> (environ 13 milliards d’euros) le total des actifs annonc\u00e9s en migration vers Chainlink, en comptant Mantle, Kelp, Lombard, Solv, Virtuals, Re et Kraken. En quelques mois, la valeur en jeu a plus que tripl\u00e9.<\/p>

Que cherchent ces \u00e9metteurs ? De la redondance. Le CCIP s\u00e9curise chaque corridor avec un r\u00e9seau de plus de seize op\u00e9rateurs de noeuds ind\u00e9pendants et un r\u00e9seau distinct de gestion du risque (Risk Management Network) qui surveille les transferts en parall\u00e8le. La philosophie est r\u00e9sum\u00e9e par le cofondateur de Chainlink, Sergey Nazarov, dans les documents de conception du CCIP<\/a> : une d\u00e9fense en profondeur, pas une confiance aveugle. La le\u00e7on de KelpDAO tient en une phrase : un seul v\u00e9rificateur, aussi r\u00e9put\u00e9 soit-il, est un point de d\u00e9faillance unique, et les capitaux institutionnels ne veulent plus en d\u00e9pendre. Cet app\u00e9tit de s\u00e9curit\u00e9 est parlant : l’argent institutionnel arbitre d’abord le risque de garde et d’infrastructure, avant le rendement.<\/p>

Multi-DVN, r\u00e9seaux de validation et le co\u00fbt de la s\u00e9curit\u00e9<\/h2>

La r\u00e9ponse technique \u00e0 KelpDAO porte un nom : la multiplication et l’ind\u00e9pendance des v\u00e9rificateurs. L’architecture V2 de LayerZero permet d\u00e9sormais de configurer un sch\u00e9ma dit \u00abX de Y sur N\u00bb : sur N v\u00e9rificateurs disponibles, il faut Y attestations dont X obligatoires pour valider un message. La documentation de LayerZero<\/a> illustre l’\u00e9cart : une configuration l\u00e9g\u00e8re de 1\/1\/1 peut convenir \u00e0 un NFT de faible valeur, mais un tr\u00e9sor de DAO devrait exiger un sch\u00e9ma du type 5\/20\/25, c’est-\u00e0-dire vingt attestations parmi vingt-cinq v\u00e9rificateurs, dont cinq impos\u00e9es.<\/p>

Cette gradation r\u00e9v\u00e8le la vraie contrainte de la s\u00e9curit\u00e9 des ponts : elle a un co\u00fbt, en argent et en latence. Chaque v\u00e9rificateur suppl\u00e9mentaire ajoute des frais et allonge le d\u00e9lai de finalisation d’un transfert. Un pont s\u00fbr est donc plus lent et plus cher qu’un pont laxiste, et c’est exactement pour cela que tant d’\u00e9quipes choisissent, par d\u00e9faut, la configuration minimale : elle offre la meilleure exp\u00e9rience utilisateur apparente, jusqu’au jour o\u00f9 elle est exploit\u00e9e. Le param\u00e9trage 1-de-1 de KelpDAO n’\u00e9tait pas une n\u00e9gligence isol\u00e9e, c’\u00e9tait l’optimum local d’un march\u00e9 qui r\u00e9compensait la vitesse.<\/p>

Pour l’utilisateur, la cons\u00e9quence pratique est qu’un pont ne se juge pas au nombre de validateurs annonc\u00e9s, mais au nombre de validateurs r\u00e9ellement ind\u00e9pendants et au seuil r\u00e9ellement exig\u00e9. Vingt validateurs qui partagent la m\u00eame infrastructure cloud ou le m\u00eame op\u00e9rateur ne valent pas beaucoup mieux qu’un seul. L’ind\u00e9pendance, pas le nombre brut, est la variable qui compte.<\/p>

V\u00e9rifier avec des maths : light clients, ZK et transferts natifs<\/h2>

La direction de long terme est claire, m\u00eame si elle avance lentement : remplacer la confiance par la v\u00e9rification cryptographique. Un client l\u00e9ger fait ex\u00e9cuter, sur la cha\u00eene cible, une version all\u00e9g\u00e9e de la v\u00e9rification de consensus de la cha\u00eene source, de sorte que la cible constate elle-m\u00eame la validit\u00e9 d’un \u00e9v\u00e9nement. Les preuves \u00e0 divulgation nulle de connaissance (ZK) poussent l’id\u00e9e plus loin en compressant cette v\u00e9rification en une preuve courte et bon march\u00e9 \u00e0 v\u00e9rifier. C’est l’approche de syst\u00e8mes comme l’IBC dans l’\u00e9cosyst\u00e8me Cosmos ou des zkBridges. Le co\u00fbt de mise en oeuvre reste \u00e9lev\u00e9, et l’impl\u00e9mentation d’un v\u00e9rificateur ZK est elle-m\u00eame une surface d’attaque, mais la propri\u00e9t\u00e9 vis\u00e9e, ne plus rien avoir \u00e0 croire, est la seule qui coupe le probl\u00e8me \u00e0 la racine.<\/p>

Une autre voie consiste \u00e0 supprimer l’actif envelopp\u00e9. Le protocole CCTP de Circle br\u00fble l’USDC natif d’un c\u00f4t\u00e9 et le r\u00e9\u00e9met nativement de l’autre, sans jamais cr\u00e9er de reconnaissance de dette envelopp\u00e9e<\/a> : il n’y a pas d’USDC verrouill\u00e9 \u00e0 voler, donc pas de tr\u00e9sor de pont \u00e0 piller. Les r\u00e9seaux d’intentions et de solveurs, comme Across, r\u00e9duisent quant \u00e0 eux la confiance \u00e0 un cautionnement \u00e9conomique : un solveur avance les fonds et se fait rembourser apr\u00e8s coup, en prenant lui-m\u00eame le risque de finalit\u00e9.<\/p>

Reste la question de fond, pos\u00e9e d\u00e8s janvier 2022 par Vitalik Buterin. Dans un fil rest\u00e9 c\u00e9l\u00e8bre<\/a>, le cofondateur d’Ethereum soutenait qu’\u00abil existe des limites fondamentales \u00e0 la s\u00e9curit\u00e9 des ponts\u00bb qui franchissent plusieurs \u00abzones de souverainet\u00e9\u00bb. Sa th\u00e8se : un avenir multi-cha\u00eenes, oui, mais pas cross-chain, parce qu’un actif natif d’une cha\u00eene est toujours plus s\u00fbr sur cette cha\u00eene que sa version envelopp\u00e9e ailleurs. Quatre ans plus tard, la migration vers des v\u00e9rificateurs redondants et des transferts natifs ressemble moins \u00e0 une r\u00e9futation de Buterin qu’\u00e0 une capitulation partielle devant sa mise en garde. La m\u00eame exigence de v\u00e9rification irrigue d’ailleurs le hors-EVM, comme le montre notre passage en revue des auditeurs Solana et Move<\/a>.<\/p>

Blanchiment : o\u00f9 vont les fonds apr\u00e8s le vol<\/h2>

Un hack de pont ne s’arr\u00eate pas au moment du vol ; il se prolonge dans le blanchiment, et cette phase est devenue un terrain d’analyse on-chain \u00e0 part enti\u00e8re. Historiquement, la route de sortie passait par Tornado Cash. Le Tr\u00e9sor am\u00e9ricain a d’ailleurs sanctionn\u00e9 le m\u00e9langeur en ao\u00fbt 2022 en citant nomm\u00e9ment<\/a> plus de 7 milliards de dollars blanchis, dont des fonds issus de Ronin, Harmony et Nomad. Les m\u00eames techniques de tra\u00e7age servent \u00e0 d\u00e9tecter d’autres fraudes DeFi, comme le d\u00e9taille notre guide sur la d\u00e9tection d’un rug pull par la forensique on-chain<\/a>.<\/p>

L’histoire r\u00e9glementaire de Tornado Cash offre un enseignement plus large. En novembre 2024, une cour d’appel a jug\u00e9 que l’Office de contr\u00f4le des avoirs \u00e9trangers avait outrepass\u00e9 son autorit\u00e9 en sanctionnant des contrats immuables que personne ne contr\u00f4le une fois d\u00e9ploy\u00e9s ; le Tr\u00e9sor a retir\u00e9 Tornado Cash de sa liste noire en mars 2025, rapporte Forbes<\/a>. La propri\u00e9t\u00e9 m\u00eame qui rend un pont difficile \u00e0 s\u00e9curiser, l’absence d’op\u00e9rateur une fois le code d\u00e9ploy\u00e9, le rend aussi difficile \u00e0 sanctionner apr\u00e8s coup. En 2026, les blanchisseurs se sont d’ailleurs d\u00e9plac\u00e9s vers d’autres rails, notamment NEAR Intents et Zcash, for\u00e7ant les enqu\u00eateurs \u00e0 courir derri\u00e8re une cible mouvante.<\/p>

Ce que dit la r\u00e9gulation : AMF, MiCA, DORA<\/h2>

C\u00f4t\u00e9 fran\u00e7ais et europ\u00e9en, le cadre s’est durci en 2026, mais il touche les prestataires plus que les protocoles. La p\u00e9riode transitoire permettant aux prestataires de services sur actifs num\u00e9riques (PSAN) enregistr\u00e9s d’op\u00e9rer avant l’agr\u00e9ment MiCA complet a pris fin le 1er juillet 2026. Depuis, l’AMF rappelle<\/a> que fournir un service non conforme est une infraction p\u00e9nale, passible de deux ans d’emprisonnement et de 30 000 euros d’amende. Au niveau prudentiel, l’article 75 de MiCA fixe un r\u00e9gime de responsabilit\u00e9 pour les prestataires, et le r\u00e8glement DORA impose des exigences de r\u00e9silience op\u00e9rationnelle sur les syst\u00e8mes informatiques.<\/p>

Le hic, pour les ponts, est que beaucoup d’entre eux n’ont pas de prestataire clairement identifiable \u00e0 agr\u00e9er. Un pont r\u00e9ellement d\u00e9centralis\u00e9, sans op\u00e9rateur qui contr\u00f4le les cl\u00e9s, \u00e9chappe largement \u00e0 la logique d’un r\u00e9gime pens\u00e9 pour des interm\u00e9diaires. Les autorit\u00e9s l’ont compris et concentrent leur action sur ce qu’elles peuvent atteindre : les points de garde centralis\u00e9s, les plateformes d’\u00e9change, et les individus. Sur ce dernier point, la justice a d’ailleurs \u00e9t\u00e9 plus efficace que les sanctions contre des protocoles, avec par exemple l’extradition vers les \u00c9tats-Unis d’un suspect cl\u00e9 du hack de Nomad. Pour suivre l’agenda des \u00e9ch\u00e9ances qui p\u00e8sent sur le secteur, notre compte \u00e0 rebours r\u00e9glementaire<\/a> r\u00e9capitule les dates \u00e0 surveiller.<\/p>

Comment \u00e9valuer un pont avant de l’utiliser<\/h2>

Toute cette analyse se ram\u00e8ne \u00e0 une grille de lecture pratique. Avant de faire transiter des fonds par un pont, qu’on soit un particulier ou un protocole qui int\u00e8gre l’actif envelopp\u00e9 dans ses propres march\u00e9s, quelques questions s\u00e9parent un syst\u00e8me robuste d’un pari.<\/p>