En avril 2025, le protocole de stablecoin Usual a inscrit sur la plateforme Sherlock la plus grosse prime de bug bounty jamais affich\u00e9e dans la tech : un plafond de 16 millions de dollars, pr\u00e8s de 13,8 millions d’euros au cours d’ao\u00fbt 2026. Dix-huit mois plus tard, personne ne l’a encaiss\u00e9. Ce nombre n’est pas une promesse de versement, c’est un signal de prix : il annonce aux meilleurs chercheurs en s\u00e9curit\u00e9 de la plan\u00e8te qu’un rapport s\u00e9rieux sera trait\u00e9 comme tel, sans garantir qu’un seul euro change de main.<\/p>
Au m\u00eame moment, la prime m\u00e9diane r\u00e9ellement vers\u00e9e pour une faille critique sur Immunefi, la plus grande plateforme du secteur, tourne autour de 20 000 dollars, soit un peu plus de 17 000 euros. Entre le plafond en vitrine et la somme qui atterrit sur le compte du chercheur, il y a deux ordres de grandeur. Ce foss\u00e9 n’est pas une anomalie du march\u00e9 des primes ; il en est le m\u00e9canisme central. Et en 2026, un troisi\u00e8me facteur s’y ajoute : un afflux de faux rapports g\u00e9n\u00e9r\u00e9s par IA qui pousse les programmes, crypto comme hors crypto, \u00e0 resserrer les bar\u00e8mes.<\/p>
La prime d’Usual n’est pas seulement la plus \u00e9lev\u00e9e de la crypto, c’est la plus \u00e9lev\u00e9e de toute l’industrie technologique, selon The Block<\/a>. Elle d\u00e9passe les 15,5 millions de dollars (environ 13,4 millions d’euros) affich\u00e9s par Uniswap v4 et les 15 millions (pr\u00e8s de 13 millions d’euros) de LayerZero. Adoss\u00e9e \u00e0 une couverture de Nexus Mutual, elle repose sur un principe simple : r\u00e9compenser un chercheur \u00e0 hauteur d’une fraction du capital qu’il a emp\u00each\u00e9 de partir, dans la limite du plafond.<\/p> Le d\u00e9tail qui donne le vertige n’est pas le montant, c’est le contexte. Le code d’Usual avait d\u00e9j\u00e0 travers\u00e9 une vingtaine d’audits, dont un concours d’audit dot\u00e9 d’environ 209 000 dollars qui n’avait remont\u00e9 aucune faille de gravit\u00e9 moyenne ou sup\u00e9rieure jug\u00e9e valide. Poser une prime de 16 millions sur une base de code audit\u00e9e vingt fois, ce n’est pas admettre qu’elle est truff\u00e9e de bugs : c’est reconna\u00eetre qu’un audit ponctuel, aussi rigoureux soit-il, ne voit jamais tout, et qu’il faut payer pour garder des yeux dessus en permanence.<\/p> Autrement dit, le plafond fonctionne comme une enseigne lumineuse. Il attire l’attention des chercheurs les plus rares, ceux capables de trouver la faille \u00e0 huit chiffres, sans que le protocole s’attende r\u00e9ellement \u00e0 signer un ch\u00e8que de cette taille. Le chiffre en vitrine sert \u00e0 recruter ; il ne pr\u00e9dit pas la d\u00e9pense. C’est un point que perdent de vue la plupart des titres de presse qui saluent un nouveau record de plafond comme s’il s’agissait d’un versement. Cette confusion n’est pas anodine : elle gonfle la perception du budget que la crypto consacre vraiment \u00e0 sa d\u00e9fense, alors que la d\u00e9pense r\u00e9elle, on va le voir, se compte en dizaines de millions par an, pas en centaines.<\/p> Descendons du plafond vers le plancher statistique. D’apr\u00e8s l’analyse d’Immunefi<\/a> portant sur des centaines de programmes actifs depuis 2021, la prime m\u00e9diane pour une faille critique s’\u00e9tablit \u00e0 20 000 dollars, environ 17 300 euros. La moyenne, elle, grimpe \u00e0 114 355 dollars (pr\u00e8s de 99 000 euros). L’\u00e9cart entre m\u00e9diane et moyenne raconte toute l’histoire : une poign\u00e9e de versements g\u00e9ants tire la moyenne vers le haut, tandis que la majorit\u00e9 des critiques se r\u00e8glent \u00e0 quatre ou cinq chiffres.<\/p> Sur l’ensemble de son historique, Immunefi a distribu\u00e9 plus de 107 millions de dollars (environ 92 millions d’euros) rien qu’en primes de gravit\u00e9 critique. Environ un rapport confirm\u00e9 sur cinq est class\u00e9 critique, et plus un programme vit longtemps, plus il finit par livrer au moins une faille critique payante : apr\u00e8s trois ans d’existence, la quasi-totalit\u00e9 des programmes de longue dur\u00e9e ont fini par trouver et payer au moins une critique. La s\u00e9curit\u00e9 n’est jamais termin\u00e9e, elle se loue au mois.<\/p> Le message d’Immunefi \u00e0 ses clients tient en une formule qu’elle r\u00e9p\u00e8te volontiers : la prime m\u00e9diane pour une critique co\u00fbte 20 000 dollars, alors que le hack qu’elle \u00e9vite en co\u00fbte 25 millions et trois mois de votre vie. C’est l\u00e0 le premier enseignement : pour le chercheur ordinaire, le bug bounty n’a rien d’un billet de loterie \u00e0 sept chiffres. C’est un m\u00e9tier de patience, pay\u00e9 le plus souvent au prix d’un bon salaire annuel pour une trouvaille qui a demand\u00e9 des semaines. Encore ce montant r\u00e9compense-t-il bien plus que l’\u00e9clair de g\u00e9nie : il faut \u00e9crire une preuve d’exploitation reproductible, coop\u00e9rer avec l’\u00e9quipe pendant la correction, puis patienter jusqu’\u00e0 la fin de la p\u00e9riode de divulgation avant de toucher quoi que ce soit. Peu de chercheurs en vivent \u00e0 plein temps.<\/p> Pour comprendre pourquoi un plafond atteint 16 millions et une m\u00e9diane 20 000, il faut regarder la m\u00e9canique de tarification. La plupart des grands programmes appliquent deux principes h\u00e9rit\u00e9s du mod\u00e8le d’Immunefi. Le premier, la primaut\u00e9 de l’impact (\u00ab Primacy of Impact \u00bb), consiste \u00e0 classer une faille selon ce qu’elle permettrait vraiment de faire sur le r\u00e9seau principal, pas selon la ligne de code concern\u00e9e ou l’endroit pr\u00e9cis o\u00f9 elle se niche. Le second indexe la r\u00e9compense sur les fonds r\u00e9ellement mis en danger, souvent \u00e0 hauteur de 10 %, dans la limite d’un plafond.<\/p> Ce calcul explique tout. Un plafond de 16 millions suppose de prot\u00e9ger, au taux de 10 %, un capital de l’ordre de 160 millions ou davantage. Le plafond n’est donc pas une mesure de g\u00e9n\u00e9rosit\u00e9 : c’est une fonction de la taille du tr\u00e9sor \u00e0 d\u00e9fendre. Un protocole qui garde des milliards en jeu peut afficher un plafond \u00e0 huit chiffres tout en ne versant, en pratique, que des primes moyennes, parce que la plupart des rapports d\u00e9crivent des impacts partiels (une fonction gel\u00e9e, un vol born\u00e9 \u00e0 un pool), pas la prise de contr\u00f4le totale du coffre.<\/p> Les bar\u00e8mes cascadent ensuite par gravit\u00e9, du critique au faible, chaque cran valant une fraction du pr\u00e9c\u00e9dent. Une faille critique, celle qui vide un coffre ou frappe des jetons \u00e0 l’infini, vaut le plafond ; une faille de gravit\u00e9 \u00e9lev\u00e9e, qui g\u00e8le des fonds ou casse une fonction sans permettre de les voler, en vaut une portion ; les rapports de niveau moyen ou faible se r\u00e8glent en centaines ou en quelques milliers d’euros. Cette pyramide explique pourquoi la m\u00e9diane vit si loin sous le sommet : les impacts totaux sont rares, les impacts partiels sont le quotidien. Cette logique \u00e9claire aussi la diff\u00e9rence entre un audit et une prime. L’audit est une photographie : un cabinet examine le code \u00e0 un instant donn\u00e9, contre un forfait. La prime est un flux continu, ouvert \u00e0 des dizaines de milliers de regards. \u00ab Les audits ponctuels sont indispensables, mais ils n’ont jamais \u00e9t\u00e9 con\u00e7us pour porter \u00e0 eux seuls tout le poids de la s\u00e9curit\u00e9 \u00bb, r\u00e9sume Jack Sanford, cofondateur de Sherlock, dans Crypto Briefing<\/a>. Le plafond de la prime est le prix que le protocole met sur ce qui \u00e9chappe \u00e0 la photo.<\/p> Existe-t-il un cas o\u00f9 le plafond et la facture se rejoignent ? Oui, un seul de cette ampleur. Le 24 f\u00e9vrier 2022, un chercheur connu sous le pseudonyme satya0x a signal\u00e9, via Immunefi, une faille dans la machinerie de mise \u00e0 jour des contrats du pont Wormhole. Exploit\u00e9e, elle aurait pu donner \u00e0 un attaquant le contr\u00f4le des contrats du pont. La r\u00e9compense : 10 millions de dollars (environ 8,6 millions d’euros), le plus gros versement unique jamais r\u00e9alis\u00e9 dans la crypto, rapport\u00e9 \u00e0 l’\u00e9poque par The Block<\/a>.<\/p> Le contexte rend le geste plus lourd de sens. Trois semaines plus t\u00f4t, le 2 f\u00e9vrier 2022, Wormhole avait subi l’un des plus gros vols de l’histoire des ponts : une faille de v\u00e9rification de signature avait permis de frapper 120 000 wETH, un trou d’environ 323 millions de dollars combl\u00e9 par Jump Crypto. La prime vers\u00e9e \u00e0 satya0x ne r\u00e9parait pas ce vol ; elle r\u00e9compensait une faille distincte, trouv\u00e9e et divulgu\u00e9e de fa\u00e7on responsable, sans qu’un centime ne soit perdu. Immunefi y voyait un message clair : les meilleurs whitehats de la plan\u00e8te seraient bien trait\u00e9s s’ils choisissaient la divulgation plut\u00f4t que l’exploitation.<\/p> Ce versement reste une exception par son ampleur, et il \u00e9claire une r\u00e8gle plus large. Les ponts inter-cha\u00eenes concentrent une part d\u00e9mesur\u00e9e des pertes de la crypto, et la logique du bug bounty y est la m\u00eame qu’ailleurs : payer pour qu’un d\u00e9faut soit signal\u00e9 plut\u00f4t qu’exploit\u00e9, une bascule que nous avons d\u00e9taill\u00e9e dans notre analyse de la s\u00e9curit\u00e9 des ponts cross-chain<\/a>. Wormhole est le cas rare o\u00f9 le plafond et la facture co\u00efncident : une prime quasi record, honor\u00e9e int\u00e9gralement, parce que l’impact \u00e9vit\u00e9 \u00e9tait lui aussi quasi total. Partout ailleurs, l’\u00e9cart entre le chiffre affich\u00e9 et la somme vers\u00e9e est la r\u00e8gle, pas l’exception, et c’est le sujet du reste de cet article.<\/p> Le contre-exemple est tout aussi c\u00e9l\u00e8bre, et c’est lui qui a fait entrer le d\u00e9bat du plafond affich\u00e9 contre la prime vers\u00e9e dans le folklore des chercheurs. Le 19 septembre 2022, un whitehat op\u00e9rant sous le nom de Riptide a d\u00e9couvert dans Arbitrum Nitro une faille du s\u00e9quenceur d’entr\u00e9e qui lui aurait permis de d\u00e9tourner tout l’ETH entrant vers le pont reliant la couche 1 \u00e0 la couche 2. Le capital expos\u00e9 : environ 470 millions de dollars. Le plafond annonc\u00e9 du programme : 2 millions de dollars.<\/p> La prime effectivement vers\u00e9e : 400 ETH, soit environ 540 000 dollars \u00e0 l’\u00e9poque, l’euro et le dollar \u00e9voluant alors autour de la parit\u00e9. Riptide n’a pas cach\u00e9 sa col\u00e8re, et sa formule est depuis cit\u00e9e comme un avertissement au secteur : \u00ab Si vous affichez une prime de 2 millions, soyez pr\u00eats \u00e0 la payer quand elle est justifi\u00e9e. Sinon, dites simplement que la prime maximale est de 400 ETH et n’en parlons plus \u00bb, a-t-il \u00e9crit, rapport\u00e9 par CryptoPotato<\/a>.<\/p> Son argument d\u00e9passe le cas d’esp\u00e8ce. Les chercheurs, rappelait-il, observent quels projets paient et lesquels rechignent ; sous-payer une trouvaille critique, c’est risquer d’inciter un whitehat \u00e0 passer de l’autre c\u00f4t\u00e9. Quand la prime honn\u00eate vaut 540 000 dollars et que le butin d’un vol atteint 470 millions, l’\u00e9cart de tentation devient vertigineux. C’est pr\u00e9cis\u00e9ment ce facteur humain qui d\u00e9cide, in fine, qu’une faille finit en rapport ou en exploit, un ressort que nous avons explor\u00e9 dans notre enqu\u00eate sur le vol de cl\u00e9s priv\u00e9es<\/a>. L’affaire Arbitrum a d’ailleurs durablement chang\u00e9 les attentes : depuis, les meilleurs chercheurs lisent les conditions d’un programme comme un contrat, en rep\u00e9rant les clauses qui permettraient \u00e0 un protocole de requalifier un impact critique en simple gravit\u00e9 \u00e9lev\u00e9e pour r\u00e9duire l’addition.<\/p> Combien vaut, en vitrine, la s\u00e9curit\u00e9 des grands protocoles en 2026 ? Le march\u00e9 du bug bounty crypto affiche d\u00e9sormais plus de 162 millions de dollars (environ 140 millions d’euros) de r\u00e9compenses potentielles cumul\u00e9es, r\u00e9parties sur des centaines de programmes actifs, selon le d\u00e9compte de Sherlock<\/a>. Voici les plafonds les plus \u00e9lev\u00e9s, convertis au cours d’ao\u00fbt 2026.<\/p>La facture r\u00e9elle : 17 000 euros de m\u00e9diane pour une faille critique<\/h2>
Comment se fixe un plafond : primaut\u00e9 de l’impact et 10 % du capital expos\u00e9<\/h2>
Wormhole : le seul record que le paiement a suivi<\/h2>
Arbitrum contre Riptide : quand un plafond de 2 millions devient 400 ETH<\/h2>
Le classement 2026 des plafonds<\/h2>