{"id":780,"date":"2026-10-12T22:28:19","date_gmt":"2026-10-12T22:28:19","guid":{"rendered":"https:\/\/hoge.gg\/fr\/code-is-law-proces-exploit-crypto-tribunal-2026\/"},"modified":"2026-10-12T22:28:19","modified_gmt":"2026-10-12T22:28:19","slug":"code-is-law-proces-exploit-crypto-tribunal-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/code-is-law-proces-exploit-crypto-tribunal-2026\/","title":{"rendered":"Apr\u00e8s le post-mortem, le proc\u00e8s : \u00ab code is law \u00bb jug\u00e9"},"content":{"rendered":"Le 29 avril 2026, un portefeuille surveill\u00e9 depuis des mois par le FBI, l’IRS et la police n\u00e9erlandaise a envoy\u00e9 2 900 ETH, environ 6 millions d’euros (6,8 M$), dans Tornado Cash. L’auteur pr\u00e9sum\u00e9 de ce transfert, le plus gros mouvement de blanchiment confirm\u00e9 dans son dossier, s’appelle Andean Medjedovic. Il a 23 ans, il est n\u00e9 en novembre 2002, et il est en cavale depuis bient\u00f4t cinq ans (news.bitcoin.com<\/a>).Son parcours r\u00e9sume la question qui traverse toute la rubrique s\u00e9curit\u00e9 en 2026. Quand un protocole est vid\u00e9, la crypto sait d\u00e9sormais \u00e9crire l’autopsie : un post-mortem minute par minute, une cause racine, une prime propos\u00e9e \u00e0 l’attaquant, parfois un vote de gouvernance pour solder l’affaire. Mais une fois l’autopsie publi\u00e9e, une autre question reste ouverte, et elle ne se r\u00e8gle pas sur la blockchain : celui qui a vid\u00e9 le protocole a-t-il commis un crime, et qui en d\u00e9cide ? Pendant dix ans, la r\u00e9ponse fut souvent : personne. En 2026, elle devient de plus en plus : un juge.Le troisi\u00e8me trimestre 2026 a \u00e9t\u00e9 le pire de l’ann\u00e9e pour les pertes crypto, avec environ 1,13 milliard d’euros (1,26 Md$) envol\u00e9s sur 247 incidents selon le bilan trimestriel de CertiK, soit pr\u00e8s de 2,4 milliards d’euros (2,68 Md$) depuis janvier (Cointelegraph<\/a>). Derri\u00e8re chaque ligne de ce d\u00e9compte, il y a un auteur. La plupart ne seront jamais inqui\u00e9t\u00e9s. Quelques-uns, d\u00e9sormais, le sont. Cet article raconte ce qui se passe quand le post-mortem se termine non pas par une prime, mais par un acte d’accusation.

\u00ab Code is law \u00bb : le slogan que la crypto a elle-m\u00eame reni\u00e9<\/h2>La formule \u00ab code is law \u00bb (le code fait loi) vient du juriste Lawrence Lessig, mais la crypto en a fait un principe moral : si un contrat intelligent autorise une op\u00e9ration, alors cette op\u00e9ration est l\u00e9gitime, quelles qu’en soient les cons\u00e9quences. Pas de petits caract\u00e8res, pas d’intention des d\u00e9veloppeurs qui tienne : seul compte ce que le code ex\u00e9cute. C’est la version num\u00e9rique de \u00ab ce n’est pas interdit, donc c’est permis \u00bb.Le paradoxe, c’est que l’\u00e9cosyst\u00e8me a reni\u00e9 ce principe la premi\u00e8re fois qu’il lui a co\u00fbt\u00e9 cher. En juin 2016, une faille de r\u00e9entrance a permis de siphonner environ un tiers des fonds de The DAO, le fonds d’investissement autonome phare de l’\u00e9poque. Plut\u00f4t que d’accepter le verdict du code, la communaut\u00e9 Ethereum a vot\u00e9 un hard fork au bloc 1 920 000 pour r\u00e9\u00e9crire l’historique et rendre les fonds. Ceux qui ont refus\u00e9 ce reniement, au nom pr\u00e9cis\u00e9ment du \u00ab code is law \u00bb, ont conserv\u00e9 la cha\u00eene d’origine : Ethereum Classic. Autrement dit, Ethereum existe sous sa forme actuelle parce que ses fondateurs ont d\u00e9cid\u00e9 que le code ne faisait pas loi quand l’enjeu \u00e9tait assez grand.Dix ans plus tard, le d\u00e9bat n’a pas boug\u00e9 d’un pouce, il a seulement chang\u00e9 de salle. Il ne se tranche plus sur un forum de gouvernance ou dans un canal Discord, mais devant des jurys f\u00e9d\u00e9raux am\u00e9ricains, des juges n\u00e9erlandais et, bient\u00f4t peut-\u00eatre, un tribunal correctionnel fran\u00e7ais. Et la question pos\u00e9e est exactement la m\u00eame qu’en 2016 : exploiter un contrat tel qu’il est \u00e9crit, est-ce un coup de g\u00e9nie permis par la libert\u00e9 du code, ou un vol d\u00e9guis\u00e9 en trade ?

La justice priv\u00e9e de la crypto : prime, vote de DAO, n\u00e9gociation on-chain<\/h2>Pour comprendre pourquoi un proc\u00e8s fait figure d’exception, il faut voir le syst\u00e8me que la crypto a b\u00e2ti pour \u00e9viter les tribunaux. Apr\u00e8s un exploit, une m\u00e9canique rod\u00e9e se met en marche, totalement en dehors de l’appareil judiciaire. L’\u00e9quipe publie un post-mortem. Des chercheurs retracent les fonds. Puis commence une n\u00e9gociation, souvent \u00e9crite directement dans le champ m\u00e9mo des transactions : rends la majeure partie, garde une \u00ab prime de bug \u00bb de 5 \u00e0 10 %, et personne ne portera plainte.Les exemples canoniques sont devenus des r\u00e9f\u00e9rences morales du secteur. En mars 2023, l’attaquant d’Euler Finance, apr\u00e8s avoir drain\u00e9 environ 177 millions d’euros (197 M$) via un flash loan, a renvoy\u00e9 la quasi-totalit\u00e9 des fonds en laissant un message on-chain rest\u00e9 c\u00e9l\u00e8bre : il n’avait, \u00e9crivait-il, \u00ab aucune intention de garder ce qui ne lui appartient pas \u00bb (The Block<\/a>). En ao\u00fbt 2021, l’auteur du piratage de Poly Network, plus de 550 millions d’euros (611 M$), a lui aussi presque tout rendu, d\u00e9clin\u00e9 une prime de 500 000 dollars et une offre de poste de \u00ab chief security advisor \u00bb, avant de dispara\u00eetre sans jamais \u00eatre poursuivi (Cointelegraph<\/a>).Ce droit coutumier s’est m\u00eame institutionnalis\u00e9. La Security Alliance (SEAL) propose un \u00ab Safe Harbor \u00bb, une offre unilat\u00e9rale et juridiquement contraignante : le white hat qui restitue les fonds sous 72 heures, accepte une prime plafonn\u00e9e \u00e0 environ 900 000 euros (1 M$), se soumet au KYC et aux contr\u00f4les OFAC, obtient en \u00e9change une immunit\u00e9 civile de la part du protocole (securityalliance.org<\/a>). Tout le dispositif repose sur une id\u00e9e simple : la crypto pr\u00e9f\u00e8re r\u00e9cup\u00e9rer son argent que voir un coupable puni. C’est aussi, bien souvent, la seule voie de recours, car beaucoup de victimes de la finance d\u00e9centralis\u00e9e n’ont aucun r\u00e9gulateur \u00e0 qui s’adresser, un point que nous avons d\u00e9taill\u00e9 \u00e0 propos des ponts cross-chain et du risque d\u00e9sormais dispers\u00e9<\/a>.Le probl\u00e8me, c’est qu’un protocole peut promettre de ne pas poursuivre. Un procureur, lui, n’est li\u00e9 par aucune de ces promesses.

Mango Markets : quand le vote de la DAO ne lie pas le procureur<\/h2>Aucune affaire n’illustre mieux ce d\u00e9calage que celle d’Avraham Eisenberg. En octobre 2022, il a manipul\u00e9 le prix du token MNGO sur les contrats perp\u00e9tuels de Mango Markets, une plateforme d’\u00e9change construite sur Solana, pour gonfler la valeur de sa position et emprunter contre elle environ 99 millions d’euros (110 M$) de la tr\u00e9sorerie du protocole. Il a qualifi\u00e9 publiquement l’op\u00e9ration de \u00ab strat\u00e9gie de trading tr\u00e8s rentable \u00bb (TRM Labs<\/a>). Le m\u00e9canisme, une distorsion de l’oracle de prix d’un march\u00e9 de d\u00e9riv\u00e9s, est pr\u00e9cis\u00e9ment le type de manipulation que nous avons d\u00e9crit en analysant l’essor des perp DEX et leur virage onshore<\/a>.La suite a suivi le sc\u00e9nario coutumier : la DAO de Mango a vot\u00e9 un accord autorisant Eisenberg \u00e0 conserver environ 42 millions d’euros (47 M$) en \u00e9change de la restitution d’environ 60 millions d’euros (67 M$) et d’un engagement de la communaut\u00e9 \u00e0 ne pas d\u00e9poser plainte. Sur la blockchain, l’affaire \u00e9tait close. Dans le monde r\u00e9el, elle ne faisait que commencer. Le minist\u00e8re public f\u00e9d\u00e9ral n’avait pas vot\u00e9. En avril 2024, un jury de Manhattan a reconnu Eisenberg coupable de fraude sur mati\u00e8res premi\u00e8res, de manipulation de march\u00e9 et de fraude \u00e9lectronique.Puis le dossier a bascul\u00e9. Le 23 mai 2025, le juge f\u00e9d\u00e9ral Arun Subramanian a annul\u00e9 ces condamnations et prononc\u00e9 l’acquittement, estimant que les preuves ne soutenaient pas l’id\u00e9e qu’Eisenberg avait fait de fausses d\u00e9clarations \u00e0 Mango. Son raisonnement est devenu un point d’appui pour toute la d\u00e9fense \u00ab code is law \u00bb : Mango n’avait pas de conditions d’utilisation interdisant son comportement, et rien ne prouvait, selon le juge, que la fonction \u00ab borrow \u00bb (emprunter) du protocole \u00ab emportait une obligation de remboursement \u00bb (The Block<\/a>). Le juge a aussi relev\u00e9 un d\u00e9faut de comp\u00e9tence territoriale.L’histoire ne s’arr\u00eate pas l\u00e0. Le 22 d\u00e9cembre 2025, le parquet a fait appel de cet acquittement, plaidant que la d\u00e9cision du juge \u00ab bouleverserait la conception traditionnelle de la fraude \u00bb et que le mot m\u00eame d’\u00ab emprunt \u00bb implique une intention de rembourser (Yahoo Finance<\/a>). Eisenberg, lui, purge par ailleurs une peine de quatre ans pour une tout autre affaire et reste vis\u00e9 par des poursuites civiles de la SEC et de la CFTC. Le signal envoy\u00e9 \u00e0 l’\u00e9cosyst\u00e8me est brutal : un vote de DAO vous prot\u00e8ge de la DAO, pas de l’\u00c9tat.

Andean Medjedovic : le prodige des maths devenu cavale<\/h2>Si Eisenberg est le test juridique de la d\u00e9fense \u00ab code is law \u00bb, Medjedovic en est le symbole romanesque. Canadien, dipl\u00f4m\u00e9 du secondaire \u00e0 14 ans, il a \u00e9tudi\u00e9 les math\u00e9matiques pures \u00e0 l’universit\u00e9 de Waterloo, bouclant une licence en trois ans et un master en un an. C’\u00e9tait aussi un codeur chevronn\u00e9, participant r\u00e9gulier des concours d’audit de Code4rena, la plateforme m\u00eame o\u00f9 l’industrie cherche des failles pour les corriger (The Globe and Mail<\/a>).En octobre 2021, il a exploit\u00e9 Indexed Finance par une s\u00e9rie de trades trompeurs sur des pools de liquidit\u00e9, empochant environ 15 millions d’euros (16,5 M$). La r\u00e9ponse d’Indexed n’a pas \u00e9t\u00e9 un d\u00e9p\u00f4t de plainte p\u00e9nale mais une proc\u00e9dure civile devant la Cour sup\u00e9rieure de l’Ontario, qui a d\u00e9livr\u00e9 une ordonnance Anton Piller (une saisie-perquisition civile) le 3 mai 2022. Medjedovic a ripost\u00e9 sur le terrain du \u00ab code is law \u00bb, arguant que l’exploit \u00e9tait l\u00e9gal et qu’il n’avait fait que profiter d’un d\u00e9faut de conception du protocole : la presse canadienne y a vu le premier test de cet argument devant un tribunal du pays. Puis il a disparu.En novembre 2023, r\u00e9apparition : KyberSwap est vid\u00e9 d’environ 44 millions d’euros (48,8 M$) le 23 du mois. Cette fois, l’attaquant ne se contente pas de garder le butin ; il r\u00e9clame \u00e0 l’\u00e9quipe une contrepartie pour restituer les fonds, ce que les procureurs qualifieront de tentative d’extorsion. Arr\u00eat\u00e9 \u00e0 Belgrade, en Serbie, en 2024, Medjedovic a \u00e9t\u00e9 rel\u00e2ch\u00e9 apr\u00e8s le rejet de la demande d’extradition. Le 3 f\u00e9vrier 2025, le minist\u00e8re de la Justice am\u00e9ricain a d\u00e9voil\u00e9 un acte d’accusation devant un tribunal f\u00e9d\u00e9ral de Brooklyn : fraude \u00e9lectronique, atteinte non autoris\u00e9e \u00e0 un syst\u00e8me informatique prot\u00e9g\u00e9, tentative d’extorsion, et blanchiment d’argent (DL News<\/a>). Les procureurs ont d\u00e9crit ces exploits comme parmi les \u00ab plus techniquement sophistiqu\u00e9s \u00bb de l’histoire de la DeFi (Cointelegraph<\/a>).Le personnage ne cache pas sa lucidit\u00e9 sur sa situation. Dans des \u00e9changes rapport\u00e9s par la presse, il aurait l\u00e2ch\u00e9 apr\u00e8s le coup de KyberSwap : \u00ab j’ai fait un truc tr\u00e8s cool, mais je me suis doxx\u00e9 moi-m\u00eame au passage ; je vais peut-\u00eatre rester en cavale pour toujours \u00bb. Laurence Day, cofondateur d’Indexed Finance, r\u00e9sume de son c\u00f4t\u00e9 l’ironie de l’affaire : \u00ab l’essentiel de ce qu’il a vol\u00e9 lui a \u00e9t\u00e9 vol\u00e9 \u00e0 son tour \u00bb (DL News<\/a>). Medjedovic, lui, reste introuvable. Son dossier prouve une chose : la justice peut inculper, elle ne peut pas toujours attraper.

Rendre les fonds et rester anonyme : les deux r\u00e8gles non \u00e9crites<\/h2>En mettant ces affaires c\u00f4te \u00e0 c\u00f4te, un sch\u00e9ma empirique appara\u00eet, et il n’a rien de juridique. Ce qui s\u00e9pare l’attaquant poursuivi de celui qui s’en tire tient \u00e0 deux variables : a-t-il rendu l’argent, et a-t-il gard\u00e9 l’anonymat ? Euler et Poly Network ont rendu et sont rest\u00e9s masqu\u00e9s : aucune poursuite. Eisenberg a gard\u00e9 une partie du butin et agi \u00e0 visage d\u00e9couvert : un proc\u00e8s, m\u00eame suivi d’un acquittement contest\u00e9. Medjedovic a gard\u00e9 le tout, s’est fait identifier, puis a fui : un acte d’accusation et une cavale.
Affaire<\/th>Montant<\/th>Fonds rendus ?<\/th>Identit\u00e9<\/th>Issue judiciaire<\/th><\/tr><\/thead>
Poly Network (2021)<\/td>~550 M\u20ac (611 M$)<\/td>Quasi-totalit\u00e9<\/td>Anonyme<\/td>Aucune poursuite<\/td><\/tr>
Euler Finance (2023)<\/td>~177 M\u20ac (197 M$)<\/td>Quasi-totalit\u00e9<\/td>Anonyme<\/td>Aucune poursuite<\/td><\/tr>
Mango \/ Eisenberg (2022)<\/td>~99 M\u20ac (110 M$)<\/td>Partielle (vote DAO)<\/td>Identifi\u00e9<\/td>Condamn\u00e9 2024, acquitt\u00e9 2025, appel du parquet 2025<\/td><\/tr>
Indexed + KyberSwap \/ Medjedovic<\/td>~59 M\u20ac (65 M$)<\/td>Non<\/td>Identifi\u00e9 puis en fuite<\/td>Inculp\u00e9 2025, en cavale<\/td><\/tr>
Mango (volet civil)<\/td>P\u00e9nalit\u00e9s SEC \/ CFTC<\/td>n\/a<\/td>Identifi\u00e9<\/td>Poursuites civiles en cours<\/td><\/tr><\/tbody><\/table>
Sources : The Block, Cointelegraph, DL News, TRM Labs. Montants convertis \u00e0 environ 1 EUR = 1,11 USD.<\/figcaption><\/figure>Ce tableau n’est pas un code p\u00e9nal : c’est un calcul de risque. Et il explique pourquoi la n\u00e9gociation on-chain reste la norme. Rendre vite et rester invisible, c’est statistiquement la meilleure strat\u00e9gie juridique disponible, bien avant n’importe quelle plaidoirie \u00ab code is law \u00bb. Mais ce calcul repose sur le silence des procureurs, un silence qui, en 2026, devient moins certain.Il faut aussi rappeler une limite structurelle : la justice ne touche que la minorit\u00e9 identifiable et accessible. L’essentiel de la valeur vol\u00e9e en 2026 part vers des acteurs qu’aucun tribunal n’atteindra jamais, au premier rang desquels des groupes \u00e9tatiques comme Lazarus, \u00e0 qui l’on attribue une large part des plus gros d\u00e9tournements de l’ann\u00e9e (crypto.news<\/a>). Pour ces dossiers, l’acte d’accusation est surtout symbolique : il nomme un ennemi hors de port\u00e9e. Le p\u00e9nal ne mord vraiment que sur les auteurs qui, comme Eisenberg ou Medjedovic, ont un visage, un nom et, un jour, un passeport \u00e0 pr\u00e9senter \u00e0 une fronti\u00e8re.

\u00ab Borrow \u00bb veut dire rembourser ? Pourquoi la d\u00e9fense vacille<\/h2>La d\u00e9fense \u00ab code is law \u00bb para\u00eet imparable dans un canal Telegram. Devant un jury, elle se heurte \u00e0 trois notions que le code n’efface pas : la fausset\u00e9, l’intention et la comp\u00e9tence territoriale. La fraude suppose une tromperie. Or manipuler un oracle pour faire croire \u00e0 un protocole qu’une position vaut davantage qu’elle ne vaut, c’est, du point de vue du parquet, mentir \u00e0 une machine pour en tirer de l’argent. Peu importe que le contrat ait ex\u00e9cut\u00e9 l’ordre : la fausset\u00e9 ne porte pas sur le code, elle porte sur la repr\u00e9sentation que l’attaquant a cr\u00e9\u00e9e.C’est exactement l\u00e0 qu’Eisenberg a d’abord perdu, puis gagn\u00e9. Le juge Subramanian a retenu que, faute de conditions d’utilisation et d’obligation explicite de remboursement attach\u00e9e \u00e0 la fonction \u00ab borrow \u00bb, il n’y avait pas de fausse d\u00e9claration d\u00e9montr\u00e9e. L’appel du parquet attaque frontalement ce raisonnement : pour l’accusation, le mot \u00ab emprunter \u00bb porte en lui-m\u00eame la promesse de rendre, et conclure l’inverse reviendrait \u00e0 \u00ab bouleverser la conception traditionnelle de la fraude \u00bb. Le second front de bataille est proc\u00e9dural : o\u00f9 le crime a-t-il eu lieu quand l’auteur, les serveurs et les victimes sont r\u00e9partis sur trois continents ? La question de la comp\u00e9tence, triviale dans un braquage de banque, devient un casse-t\u00eate quand la \u00ab banque \u00bb est un contrat d\u00e9ploy\u00e9 partout et nulle part.La le\u00e7on pour les \u00e9quipes de protocole est contre-intuitive : des conditions d’utilisation claires et une documentation qui qualifie explicitement certains comportements d’interdits renforcent les chances d’une condamnation p\u00e9nale ult\u00e9rieure. Le minimalisme \u00ab code only \u00bb, longtemps revendiqu\u00e9 comme une vertu, est aussi ce qui a offert \u00e0 Eisenberg sa porte de sortie.

Le front des d\u00e9veloppeurs : Tornado Cash et la responsabilit\u00e9 du code<\/h2>Il existe un second th\u00e9\u00e2tre judiciaire, distinct de celui de l’attaquant : celui du constructeur de l’outil. Roman Storm, cofondateur du mixeur Tornado Cash, a \u00e9t\u00e9 reconnu coupable en ao\u00fbt 2025 d’un seul chef, l’exploitation d’un service de transfert d’argent sans licence, le jury n’\u00e9tant pas parvenu \u00e0 trancher les deux chefs les plus lourds, l’entente en vue de blanchiment et la violation de sanctions (justice.gov<\/a>). Le minist\u00e8re public a demand\u00e9 un nouveau proc\u00e8s sur les chefs rest\u00e9s ind\u00e9cis, un temps \u00e9voqu\u00e9 pour l’automne 2026 (CoinDesk<\/a>).L’enjeu d\u00e9passe de loin Storm. Amanda Tuminelli, directrice ex\u00e9cutive du DeFi Education Fund, a averti que la th\u00e9orie du parquet est \u00ab sans limites \u00bb : si \u00e9crire un outil neutre suffit \u00e0 \u00eatre tenu responsable de son usage par des tiers, alors n’importe quel d\u00e9veloppeur de logiciel libre devient expos\u00e9 (DL News<\/a>). La m\u00eame logique traverse l’Europe : aux Pays-Bas, l’autre cofondateur de Tornado Cash, Alexey Pertsev, a \u00e9t\u00e9 condamn\u00e9 pour blanchiment et a fait appel, ce qui en fait le pr\u00e9c\u00e9dent europ\u00e9en le plus proche, m\u00eame s’il vise un d\u00e9veloppeur et non un attaquant.Un contrepoint essentiel temp\u00e8re ce durcissement. Le 21 mars 2025, l’OFAC a retir\u00e9 Tornado Cash de sa liste de sanctions, \u00e0 la suite de l’arr\u00eat Van Loon de la cour d’appel du cinqui\u00e8me circuit, qui a jug\u00e9 que des contrats intelligents immuables ne sont pas la \u00ab propri\u00e9t\u00e9 \u00bb d’un ressortissant \u00e9tranger et ne peuvent donc pas \u00eatre sanctionn\u00e9s comme tels (CoinDesk<\/a>). Autrement dit : on ne peut pas sanctionner un bout de code autonome, mais on peut poursuivre la personne qui l’a \u00e9crit. La fronti\u00e8re entre le code et son auteur est devenue le vrai champ de bataille.

Do Kwon, quinze ans : l’arri\u00e8re-plan d’une \u00e8re de comptes \u00e0 rendre<\/h2>Pour mesurer le changement d’\u00e9poque, il faut regarder au-del\u00e0 des exploits proprement dits. Le 11 d\u00e9cembre 2025, le juge f\u00e9d\u00e9ral Paul Engelmayer a condamn\u00e9 Do Kwon, cofondateur de Terraform Labs, \u00e0 quinze ans de prison pour l’effondrement de TerraUSD et LUNA, qui a provoqu\u00e9 environ 36 milliards d’euros (40 Md$) de pertes pour les investisseurs. La peine d\u00e9passe les douze ans r\u00e9clam\u00e9s par l’accusation (DL News<\/a>).Le cas Do Kwon n’est pas un exploit : c’est une fraude de conception, un mensonge sur le fonctionnement d’un stablecoin algorithmique, pas l’exploitation d’une faille par un tiers. La distinction est capitale pour ne pas tout confondre. Mais son proc\u00e8s d\u00e9finit l’arri\u00e8re-plan \u00e9motionnel et politique dans lequel les affaires d’exploit sont d\u00e9sormais jug\u00e9es. Apr\u00e8s Sam Bankman-Fried, apr\u00e8s Do Kwon, les tribunaux et l’opinion ne sont plus dispos\u00e9s \u00e0 traiter les pertes crypto comme de simples accidents de march\u00e9. Cette fermet\u00e9 d\u00e9teint in\u00e9vitablement sur la mani\u00e8re dont un jury regardera, demain, celui qui a vid\u00e9 un protocole et appel\u00e9 cela une \u00ab strat\u00e9gie de trading \u00bb.

Les th\u00e9ories juridiques en pr\u00e9sence<\/h2>Il n’existe pas d’infraction unique \u00ab exploit de contrat intelligent \u00bb. Les procureurs assemblent des qualifications classiques, con\u00e7ues pour un monde d’avant la blockchain, et c’est leur superposition qui fait la solidit\u00e9 d’un dossier. Le tableau ci-dessous r\u00e9capitule les principales th\u00e9ories mobilis\u00e9es et ce qu’elles exigent de prouver.
Qualification<\/th>Ce qu’il faut prouver<\/th>Angle mort pour \u00ab code is law \u00bb<\/th><\/tr><\/thead>
Intrusion \/ atteinte \u00e0 un syst\u00e8me (CFAA aux USA, loi Godfrain en France)<\/td>Acc\u00e8s ou modification non autoris\u00e9s d’un syst\u00e8me<\/td>\u00ab Autoris\u00e9 \u00bb est ambigu si le contrat ex\u00e9cute l’ordre volontairement<\/td><\/tr>
Fraude \u00e9lectronique (wire fraud)<\/td>Un stratag\u00e8me reposant sur une tromperie<\/td>La tromperie vise-t-elle une personne ou une machine ?<\/td><\/tr>
Manipulation de march\u00e9<\/td>Distorsion artificielle d’un prix de r\u00e9f\u00e9rence<\/td>Suppose un march\u00e9 et un oracle qualifiables de \u00ab march\u00e9 \u00bb<\/td><\/tr>
Tentative d’extorsion<\/td>Menace ou chantage pour obtenir une contrepartie<\/td>R\u00e9clamer une prime \u00ab ou je garde tout \u00bb peut basculer dans l’extorsion<\/td><\/tr>
Blanchiment<\/td>Dissimulation de l’origine des fonds<\/td>Passer par un mixeur ou un pont est un aveu d’intention<\/td><\/tr><\/tbody><\/table>
Lecture : plus l’attaquant n\u00e9gocie, mixe ou menace, plus il nourrit lui-m\u00eame les qualifications qui le visent.<\/figcaption><\/figure>La le\u00e7on transversale est cruelle pour l’attaquant : presque tout ce qu’il fait apr\u00e8s l’exploit pour s\u00e9curiser son gain, n\u00e9gocier une prime, passer par Tornado Cash, faire sauter les fonds d’une cha\u00eene \u00e0 l’autre, renforce le dossier p\u00e9nal plut\u00f4t que de l’affaiblir. Le passage de 2 900 ETH de Medjedovic dans Tornado Cash n’est pas qu’un geste de blanchiment : c’est une pi\u00e8ce \u00e0 conviction.

Et en France ? Loi Godfrain, Parquet et les angles morts de l’AMF<\/h2>Les affaires phares sont am\u00e9ricaines, mais la question se poserait exactement de la m\u00eame fa\u00e7on \u00e0 Paris, avec d’autres textes. Un exploit visant un protocole op\u00e9r\u00e9 depuis la France rel\u00e8verait d’abord du droit p\u00e9nal commun, et singuli\u00e8rement de la loi Godfrain (loi n\u00b0 88-19 du 5 janvier 1988), codifi\u00e9e aux articles 323-1 et suivants du Code p\u00e9nal sur les atteintes aux syst\u00e8mes de traitement automatis\u00e9 de donn\u00e9es. L’acc\u00e8s ou le maintien frauduleux dans un syst\u00e8me est puni de deux ans d’emprisonnement et 30 000 euros d’amende, port\u00e9 \u00e0 trois ans et 45 000 euros si des donn\u00e9es sont supprim\u00e9es ou modifi\u00e9es ; l’introduction ou la modification frauduleuse de donn\u00e9es expose \u00e0 des peines allant jusqu’\u00e0 cinq ans et 150 000 euros (donneespersonnelles.fr<\/a>). S’y ajouteraient l’escroquerie, l’abus de confiance et le blanchiment.Point essentiel pour lever une confusion fr\u00e9quente : ce ne serait pas l’Autorit\u00e9 des march\u00e9s financiers qui jugerait l’affaire, mais le Parquet, avec les services de police judiciaire sp\u00e9cialis\u00e9s en cybercriminalit\u00e9. Les pouvoirs de l’AMF en mati\u00e8re d’abus de march\u00e9, issus du titre VI de MiCA, ne visent que les crypto-actifs admis \u00e0 la n\u00e9gociation sur la plateforme d’un prestataire enregistr\u00e9 (un PSAN devenu CASP), pas un protocole d\u00e9centralis\u00e9 autonome. De m\u00eame, MiCA encadre les prestataires et les \u00e9metteurs, pas la responsabilit\u00e9 p\u00e9nale, et ne s’applique pas \u00e0 un code v\u00e9ritablement d\u00e9centralis\u00e9 (amf-france.org<\/a>). R\u00e9sultat : pour un exploit de DeFi pure, le gendarme boursier est largement hors-jeu, et c’est la justice p\u00e9nale, lente et territoriale, qui prend le relais. Aucune juridiction d’un \u00c9tat membre de l’UE n’a d’ailleurs encore tranch\u00e9 un \u00e9quivalent des affaires Eisenberg ou Medjedovic ; le dossier Pertsev, qui vise un d\u00e9veloppeur, reste le plus proche.Pour l’investisseur fran\u00e7ais, cette architecture laisse un vide concret. Si la plateforme pirat\u00e9e est un prestataire enregistr\u00e9, le r\u00e8glement DORA et l’article 75 de MiCA imposent des obligations de r\u00e9silience op\u00e9rationnelle et de responsabilit\u00e9 sur la conservation des actifs, et l’\u00e9pargnant dispose d’un interlocuteur r\u00e9gul\u00e9. Mais si le protocole est une DeFi pure, sans soci\u00e9t\u00e9 ni dirigeant identifiable, il n’existe ni garantie, ni m\u00e9diateur, ni autorit\u00e9 \u00e0 saisir : la victime n’a que le post-mortem pour comprendre ce qui s’est pass\u00e9, et un d\u00e9p\u00f4t de plainte p\u00e9nale \u00e0 l’issue incertaine. Les r\u00e8gles europ\u00e9ennes d\u00e9di\u00e9es \u00e0 la finance d\u00e9centralis\u00e9e ne sont pas attendues avant 2027-2028.

Ce que le post-mortem documente, ce que seul un juge tranche<\/h2>Le post-mortem d’exploit est un genre devenu mature : il \u00e9tablit le \u00ab comment \u00bb avec une pr\u00e9cision remarquable, cause racine, chronologie, flux de fonds. Mais il bute sur deux questions qu’il ne peut pas trancher : qui doit payer, et qui est coupable. La premi\u00e8re rel\u00e8ve de l’\u00e9conomie de la r\u00e9cup\u00e9ration ; la seconde, d\u00e9sormais, d’un tribunal. L’autopsie technique et l’autopsie judiciaire racontent la m\u00eame sc\u00e8ne de crime dans deux langues qui ne se parlent pas.Cette limite \u00e9claire aussi le r\u00f4le, et les angles morts, de l’industrie de l’audit. Un rapport d’audit documente le risque de code ; il ne dit rien de l’intention ni de la culpabilit\u00e9, et il n’emp\u00eache ni l’exploit ni le proc\u00e8s qui, parfois, suit. Nous l’avons montr\u00e9 en passant au crible les cabinets d’audit crypto dans notre comparatif de fin 2026<\/a>, et en racontant comment CertiK lui-m\u00eame s’est repositionn\u00e9 en \u00ab couche de confiance \u00bb quand l’audit recule<\/a>. Le post-mortem et l’audit couvrent le terrain technique ; d\u00e8s qu’il s’agit de punir, ils c\u00e8dent la place au droit.

Primes, white hats et le risque juridique de la n\u00e9gociation<\/h2>Si un procureur n’est pas li\u00e9 par un vote de DAO, alors tout le syst\u00e8me de la prime on-chain repose sur une fiction juridique fragile. Un chercheur qui draine un protocole \u00ab pour le sauver \u00bb, puis n\u00e9gocie une r\u00e9compense, commet, du point de vue du droit p\u00e9nal, les m\u00eames actes mat\u00e9riels qu’un voleur : acc\u00e8s non autoris\u00e9, prise de contr\u00f4le de fonds, demande de contrepartie. La seule chose qui le distingue, c’est l’intention et le comportement qui suit. D’o\u00f9 l’importance croissante de dispositifs comme le Safe Harbor de SEAL, qui tentent de transformer une coutume en protection opposable : restitution sous 72 heures, prime plafonn\u00e9e, KYC, filtrage OFAC.Mais le Safe Harbor prot\u00e8ge contre les poursuites civiles du protocole, pas contre l’\u00c9tat. Un parquet d\u00e9termin\u00e9 pourrait tr\u00e8s bien consid\u00e9rer qu’un white hat auto-proclam\u00e9 qui vide un pont avant de \u00ab proposer \u00bb de rendre les fonds a franchi la ligne de l’extorsion, exactement le reproche fait \u00e0 Medjedovic sur KyberSwap. La ligne entre le sauveur et le braqueur se joue sur quelques d\u00e9tails : a-t-on pr\u00e9venu avant ou apr\u00e8s, a-t-on gard\u00e9 une part, a-t-on menac\u00e9. Pour les chercheurs en s\u00e9curit\u00e9, le message de 2026 est sans ambigu\u00eft\u00e9 : documentez votre bonne foi d\u00e8s la premi\u00e8re minute, ne gardez rien, restituez vite, et ne confondez jamais l’immunit\u00e9 offerte par un protocole avec une immunit\u00e9 p\u00e9nale.Cette fragilit\u00e9 a un co\u00fbt syst\u00e9mique. Si rendre les fonds n’immunise plus \u00e0 coup s\u00fbr, l’incitation \u00e0 la restitution volontaire, qui a permis de r\u00e9cup\u00e9rer des centaines de millions, s’affaiblit. Le droit p\u00e9nal, en cherchant \u00e0 punir les pires, risque de d\u00e9courager les repentirs qui faisaient la singularit\u00e9 de la culture crypto.

2026 : la convergence de la justice priv\u00e9e et de la justice publique<\/h2>Le grand mouvement de 2026 n’est pas un durcissement unilat\u00e9ral, c’est une convergence. D’un c\u00f4t\u00e9, la justice priv\u00e9e de la crypto, post-mortem, primes, Safe Harbor, continue de r\u00e9gler l’immense majorit\u00e9 des incidents sans jamais voir un juge. De l’autre, un petit nombre d’affaires embl\u00e9matiques, Eisenberg en appel, Medjedovic en cavale, Storm vers un nouveau proc\u00e8s, installent une jurisprudence qui red\u00e9finit les limites du permis. Les deux syst\u00e8mes coexistent et commencent \u00e0 s’influencer : la menace du p\u00e9nal se glisse d\u00e9sormais dans chaque n\u00e9gociation on-chain.Le d\u00e9cor macro\u00e9conomique n’aide pas \u00e0 rel\u00e2cher la pression. Au 12 octobre 2026, le Bitcoin s’\u00e9change autour de 75 100 euros (environ 83 400 $) et l’Ether autour de 2 260 euros (environ 2 554 $), un march\u00e9 que la remont\u00e9e des rendements obligataires am\u00e9ricains menace de refroidir (Fortune<\/a> ; Yahoo Finance<\/a>). Dans un cycle o\u00f9 le levier reprend la main et o\u00f9 les taux longs dictent l’app\u00e9tit pour le risque, comme nous l’avons analys\u00e9 dans nos perspectives de fin 2026 sur le cycle que la Fed a invers\u00e9<\/a>, chaque exploit \u00e0 neuf chiffres p\u00e8se plus lourd dans l’opinion et nourrit l’app\u00e9tit des procureurs.La v\u00e9rit\u00e9, dix ans apr\u00e8s The DAO, est que \u00ab code is law \u00bb n’a jamais vraiment d\u00e9crit le monde r\u00e9el : il d\u00e9crivait une aspiration. Le code ex\u00e9cute, mais ce sont des humains qui d\u00e9cident si l’ex\u00e9cution \u00e9tait un vol. En 2026, ces humains portent de plus en plus souvent une robe de magistrat. Le post-mortem racontera toujours comment le protocole est mort. Le proc\u00e8s, lui, dira qui doit en r\u00e9pondre.

Foire aux questions<\/h2>

Exploiter un contrat intelligent, est-ce l\u00e9gal ?<\/h3>Pas forc\u00e9ment. M\u00eame lorsque le contrat ex\u00e9cute l’op\u00e9ration, un parquet peut y voir une fraude, une manipulation de march\u00e9 ou une atteinte \u00e0 un syst\u00e8me informatique. La d\u00e9fense \u00ab code is law \u00bb a convaincu un juge dans l’affaire Eisenberg en 2025, mais le minist\u00e8re public a fait appel en d\u00e9cembre 2025 : le d\u00e9bat reste ouvert.

Que signifie \u00ab code is law \u00bb en crypto ?<\/h3>C’est l’id\u00e9e que si un contrat intelligent autorise une op\u00e9ration, celle-ci est l\u00e9gitime, sans \u00e9gard pour l’intention des d\u00e9veloppeurs ou pour d’\u00e9ventuels petits caract\u00e8res. La communaut\u00e9 Ethereum a pourtant reni\u00e9 ce principe d\u00e8s 2016 en forkant la cha\u00eene pour annuler le piratage de The DAO, ce qui a donn\u00e9 naissance \u00e0 Ethereum Classic.

Qui a pirat\u00e9 KyberSwap et Indexed Finance ?<\/h3>Les autorit\u00e9s am\u00e9ricaines accusent Andean Medjedovic, un Canadien de 23 ans dipl\u00f4m\u00e9 en math\u00e9matiques, d’avoir d\u00e9tourn\u00e9 environ 59 millions d’euros (65 M$) sur Indexed Finance en 2021 puis KyberSwap en 2023. Inculp\u00e9 en f\u00e9vrier 2025 \u00e0 Brooklyn, il reste en cavale et a envoy\u00e9 2 900 ETH dans Tornado Cash en avril 2026.

Pourquoi les condamnations d’Avraham Eisenberg ont-elles \u00e9t\u00e9 annul\u00e9es ?<\/h3>En mai 2025, le juge Arun Subramanian a estim\u00e9 que les preuves ne d\u00e9montraient pas de fausse d\u00e9claration \u00e0 Mango Markets, faute de conditions d’utilisation et d’obligation de remboursement attach\u00e9e \u00e0 la fonction \u00ab borrow \u00bb, et a relev\u00e9 un d\u00e9faut de comp\u00e9tence territoriale. Le parquet a fait appel de cet acquittement en d\u00e9cembre 2025.

En France, qui poursuivrait un exploit de protocole DeFi ?<\/h3>Le Parquet, et non l’AMF. Un exploit rel\u00e8verait de la loi Godfrain (articles 323-1 et suivants du Code p\u00e9nal) sur les atteintes aux syst\u00e8mes informatiques, compl\u00e9t\u00e9e par l’escroquerie et le blanchiment. Les pouvoirs d’abus de march\u00e9 de l’AMF, issus de MiCA, ne visent que les actifs n\u00e9goci\u00e9s chez un prestataire enregistr\u00e9, pas un protocole d\u00e9centralis\u00e9 autonome.