{"id":743,"date":"2026-10-07T22:35:32","date_gmt":"2026-10-07T22:35:32","guid":{"rendered":"https:\/\/hoge.gg\/fr\/surveillance-temps-reel-detecter-empecher-hack-2026\/"},"modified":"2026-10-07T22:35:32","modified_gmt":"2026-10-07T22:35:32","slug":"surveillance-temps-reel-detecter-empecher-hack-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/surveillance-temps-reel-detecter-empecher-hack-2026\/","title":{"rendered":"D\u00e9tecter n’est pas emp\u00eacher : la surveillance crypto en revue"},"content":{"rendered":"

Le troisi\u00e8me trimestre 2026 a r\u00e9gl\u00e9 un vieux d\u00e9bat. Pendant des ann\u00e9es, la question de s\u00e9curit\u00e9 crypto se r\u00e9sumait \u00e0 une ligne sur une plaquette de lev\u00e9e de fonds : audit\u00e9 par X<\/em>. Puis sont arriv\u00e9s trois mois qui ont vid\u00e9 cette promesse de son sens. Selon le rapport Hack3d du troisi\u00e8me trimestre publi\u00e9 par CertiK, les pertes li\u00e9es aux incidents de s\u00e9curit\u00e9 ont atteint environ 1,13 milliard d’euros (1,26 milliard de dollars) sur 247 incidents, en hausse de 53,9 % sur le trimestre, et septembre a \u00e9t\u00e9 le pire mois de l’ann\u00e9e avec 99 incidents et plus de 686 millions d’euros d\u00e9rob\u00e9s (Cointelegraph, rapport CertiK T3 2026<\/a>). Le cumul depuis janvier d\u00e9passe d\u00e9sormais 2,39 milliards d’euros (2,68 milliards de dollars).<\/p>

Le d\u00e9tail compte plus que le total. Les deux plus gros sinistres du trimestre, le vol de 346 millions d’euros environ chez l’exchange Bitget et l’exploitation de 285 millions d’euros sur le Liquid Network de Blockstream, n’avaient rien d’un bug de smart contract. Aucun cabinet d’audit de code, aussi rigoureux soit-il, n’aurait pu les voir venir, parce que la faille n’\u00e9tait pas dans le code. Ce constat a d\u00e9plac\u00e9 l’argent et l’innovation de la s\u00e9curit\u00e9 crypto : la partie qui l\u00e8ve le plus de fonds et grandit le plus vite n’est plus l’audit ponctuel, c’est la surveillance en temps r\u00e9el. Cet article passe cette couche en revue : qui sont les acteurs, ce qu’ils promettent, comment ils travaillent, et pourquoi, en 2026, d\u00e9tecter un hack reste tr\u00e8s loin de l’emp\u00eacher.<\/p>

Le trimestre qui a tout dit<\/h2>

Commen\u00e7ons par les faits. Le hack de Bitget, annonc\u00e9 les 24 et 25 septembre, a vu partir environ 346 millions d’euros (387,5 millions de dollars) des portefeuilles chauds et ti\u00e8des de la plateforme, r\u00e9partis sur sept r\u00e9seaux. La directrice g\u00e9n\u00e9rale Gracy Chen a \u00e9cart\u00e9 le vol de cl\u00e9 priv\u00e9e : les fonds sont sortis via des transferts internes non autoris\u00e9s, c’est-\u00e0-dire une compromission de l’infrastructure op\u00e9rationnelle, pas une ligne de Solidity mal \u00e9crite (PYMNTS<\/a>). En trois heures, l’argent avait quitt\u00e9 Bitget en 23 transferts vers quatre cha\u00eenes, et le 1er octobre Chainalysis attribuait le vol \u00e0 la Cor\u00e9e du Nord, portant au-del\u00e0 du milliard de dollars le butin des groupes li\u00e9s \u00e0 Pyongyang en 2026 (Chainalysis via Cryptorank<\/a>).<\/p>

Le deuxi\u00e8me choc du trimestre a frapp\u00e9 le 6 septembre le Liquid Network, la sidechain Bitcoin op\u00e9r\u00e9e par Blockstream. L’attaquant a exploit\u00e9 un d\u00e9faut du logiciel des validateurs pour fabriquer des jetons de bitcoin synth\u00e9tique non adoss\u00e9s, puis les a convertis en vrais BTC, pour environ 285 millions d’euros (319 millions de dollars). Particularit\u00e9 rare : apr\u00e8s des \u00e9changes on-chain avec l’\u00e9quipe, l’attaquant a restitu\u00e9 3 400 BTC le lendemain, soit plus de 85 % du butin (TRM Labs<\/a>). Derri\u00e8re ces deux dossiers, le trimestre aligne des vecteurs tout aussi hostiles au code audit\u00e9 : la manipulation d’oracle de Tectonic (environ 120 millions de dollars d’impact selon CertiK), le vol de 112,7 millions de dollars li\u00e9 \u00e0 des portefeuilles Coldcard, et une longue s\u00e9rie de compromissions de cl\u00e9s et d’ing\u00e9nierie sociale. Septembre, \u00e0 lui seul, a cumul\u00e9 pr\u00e8s de 769 millions de dollars de pertes, dont environ 273 millions gel\u00e9s ou rendus, laissant une perte nette de 495,3 millions (crypto.news<\/a>).<\/p>

Pourquoi un audit ne pouvait rien voir<\/h2>

Un audit de smart contract est une photographie. Un cabinet lit une version fig\u00e9e du code pendant deux \u00e0 six semaines, cherche les classes de bugs connues, rend un rapport, puis s’en va. Ce travail reste n\u00e9cessaire : il \u00e9limine les erreurs d’arithm\u00e9tique, les failles de contr\u00f4le d’acc\u00e8s, les r\u00e9entrances. Mais il couvre le vecteur le plus fr\u00e9quent<\/em>, pas le plus co\u00fbteux<\/em>. Le cabinet de recherche Ack3 a calcul\u00e9 que, sur le premier semestre 2026, 94,4 % des montants vol\u00e9s \u00e0 des projets pourtant audit\u00e9s sont sortis par du code ou de l’infrastructure que les auditeurs n’avaient jamais examin\u00e9s (Ack3<\/a>). Cl\u00e9s, gouvernance multisig, n\u0153uds RPC, configuration des int\u00e9grations tierces, logiciel des validateurs, portefeuilles d’exchange : tout cela vit hors du p\u00e9rim\u00e8tre<\/em> de l’audit, et c’est pr\u00e9cis\u00e9ment l\u00e0 que l’argent part en 2026.<\/p>

Ronghui Gu, cofondateur de CertiK, le formule sans d\u00e9tour : les attaquants, dit-il, obtiennent un meilleur rendement en visant la gestion des cl\u00e9s, la gouvernance multisig et l’infrastructure op\u00e9rationnelle qu’en chassant des bugs dans le code, et surtout, selon lui, la fen\u00eatre de danger ne se referme pas apr\u00e8s le lancement<\/em> : un projet est audit\u00e9 une fois, passe, puis ne revient jamais sur ce code pendant que le reste de sa pile \u00e9volue autour (Forbes<\/a>). Si la fen\u00eatre reste ouverte en permanence, un contr\u00f4le ponctuel ne suffit plus. Il faut quelqu’un, ou quelque chose, qui regarde en continu. C’est la promesse de la deuxi\u00e8me ligne de d\u00e9fense.<\/p>

La surveillance en temps r\u00e9el, deuxi\u00e8me ligne<\/h2>

La surveillance en temps r\u00e9el (on parle aussi de runtime monitoring<\/em> ou de d\u00e9tection on-chain) part d’une id\u00e9e simple : si l’attaque se produit apr\u00e8s l’audit, il faut la rep\u00e9rer pendant qu’elle se pr\u00e9pare ou se d\u00e9roule. Concr\u00e8tement, ces plateformes ing\u00e8rent en continu les donn\u00e9es d’une ou plusieurs cha\u00eenes, souvent compl\u00e9t\u00e9es par des signaux hors cha\u00eene (mempool, r\u00e9seaux sociaux, d\u00e9p\u00f4ts de code, mouvements de portefeuilles connus), et font tourner des mod\u00e8les d’apprentissage automatique qui cherchent des sch\u00e9mas anormaux : un contrat qui re\u00e7oit un flash loan g\u00e9ant, une adresse fra\u00eechement financ\u00e9e par un mixeur qui interagit avec un pont, un param\u00e8tre de gouvernance qui bascule, un oracle qui d\u00e9croche d’un march\u00e9 \u00e9pais. Quand un motif correspond \u00e0 une attaque probable, le syst\u00e8me l\u00e8ve une alerte en quelques secondes, id\u00e9alement avant la transaction qui vide le coffre.<\/p>

La diff\u00e9rence avec les cabinets de forensique on-chain (Chainalysis, TRM Labs, Elliptic) est une question de calendrier. La forensique travaille apr\u00e8s<\/em> : elle trace l’argent vol\u00e9, l’attribue, aide \u00e0 geler ce qui peut l’\u00eatre. La surveillance travaille avant<\/em> ou pendant<\/em> : elle veut donner \u00e0 un protocole ou \u00e0 un exchange les quelques minutes qui s\u00e9parent la d\u00e9tection de la perte. C’est un march\u00e9 distinct de celui de l’audit, avec ses propres acteurs, ses propres lev\u00e9es de fonds et, on le verra, ses propres angles morts. Quatre noms dominent la conversation en 2026, chacun avec un mod\u00e8le diff\u00e9rent.<\/p>

Hypernative : la d\u00e9tection institutionnelle<\/h2>

Hypernative, soci\u00e9t\u00e9 isra\u00e9lienne lanc\u00e9e en septembre 2022, est devenue la r\u00e9f\u00e9rence du cr\u00e9neau pour les grands protocoles et les institutions. Elle a lev\u00e9 environ 65 millions de dollars en trois tours, dont une s\u00e9rie B de 40 millions codirig\u00e9e par Ten Eleven Ventures et Ballistic Ventures, apr\u00e8s une s\u00e9rie A de 16 millions rapport\u00e9e par The Block<\/a>. Sa plateforme surveille \u00e0 la fois des donn\u00e9es on-chain et off-chain sur plus de 60 cha\u00eenes, dit identifier plus de 200 types de risques (exploits de contrats, failles de ponts, manipulations de march\u00e9) et revendique plus de 200 clients, parmi lesquels Uniswap, Circle, Chainlink, Consensys, Galaxy et, ironie du secteur, Chainalysis.<\/p>

Les chiffres mis en avant sont spectaculaires et doivent \u00eatre lus comme des revendications commerciales, pas comme des faits audit\u00e9s : Hypernative affirme avoir contribu\u00e9 \u00e0 pr\u00e9server plus de 3 milliards de dollars de fonds clients, et dit d\u00e9tecter 98 % des exploits environ deux minutes avant la premi\u00e8re transaction malveillante (mpost<\/a>). Deux minutes, c’est \u00e0 la fois \u00e9norme et d\u00e9risoire, et toute la tension de ce march\u00e9 tient dans cet \u00e9cart, sur lequel nous reviendrons. Pour un tr\u00e9sor DeFi de plusieurs milliards, pour un pont cross-chain ou pour l’\u00e9metteur d’un stablecoin, c’est le genre d’avance qui justifie un abonnement \u00e0 cinq ou six chiffres par an.<\/p>

Hexagate : Chainalysis passe \u00e0 la pr\u00e9vention<\/h2>

Le signal le plus clair de la mont\u00e9e en puissance de ce march\u00e9 date du 19 d\u00e9cembre 2024 : Chainalysis, le g\u00e9ant de la forensique, a rachet\u00e9 Hexagate, une jeune soci\u00e9t\u00e9 isra\u00e9lienne de d\u00e9tection de menaces Web3 fond\u00e9e en 2022 (Cointelegraph<\/a>). Le directeur g\u00e9n\u00e9ral de Chainalysis, Jonathan Levin, a expliqu\u00e9 que son entreprise devait aller au-del\u00e0 de l’enqu\u00eate pour investir dans la pr\u00e9vention : tracer l’argent vol\u00e9 ne console pas la victime, l’arr\u00eater avant le vol oui. C’est le m\u00eame glissement que celui d\u00e9crit dans notre revue des hacks de ponts cross-chain, o\u00f9 les cl\u00e9s c\u00e8dent avant le code<\/a> : quand la faille n’est plus dans le contrat, la d\u00e9fense remonte vers l’infrastructure et le temps r\u00e9el.<\/p>

Hexagate, d\u00e9sormais d\u00e9ploy\u00e9e sur Avalanche, Stacks et d’autres r\u00e9seaux, utilise des mod\u00e8les d’apprentissage automatique pour rep\u00e9rer en temps r\u00e9el des transactions suspectes et revendique avoir \u00e9vit\u00e9 plus d’un milliard de dollars de pertes \u00e0 ses clients, dont Coinbase et Consensys, avec, selon l’entreprise, la quasi-totalit\u00e9 des hacks connus d\u00e9tect\u00e9s et plus de 98 % rep\u00e9r\u00e9s avant leur ex\u00e9cution (Chainalysis<\/a>). Le rachat a une port\u00e9e symbolique : l’acteur dont le m\u00e9tier historique \u00e9tait de suivre l’argent apr\u00e8s<\/em> le hack a pay\u00e9 pour apprendre \u00e0 le voir avant<\/em>. La pr\u00e9vention est officiellement devenue un produit.<\/p>

Blockaid : filtrer avant la signature<\/h2>

Hypernative et Hexagate surveillent surtout le protocole et l’infrastructure. Blockaid, autre soci\u00e9t\u00e9 isra\u00e9lienne fond\u00e9e par d’anciens de l’arm\u00e9e et lanc\u00e9e en octobre 2023, attaque le probl\u00e8me par l’autre bout : l’utilisateur et sa signature. Sa technologie simule et valide chaque transaction en temps r\u00e9el, avant qu’elle ne parte, pour montrer au signataire ce qui va r\u00e9ellement changer dans son portefeuille, et bloquer les connexions \u00e0 des applications malveillantes. C’est la brique de s\u00e9curit\u00e9 embarqu\u00e9e dans des portefeuilles grand public comme MetaMask et dans des plateformes comme Coinbase, Stellar, Uniswap ou World App.<\/p>

Blockaid a boucl\u00e9 une s\u00e9rie B de 50 millions de dollars en f\u00e9vrier 2025, men\u00e9e par Ribbit Capital avec GV, Variant et Cyberstarts (The Block<\/a>). L’entreprise dit avoir bloqu\u00e9 plus de 71 millions d’attaques, identifi\u00e9 plus de 15 millions d’applications d\u00e9centralis\u00e9es malveillantes et, depuis son lancement, s\u00e9curis\u00e9 plus de 101 milliards de dollars d’actifs en \u00e9vitant plus de 5,3 milliards de pertes potentielles. Ce filtrage pr\u00e9-signature est la derni\u00e8re barri\u00e8re contre des arnaques qui ne rel\u00e8vent d’aucun audit de contrat : le drainer cach\u00e9 derri\u00e8re un bouton, l’approbation pi\u00e9g\u00e9e, ou l’empoisonnement d’adresse qui transforme un copier-coller en virement au voleur<\/a>. L\u00e0 encore, la faille n’est pas dans le code du protocole, elle est dans ce que l’humain s’appr\u00eate \u00e0 signer.<\/p>

Forta : la surveillance d\u00e9centralis\u00e9e<\/h2>

Face \u00e0 ces plateformes propri\u00e9taires, Forta propose un mod\u00e8le ouvert et d\u00e9centralis\u00e9, articul\u00e9 autour du jeton FORT. Le r\u00e9seau repose sur deux briques : des bots de d\u00e9tection<\/em>, scripts qui analysent les donn\u00e9es de la cha\u00eene pour rep\u00e9rer une condition de menace pr\u00e9cise, et des n\u0153uds de scan<\/em> qui ex\u00e9cutent ces bots sur chaque transaction et chaque nouveau bloc (ethereum.org<\/a>). Des centaines d’agents, dop\u00e9s \u00e0 l’apprentissage automatique, surveillent ainsi Ethereum, Polygon ou BNB Chain en continu. Point d\u00e9cisif pour la suite : un bot Forta peut \u00eatre branch\u00e9 directement sur la fonction de pause d’un protocole, transformant une alerte en action automatique.<\/p>

Cette architecture ouverte explique pourquoi Forta s’est int\u00e9gr\u00e9e aux efforts communautaires de s\u00e9curit\u00e9, notamment dans le sillage de l’initiative Trillion Dollar Security<\/em> de l’Ethereum Foundation, o\u00f9 le r\u00e9seau est cit\u00e9 comme brique de surveillance en temps r\u00e9el (The Defiant<\/a>). Le mod\u00e8le d\u00e9centralis\u00e9 a une vertu : n’importe quelle \u00e9quipe peut \u00e9crire un bot pour sa propre logique m\u00e9tier. Il a aussi une limite : un r\u00e9seau ouvert ne vend pas de garantie contractuelle, et la qualit\u00e9 des bots d\u00e9pend de leurs auteurs.<\/p>

Skynet, Monitor et le reste de la carte<\/h2>

Autour de ces quatre acteurs gravite le reste du march\u00e9. CertiK, le cabinet d’audit le plus visible, a int\u00e9gr\u00e9 la surveillance \u00e0 son offre avec Skynet, un tableau de bord de notation continue qui suit, d’apr\u00e8s l’entreprise, pr\u00e8s de 500 milliards de dollars de capitalisation de projets audit\u00e9s (CertiK<\/a>). OpenZeppelin, d\u00e9sormais filiale de S&P Global, a de son c\u00f4t\u00e9 arr\u00eat\u00e9 sa plateforme Defender au 1er juillet 2026 pour la remplacer par des briques open-source, dont un composant Monitor, en justifiant ce virage par la libert\u00e9 laiss\u00e9e aux \u00e9quipes de b\u00e2tir leur propre infrastructure (OpenZeppelin<\/a>). S’y ajoutent les surveillants du risque \u00e9conomique<\/em>, comme Chaos Labs et Gauntlet, qui ne cherchent pas un exploit de code mais une d\u00e9rive de param\u00e8tres (collat\u00e9ral, liquidit\u00e9, d\u00e9crochage de peg) capable de rendre un protocole insolvable sans la moindre ligne de code pirat\u00e9e, exactement le type de risque qui p\u00e8se sur un \u00e9metteur comme Ethena et son dollar synth\u00e9tique adoss\u00e9 \u00e0 un basis trade<\/a>.<\/p>

Le tableau ci-dessous r\u00e9sume la carte. Les bilans sont des chiffres revendiqu\u00e9s par les soci\u00e9t\u00e9s elles-m\u00eames : ils mesurent l’ambition du secteur, pas une v\u00e9rit\u00e9 ind\u00e9pendante.<\/p>

Plateforme<\/th>Approche<\/th>Mod\u00e8le<\/th>Clients cit\u00e9s<\/th>Bilan revendiqu\u00e9<\/th><\/tr><\/thead>
Hypernative<\/td>D\u00e9tection on\/off-chain, pr\u00e9-alerte<\/td>Propri\u00e9taire, abonnement<\/td>Uniswap, Circle, Chainlink, Galaxy<\/td>+3 Md$ pr\u00e9serv\u00e9s, ~2 min d’avance<\/td><\/tr>
Hexagate (Chainalysis)<\/td>D\u00e9tection et mitigation temps r\u00e9el<\/td>Propri\u00e9taire (rachet\u00e9 12\/2024)<\/td>Coinbase, Consensys<\/td>+1 Md$ de pertes \u00e9vit\u00e9es<\/td><\/tr>
Blockaid<\/td>Simulation de transaction (pr\u00e9-signature)<\/td>Propri\u00e9taire<\/td>MetaMask, Coinbase, Stellar<\/td>71 M attaques bloqu\u00e9es, 5,3 Md$ \u00e9vit\u00e9s<\/td><\/tr>
Forta<\/td>R\u00e9seau d\u00e9centralis\u00e9 de bots<\/td>Ouvert, jeton FORT<\/td>Ethereum, Polygon, BNB, EF<\/td>R\u00e9seau public, pas de garantie<\/td><\/tr>
CertiK Skynet<\/td>Notation et surveillance continue<\/td>Propri\u00e9taire<\/td>~500 Md$ de capitalisation suivie<\/td>Skynet Score<\/td><\/tr>
OpenZeppelin Monitor<\/td>Surveillance open-source<\/td>Ouvert (apr\u00e8s Defender)<\/td>\u00c9cosyst\u00e8me OpenZeppelin<\/td>Briques \u00e0 assembler soi-m\u00eame<\/td><\/tr><\/tbody><\/table><\/figure>

D\u00e9tecter n’est pas emp\u00eacher<\/h2>

Voici le point que les plaquettes commerciales effleurent : une alerte n’est pas un arr\u00eat. D\u00e9tecter une attaque deux minutes avant la transaction fatale ne vaut que si quelqu’un, ou un automatisme, peut agir dans ces deux minutes. Or la fen\u00eatre d’action r\u00e9elle en 2026 est brutale. Le casse de Drift, reconstitu\u00e9 image par image, a vid\u00e9 environ 285 millions de dollars en douze minutes (Chainalysis<\/a>), un rythme que notre r\u00e9cit d\u00e9taill\u00e9 du mode op\u00e9ratoire et de la parade qui recentralise<\/a> illustre bien. Chez Bitget, l’argent a quitt\u00e9 la plateforme en trois heures et 23 transferts. Chez Tectonic, la manipulation d’oracle a fait son \u0153uvre en une vingtaine de minutes. \u00c0 cette vitesse, un humain qui lit une alerte, convoque un appel d’urgence et pr\u00e9pare une transaction de pause a d\u00e9j\u00e0 perdu.<\/p>

David Schwed, directeur des op\u00e9rations de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 SVRN, r\u00e9sume la logique pour l’outillage automatis\u00e9 : si la personne qui fait tourner l’outil ne peut pas \u00e9valuer ce qu’il renvoie, elle n’a pas achet\u00e9 de la s\u00e9curit\u00e9, elle a achet\u00e9 un faux sentiment de s\u00e9curit\u00e9 (CoinDesk<\/a>). Transpos\u00e9 \u00e0 la surveillance : un abonnement \u00e0 une plateforme de d\u00e9tection sans \u00e9quipe d’astreinte capable d’agir, ni plan de r\u00e9ponse test\u00e9, ni m\u00e9canisme d’arr\u00eat automatique, ne produit pas une d\u00e9fense, il produit une notification plus rapide du d\u00e9sastre. Le tableau suivant met la promesse des deux minutes \u00e0 l’\u00e9preuve des faits du trimestre.<\/p>

Incident<\/th>Date<\/th>Montant<\/th>Vecteur<\/th>Vitesse de drainage<\/th>R\u00e9cup\u00e9r\u00e9<\/th><\/tr><\/thead>
Bitget<\/td>24-25 sept. 2026<\/td>~346 M\u20ac (387,5 M$)<\/td>Portefeuilles chauds d’exchange, DPRK<\/td>~3 h, 23 transferts<\/td>Retraits rouverts, fonds non r\u00e9cup\u00e9r\u00e9s<\/td><\/tr>
Liquid Network<\/td>6 sept. 2026<\/td>~285 M\u20ac (319 M$)<\/td>Logiciel des validateurs (sidechain)<\/td>Quelques heures<\/td>~85 % rendus (n\u00e9gociation)<\/td><\/tr>
Drift<\/td>1er avr. 2026<\/td>~255 M\u20ac (285 M$)<\/td>Pr\u00e9-signature, ing\u00e9nierie sociale<\/td>~12 minutes<\/td>Non<\/td><\/tr>
Tectonic<\/td>30 ao\u00fbt 2026<\/td>~107 M\u20ac (120 M$ d’impact)<\/td>Manipulation d’oracle<\/td>~20 minutes<\/td>Gel et rollback de cha\u00eene<\/td><\/tr>
Coldcard<\/td>sept. 2026<\/td>~101 M\u20ac (112,7 M$)<\/td>Vol de cl\u00e9s, mat\u00e9riel<\/td>Imm\u00e9diat<\/td>Non<\/td><\/tr><\/tbody><\/table><\/figure>

Le coupe-circuit et le dilemme de la recentralisation<\/h2>

La r\u00e9ponse technique \u00e0 l’\u00e9troitesse de la fen\u00eatre, c’est le coupe-circuit : une fonction de pause qui peut geler un contrat en une seule transaction, d\u00e9clench\u00e9e automatiquement par un bot de surveillance plut\u00f4t que par un humain. Forta met en avant cette int\u00e9gration, et des propositions de standard circulent pour normaliser ce sch\u00e9ma de circuit breaker<\/em>. Sur le papier, c’est l’aboutissement logique de la d\u00e9tection : transformer les deux minutes d’avance en un gel instantan\u00e9 avant que le coffre ne se vide.<\/p>

En pratique, le coupe-circuit rouvre un proc\u00e8s que la DeFi croyait clos. Qui d\u00e9tient la cl\u00e9 de pause ? Un multisig d’\u00e9quipe, un garde unique, un bot autonome ? Chacune de ces r\u00e9ponses r\u00e9introduit exactement le point de contr\u00f4le centralis\u00e9 que la d\u00e9centralisation pr\u00e9tend supprimer, et cr\u00e9e une nouvelle surface d’attaque : capturer la fonction de pause, c’est pouvoir figer un protocole sain, ou pire, le pauser pour emp\u00eacher les retraits pendant qu’on l’attaque par ailleurs. C’est la tension que notre analyse des attaques de gouvernance et de la parade qui recentralise<\/a> d\u00e9crit dans un autre registre : chaque m\u00e9canisme de d\u00e9fense d’urgence est aussi un levier de pouvoir, et un levier de pouvoir finit toujours par \u00eatre convoit\u00e9. Un faux positif a lui aussi un co\u00fbt : pauser \u00e0 tort un protocole de pr\u00eat en pleine volatilit\u00e9 peut d\u00e9clencher les liquidations qu’on voulait \u00e9viter.<\/p>

SEAL 911 et le Safe Harbor : les pompiers du direct<\/h2>

Entre la d\u00e9tection automatique et le coupe-circuit, il existe une couche humaine, b\u00e9n\u00e9vole et \u00e9tonnamment efficace : la Security Alliance (SEAL), lanc\u00e9e le 14 f\u00e9vrier. Son service SEAL 911 est un canal d’urgence sur Telegram o\u00f9 une quarantaine de hackers white hat peuvent recevoir le signalement d’un hack en cours et aider en temps r\u00e9el : pr\u00e9venir l’\u00e9quipe, coordonner une pause de contrat quand elle est possible, suivre les fonds. Le prototype remonte \u00e0 2022, et le premier sauvetage document\u00e9 date de septembre 2023, quand des white hats affili\u00e9s ont stopp\u00e9 un voleur en plein exploit et pr\u00e9serv\u00e9 environ 200 000 dollars (Cointelegraph Magazine<\/a>).<\/p>

SEAL a aussi tent\u00e9 de r\u00e9gler le probl\u00e8me juridique qui paralyse souvent l’intervention : un white hat qui d\u00e9place les fonds d’autrui pendant une attaque agit dans une zone grise. L’accord Whitehat Safe Harbor<\/em> est un contrat on-chain qu’un protocole adopte \u00e0 l’avance pour pr\u00e9autoriser ces interventions d’urgence, avec restitution des fonds sous 72 heures et une prime plafonn\u00e9e \u00e0 10 % des montants r\u00e9cup\u00e9r\u00e9s, dans la limite d’un million de dollars (Security Alliance<\/a>). C’est l’aveu, par l’industrie elle-m\u00eame, que la surveillance ne vaut que si elle d\u00e9bouche sur un droit d’agir, n\u00e9goci\u00e9 avant la crise et non pendant. L’outil d\u00e9tecte, l’humain intervient, mais seulement si le cadre a \u00e9t\u00e9 pos\u00e9 \u00e0 froid.<\/p>

DORA : la seule r\u00e8gle qui impose la surveillance<\/h2>

Aucun r\u00e9gulateur n’accr\u00e9dite les cabinets d’audit de smart contracts, et ni MiCA ni le droit fran\u00e7ais n’imposent de faire auditer le code d’un protocole. La surveillance, elle, a trouv\u00e9 un ancrage r\u00e9glementaire inattendu : le r\u00e8glement europ\u00e9en DORA sur la r\u00e9silience op\u00e9rationnelle num\u00e9rique, pleinement applicable depuis le 17 janvier 2025. DORA impose aux entit\u00e9s couvertes de surveiller, d\u00e9tecter et classer les incidents li\u00e9s aux technologies de l’information, puis de les d\u00e9clarer selon une cascade stricte : une notification initiale dans les quatre heures suivant la qualification d’un incident majeur et au plus tard 24 heures apr\u00e8s sa d\u00e9tection, une notification interm\u00e9diaire sous 72 heures, un rapport final sous un mois (Debevoise Data Blog<\/a>).<\/p>

Les prestataires de services sur crypto-actifs agr\u00e9\u00e9s sous MiCA, c’est-\u00e0-dire les exchanges, les conservateurs et les gestionnaires, entrent explicitement dans le p\u00e9rim\u00e8tre de DORA. En clair, une plateforme comme Bitget, si elle op\u00e9rait sous licence europ\u00e9enne, devrait d\u00e9j\u00e0 disposer d’une capacit\u00e9 de d\u00e9tection et de r\u00e9ponse, et d\u00e9clarer son incident en quelques heures : exactement la discipline que la surveillance en temps r\u00e9el outille. En France, c’est l’AMF qui supervise les CASP et rappelle que la p\u00e9riode transitoire des anciens PSAN s’est achev\u00e9e le 1er juillet 2026 (AMF<\/a>). La limite est nette : DORA contraint le prestataire centralis\u00e9, l’entit\u00e9 identifiable derri\u00e8re une marque. Il ne touche pas le protocole DeFi pleinement d\u00e9centralis\u00e9, qui reste hors champ. Pour ce dernier, la surveillance n’est pas une obligation, c’est un choix, et l’absence de surveillance n’expose \u00e0 aucune sanction autre que le march\u00e9.<\/p>

Ce que \u00ab surveill\u00e9 \u00bb veut dire pour vous<\/h2>

La conclusion du trimestre n’est pas que l’audit est inutile ; il reste le filtre indispensable contre les bugs de code. La conclusion est que l’audit est un point de d\u00e9part, jamais un point d’arriv\u00e9e, et que la d\u00e9fense s\u00e9rieuse en 2026 s’empile en couches : le code est audit\u00e9<\/em>, le syst\u00e8me est surveill\u00e9<\/em>, l’\u00e9quipe est capable de r\u00e9agir<\/em>, et le risque r\u00e9siduel est id\u00e9alement assur\u00e9<\/em>. La surveillance en temps r\u00e9el est la couche qui a le plus progress\u00e9, parce qu’elle r\u00e9pond au vrai visage des pertes : des attaques rapides, visant l’infrastructure et les humains, hors de port\u00e9e d’une photographie du code.<\/p>

Pour un investisseur ou un utilisateur, le r\u00e9flexe utile change donc de nature. Demander qui a audit\u00e9<\/em> ne suffit plus ; il faut demander qui regarde en continu, et qui peut appuyer sur le bouton<\/em>. Un protocole qui publie son dispositif de surveillance, nomme son fournisseur, d\u00e9crit sa proc\u00e9dure de pause et son adh\u00e9sion \u00e0 un cadre comme le Safe Harbor en dit plus long sur sa maturit\u00e9 qu’un badge d’audit vieux de deux ans. Car la le\u00e7on du T3 2026 tient en une phrase, et elle s’ajoute \u00e0 la liste des v\u00e9rit\u00e9s inconfortables de ce cycle : tracer n’est pas r\u00e9cup\u00e9rer, d\u00e9poser n’est pas \u00e9pargner, et d\u00e9sormais, d\u00e9tecter n’est pas emp\u00eacher. L’alerte n’a de valeur que par la main qui agit derri\u00e8re elle, et dans une fen\u00eatre de douze minutes, cette main doit d\u00e9j\u00e0 \u00eatre en place.<\/p>

Foire aux questions<\/h2>

Quelle est la diff\u00e9rence entre un audit et la surveillance en temps r\u00e9el ?<\/h3>

Un audit est une revue ponctuelle du code \u00e0 un instant donn\u00e9 : il cherche les bugs connus avant le d\u00e9ploiement, puis s’arr\u00eate. La surveillance en temps r\u00e9el observe en continu la cha\u00eene et l’infrastructure apr\u00e8s le lancement, pour rep\u00e9rer une attaque pendant qu’elle se pr\u00e9pare ou se d\u00e9roule. L’audit couvre le vecteur le plus fr\u00e9quent, le code ; la surveillance vise les vecteurs les plus co\u00fbteux de 2026, souvent hors du p\u00e9rim\u00e8tre d’un audit.<\/p>

La surveillance en temps r\u00e9el peut-elle vraiment emp\u00eacher un hack ?<\/h3>

Pas \u00e0 elle seule. Ces plateformes d\u00e9tectent une attaque, parfois environ deux minutes avant la transaction d\u00e9cisive, mais d\u00e9tecter n’est pas emp\u00eacher. Pour arr\u00eater le vol, il faut agir dans une fen\u00eatre tr\u00e8s courte, via un coupe-circuit automatique ou une \u00e9quipe d’astreinte. Or les plus gros sinistres de 2026 ont vid\u00e9 leur cible en quelques minutes \u00e0 quelques heures : sans m\u00e9canisme d’arr\u00eat pr\u00e9par\u00e9 \u00e0 l’avance, l’alerte ne fait qu’annoncer la perte plus vite.<\/p>

Quelles sont les principales plateformes de surveillance crypto en 2026 ?<\/h3>

Les plus cit\u00e9es sont Hypernative, orient\u00e9e institutions et grands protocoles, Hexagate, rachet\u00e9 par Chainalysis fin 2024, et Blockaid, sp\u00e9cialis\u00e9 dans la simulation de transaction avant signature pour les portefeuilles. S’y ajoutent le r\u00e9seau d\u00e9centralis\u00e9 Forta et son jeton FORT, la plateforme Skynet de CertiK, les briques open-source d’OpenZeppelin, ainsi que des surveillants du risque \u00e9conomique comme Chaos Labs et Gauntlet.<\/p>

La r\u00e9glementation impose-t-elle la surveillance en temps r\u00e9el en crypto ?<\/h3>

Partiellement. Le r\u00e8glement europ\u00e9en DORA, applicable depuis le 17 janvier 2025, oblige les prestataires de services sur crypto-actifs agr\u00e9\u00e9s sous MiCA \u00e0 d\u00e9tecter, surveiller et d\u00e9clarer leurs incidents selon une cascade stricte allant de quatre heures \u00e0 un mois. En France, l’AMF supervise ces prestataires. Mais DORA ne vise que les entit\u00e9s centralis\u00e9es, exchanges et conservateurs ; un protocole DeFi pleinement d\u00e9centralis\u00e9 reste hors champ et n’a aucune obligation de surveillance.<\/p>

Comment savoir si un projet crypto est surveill\u00e9 en temps r\u00e9el ?<\/h3>

Un projet s\u00e9rieux documente son dispositif : il nomme son fournisseur de surveillance, d\u00e9crit sa proc\u00e9dure de pause d’urgence et pr\u00e9cise qui d\u00e9tient la cl\u00e9 pour la d\u00e9clencher. L’adh\u00e9sion \u00e0 un cadre comme le Safe Harbor de la Security Alliance, qui pr\u00e9autorise les interventions de white hats pendant une attaque, est un bon signal. En l’absence de ces informations, un simple badge d’audit, surtout ancien, ne dit rien de la d\u00e9fense en temps r\u00e9el.<\/p>