{"id":933,"date":"2026-11-12T22:29:26","date_gmt":"2026-11-12T22:29:26","guid":{"rendered":"https:\/\/hoge.gg\/fr\/bug-bounty-crypto-cent-fois-apple-google-web2-2026\/"},"modified":"2026-11-12T22:29:26","modified_gmt":"2026-11-12T22:29:26","slug":"bug-bounty-crypto-cent-fois-apple-google-web2-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/bug-bounty-crypto-cent-fois-apple-google-web2-2026\/","title":{"rendered":"Primes de bug : la crypto paie cent fois plus qu’Apple"},"content":{"rendered":"

Le 10 octobre 2025, Apple a d\u00e9voil\u00e9 la plus forte revalorisation de l’histoire de son programme de primes de s\u00e9curit\u00e9. La r\u00e9compense maximale passait de 1 \u00e0 2 millions de dollars (environ 1,8 million d’euros) pour une cha\u00eene d’exploitation \u00ab z\u00e9ro clic \u00bb du type de celles qu’utilisent les logiciels espions mercenaires, avec des bonus capables de pousser le total au-del\u00e0 de 5 millions de dollars (environ 4,5 millions d’euros). Dans son billet, l’entreprise s’est permis une formule : il s’agit, \u00e9crit-elle, d’un montant sans pr\u00e9c\u00e9dent dans le secteur et de la plus grosse prime propos\u00e9e par un programme de primes dont elle ait connaissance<\/a>.<\/p>

Dans le monde de la crypto, cette formule fait sourire. Le plafond le plus \u00e9lev\u00e9 jamais affich\u00e9 pour une seule faille n’est pas chez Apple : il est chez un protocole de stablecoin, Usual, qui promet jusqu’\u00e0 16 millions de dollars (environ 14,4 millions d’euros) via la plateforme Sherlock, soit la plus grosse prime de bug de l’histoire de la tech<\/a>. Et la plus grosse prime r\u00e9ellement vers\u00e9e, tous secteurs confondus, reste celle qu’un chercheur surnomm\u00e9 satya0x a touch\u00e9e pour une faille du pont Wormhole : 10 millions de dollars<\/a> (environ 9 millions d’euros), en f\u00e9vrier 2022. Le vendeur de mat\u00e9riel le plus riche de la plan\u00e8te propose donc un plafond inf\u00e9rieur \u00e0 ce qu’un pont crypto a d\u00e9j\u00e0 pay\u00e9 pour un seul rapport.<\/p>

Rien dans cet \u00e9cart n’est anecdotique, et il se v\u00e9rifie presque chaque semaine. Le 11 novembre 2026, le DEX Arcus, b\u00e2ti sur la Robinhood Chain, a perdu 2,23 millions de dollars (environ 2 millions d’euros) \u00e0 cause d’un bug de comptabilit\u00e9 entre sous-comptes ; l’\u00e9quipe a rembours\u00e9 les utilisateurs sur sa tr\u00e9sorerie et offert 223 000 dollars (environ 200 000 euros) \u00e0 l’attaquant<\/a> pour qu’il rende 90 % des fonds. Une faille d’un logiciel grand public se solde par un rapport et quelques milliers d’euros ; une faille d’un contrat intelligent se chiffre en millions, en heures, et en remboursements de tr\u00e9sorerie. Pourquoi un tel foss\u00e9 ? La r\u00e9ponse tient \u00e0 la nature m\u00eame de ce qui est en jeu.<\/p>

Le m\u00eame bug, cent fois le prix<\/h2>

Commen\u00e7ons par le bas de l’\u00e9chelle, l\u00e0 o\u00f9 se joue la vie quotidienne d’un chercheur. Sur HackerOne, la plus grande place de march\u00e9 de primes du Web2, la m\u00e9diane d’une faille class\u00e9e critique se situe entre 3 000 et 5 000 dollars (environ 2 700 \u00e0 4 500 euros), d’apr\u00e8s le bilan annuel de la plateforme<\/a>. C\u00f4t\u00e9 crypto, la m\u00e9diane d’une prime critique sur Immunefi est de 20 000 dollars (environ 18 000 euros), et la moyenne grimpe \u00e0 114 355 dollars (environ 103 000 euros), selon la propre recherche d’Immunefi<\/a> sur pr\u00e8s de 600 programmes. D\u00e9j\u00e0 au niveau m\u00e9dian, la faille crypto vaut quatre \u00e0 six fois la faille Web2 ; \u00e0 la moyenne, l’\u00e9cart d\u00e9passe un facteur vingt.<\/p>

En haut de l’\u00e9chelle, le foss\u00e9 devient vertigineux. La prime unitaire la plus \u00e9lev\u00e9e jamais pay\u00e9e par Google en 2025 a \u00e9t\u00e9 de 250 000 dollars ; chez Microsoft, la plus grosse r\u00e9compense individuelle avoisine 200 000 dollars. Dans la crypto, Wormhole a vers\u00e9 10 millions de dollars pour un seul rapport, soit quarante \u00e0 cinquante fois ce plafond pratique du Web2, et plus de mille fois la m\u00e9diane critique d’une plateforme comme HackerOne. Autrement dit : un cran au-dessus partout, cent fois au sommet. M\u00eame la prime \u00ab spyware \u00bb de 5 millions de dollars d’Apple, son cas extr\u00eame, reste un tiers du plafond affich\u00e9 par Usual.<\/p>

Cet \u00e9cart n’est pas une question de g\u00e9n\u00e9rosit\u00e9 ou de culture d’entreprise. Il d\u00e9coule d’une diff\u00e9rence brutale dans ce qu’une faille permet de voler, et dans la vitesse \u00e0 laquelle le vol devient irr\u00e9versible.<\/p>

Pourquoi l’\u00e9cart est structurel : direct, liquide, irr\u00e9versible<\/h2>

Une faille dans iOS n’est pas de l’argent. C’est une porte. Pour la transformer en gain, un attaquant doit la vendre \u00e0 un marchand de logiciels espions, trouver une cible, exfiltrer des donn\u00e9es, puis mon\u00e9tiser le tout par un circuit long, risqu\u00e9 et tra\u00e7able. Entre le bug et le butin, il y a plusieurs \u00e9tapes humaines, du temps, et de multiples points o\u00f9 la cha\u00eene peut casser. C’est pourquoi un \u00e9diteur peut se permettre de payer mod\u00e9r\u00e9ment : le dommage attendu d’une faille non corrig\u00e9e reste, pour lui, une abstraction statistique.<\/p>

Une faille dans un contrat intelligent, elle, est l’argent. L’exploiter, c’est signer une transaction qui d\u00e9place les fonds dans le m\u00eame bloc, en quelques secondes, sans guichet, sans banque, sans possibilit\u00e9 d’annulation. Il n’y a pas de r\u00e9trofacturation, pas d’assureur qui rembourse par d\u00e9faut, pas de fen\u00eatre pour corriger avant que le vol n’ait lieu. Le code est public, le tr\u00e9sor est sur la table, et quiconque trouve le d\u00e9faut avant l’\u00e9quipe peut vider le coffre. Quand un protocole de cr\u00e9dit comme Curve laisse des dizaines de millions en collat\u00e9ral \u00e0 la port\u00e9e d’une erreur de liquidation, ce que d\u00e9crit notre analyse de la liquidation douce et du pari de Curve sur le cr\u00e9dit DeFi<\/a>, la somme \u00e0 risque n’est pas th\u00e9orique : elle est inscrite, \u00e0 l’euro pr\u00e8s, dans l’\u00e9tat du contrat.<\/p>

La valeur est aussi concentr\u00e9e. Un seul contrat de staking liquide peut d\u00e9tenir des milliards ; quand le stETH a tenu sa parit\u00e9 pendant le krach<\/a>, c’est pr\u00e9cis\u00e9ment parce que son contrat sous-jacent n’a pas flanch\u00e9 sous la pression. Un bug dans ce contrat ne compromet pas un utilisateur, il les compromet tous, d’un coup. Direct, liquide, irr\u00e9versible : ces trois mots expliquent pourquoi un projet rationnel accepte de payer, pour une seule faille, une somme qui ferait p\u00e2lir n’importe quel directeur de la s\u00e9curit\u00e9 de la Silicon Valley.<\/p>

La r\u00e8gle des 10 % : comment une faille crypto est chiffr\u00e9e<\/h2>

Si la valeur \u00e0 risque est \u00e9crite dans le contrat, comment la transformer en prime ? La crypto a converg\u00e9 vers une r\u00e8gle simple, dite \u00ab primaut\u00e9 de l’impact \u00bb : la r\u00e9compense suit ce que la faille aurait permis de voler, pas l’effort du chercheur ni l’\u00e9l\u00e9gance du rapport. Dans la pratique, le standard du secteur tourne autour de 10 % de la somme expos\u00e9e pour une vuln\u00e9rabilit\u00e9 critique, souvent plafonn\u00e9s \u00e0 un montant maximum.<\/p>

Le programme d’Usual illustre le m\u00e9canisme. Son bar\u00e8me verse 10 % des fonds menac\u00e9s, avec un plafond fix\u00e9 \u00e0 16 millions de dollars : il faut donc une exposition d’environ 160 millions de dollars pour atteindre le plafond. Ce chiffre n’a pas vocation \u00e0 \u00eatre d\u00e9pens\u00e9 tous les jours ; il est un signal. Il dit aux meilleurs chercheurs de la plan\u00e8te que le protocole prend sa s\u00e9curit\u00e9 au s\u00e9rieux, et qu’il vaut mieux lui envoyer un rapport que vendre la faille au plus offrant. Les grands plafonds du march\u00e9, recens\u00e9s par Sherlock<\/a>, suivent la m\u00eame logique : Uniswap v4 \u00e0 15,5 millions, LayerZero \u00e0 15 millions, Sky et Wormhole \u00e0 10 millions, GMX et Coinbase \u00e0 5 millions. Ils montent avec la valeur verrouill\u00e9e, pas avec l’inflation des salaires d’ing\u00e9nieurs.<\/p>

La r\u00e8gle des 10 % a toutefois une faille bien connue, qui se r\u00e9v\u00e8le l\u00e0 o\u00f9 l’argent est le plus gros. Le cadre \u00ab Safe Harbor \u00bb de la Security Alliance, adopt\u00e9 par des dizaines de protocoles, plafonne la prime de r\u00e9cup\u00e9ration \u00e0 1 million de dollars : sur un sauvetage de 200 millions, cela repr\u00e9sente 0,5 %. Le bar\u00e8me prot\u00e8ge donc d’autant moins le chercheur que l’enjeu est grand, exactement l’inverse de ce qu’on voudrait. Nous y reviendrons quand la prime bascule du c\u00f4t\u00e9 de la ran\u00e7on.<\/p>

Plafond affich\u00e9 contre prime vers\u00e9e<\/h2>

Il faut ici casser un mythe : le chiffre sur l’affiche n’est presque jamais le chiffre sur le ch\u00e8que. Les plafonds \u00e0 huit chiffres sont des vitrines. La r\u00e9alit\u00e9 des versements, mesur\u00e9e par Immunefi sur son historique, est une m\u00e9diane critique de 20 000 dollars et une moyenne de 114 355 dollars, \u00e0 des ann\u00e9es-lumi\u00e8re des 16 millions annonc\u00e9s. Le cas d’\u00e9cole reste Arbitrum : le protocole affichait un maximum de 2 millions de dollars, mais n’a vers\u00e9 que 400 ETH \u00e0 un chercheur qui avait pourtant trouv\u00e9 de quoi d\u00e9tourner l’int\u00e9gralit\u00e9 des fonds transitant vers son pont. Le chercheur, surnomm\u00e9 Riptide, l’avait r\u00e9sum\u00e9 cr\u00fbment : si vous affichez une prime de 2 millions, soyez pr\u00eats \u00e0 la payer quand elle est justifi\u00e9e ; sinon, annoncez simplement un maximum de 400 ETH et finissez-en.<\/p>

Le Web2 pratique exactement le m\u00eame marketing. Apple annonce plus de 5 millions de dollars, mais pr\u00e9cise que ces sommes record sont tr\u00e8s rares et que l’essentiel de ses gros versements tourne autour de 500 000 dollars. Google affiche des plafonds de 300 000 dollars sur Chrome et Android, mais sa plus grosse prime unitaire de 2025 a \u00e9t\u00e9 de 250 000 dollars. Les deux univers gonflent l’\u00e9tiquette pour attirer les talents, puis paient la facture r\u00e9elle. La diff\u00e9rence, c’est que m\u00eame la facture r\u00e9elle de la crypto, une fois d\u00e9gonfl\u00e9e, reste au-dessus des plafonds affich\u00e9s du Web2.<\/p>

Wormhole, le record que personne ne bat<\/h2>

Pour comprendre pourquoi la crypto paie, il faut regarder le seul chiffre qui n’a jamais \u00e9t\u00e9 d\u00e9pass\u00e9. En f\u00e9vrier 2022, un chercheur connu sous le pseudonyme satya0x signale \u00e0 Wormhole une faille dans la machinerie de mise \u00e0 jour des contrats du pont : bien exploit\u00e9e, elle aurait pu donner \u00e0 un attaquant le contr\u00f4le des contrats eux-m\u00eames. Rien n’a \u00e9t\u00e9 vol\u00e9 ; la faille a \u00e9t\u00e9 corrig\u00e9e apr\u00e8s divulgation responsable. Wormhole a vers\u00e9 10 millions de dollars, un montant qui reste, quatre ans plus tard, la plus grosse prime de bug jamais pay\u00e9e, crypto ou non.<\/p>

Ce qui rend le record parlant, c’est le contexte. Le programme avait \u00e9t\u00e9 lanc\u00e9 juste apr\u00e8s le piratage du 2 f\u00e9vrier 2022, une faille de v\u00e9rification de signature qui avait permis de frapper 120 000 wETH et co\u00fbt\u00e9 environ 326 millions de dollars, \u00e9pong\u00e9s par Jump Crypto. La le\u00e7on avait \u00e9t\u00e9 apprise au prix fort : mieux vaut payer 10 millions \u00e0 un chercheur honn\u00eate que perdre 326 millions face \u00e0 un attaquant. Depuis, aucun des plafonds \u00e0 15 ou 16 millions n’a donn\u00e9 lieu \u00e0 un versement \u00e9quivalent. Le record r\u00e9el du Web3 reste donc inf\u00e9rieur \u00e0 ses propres \u00e9tiquettes, mais sup\u00e9rieur \u00e0 l’ann\u00e9e enti\u00e8re de Google ou de Microsoft. Dix millions pour un rapport, c’est pr\u00e8s de 60 % de tout ce que Google a distribu\u00e9 en 2025, et la moiti\u00e9 du meilleur exercice de Microsoft.<\/p>

Comment la Silicon Valley paie : Apple, Google, Microsoft, HackerOne<\/h2>

Pour que la comparaison soit honn\u00eate, il faut reconna\u00eetre que les grands programmes Web2 p\u00e8sent lourd, en volume. Leur force n’est pas la prime unitaire, c’est l’\u00e9chelle : des centaines de chercheurs, des dizaines de millions distribu\u00e9s par an, une r\u00e9gularit\u00e9 de m\u00e9tronome. Google a battu son record en 2025 avec 17,1 millions de dollars (environ 15,4 millions d’euros) vers\u00e9s \u00e0 747 chercheurs, soit plus de 40 % au-dessus de 2024, selon le bilan de son programme VRP<\/a>. Microsoft a fait encore mieux la m\u00eame ann\u00e9e, avec plus de 20 millions de dollars (environ 18 millions d’euros) \u00e0 562 chercheurs de 64 pays, son meilleur exercice<\/a>, port\u00e9 par son concours Zero Day Quest.<\/p>

HackerOne, en tant que place de march\u00e9, a redistribu\u00e9 81 millions de dollars (environ 73 millions d’euros) entre juillet 2024 et juin 2025, en hausse de 13 % ; le programme moyen y verse environ 42 000 dollars par an. Apple, enfin, revendique plus de 35 millions de dollars distribu\u00e9s \u00e0 plus de 800 chercheurs depuis 2020. Ce sont des chiffres solides. Mais rapport\u00e9s \u00e0 la valeur qu’ils prot\u00e8gent, ils racontent un m\u00e9tier diff\u00e9rent de celui de la crypto : beaucoup de rapports modestes, une poign\u00e9e de gros lots, et une prime m\u00e9diane qui tient dans un mois de salaire.<\/p>

Programme<\/th>Total vers\u00e9 (dernier exercice connu)<\/th>Plus haute prime unitaire<\/th>Chercheurs r\u00e9compens\u00e9s<\/th><\/tr><\/thead>
Apple<\/td>Plus de 35 M$ cumul\u00e9s depuis 2020<\/td>2 M$ (jusqu’\u00e0 plus de 5 M$ avec bonus)<\/td>Plus de 800<\/td><\/tr>
Google VRP<\/td>17,1 M$ en 2025 (record)<\/td>250 000 $<\/td>747<\/td><\/tr>
Microsoft<\/td>Plus de 20 M$ en 2025-2026 (record)<\/td>Environ 200 000 $<\/td>562<\/td><\/tr>
HackerOne (plateforme)<\/td>81 M$ (juil. 2024 \u00e0 juin 2025)<\/td>M\u00e9diane critique 3 000-5 000 $<\/td>Communaut\u00e9 mondiale<\/td><\/tr><\/tbody><\/table><\/figure>

Les primes maximales, c\u00f4te \u00e0 c\u00f4te<\/h2>

Le tableau suivant met face \u00e0 face la prime maximale pour une seule faille, Web2 contre crypto. C’est l\u00e0 que l’\u00e9cart saute aux yeux : le plus haut plafond de la Silicon Valley, les 5 millions d’Apple r\u00e9serv\u00e9s aux cha\u00eenes d’exploitation dignes d’un logiciel espion d’\u00c9tat, reste inf\u00e9rieur au record r\u00e9ellement vers\u00e9 par la crypto, et repr\u00e9sente moins d’un tiers du plafond affich\u00e9 par un seul protocole de stablecoin.<\/p>

Programme<\/th>Prime maximale pour une faille<\/th>Statut<\/th><\/tr><\/thead>
Apple (Web2)<\/td>Plus de 5 M$<\/td>Plafond, tr\u00e8s rarement atteint<\/td><\/tr>
Google Chrome \/ Android (Web2)<\/td>250 000-300 000 $<\/td>Plafond<\/td><\/tr>
Microsoft (Web2)<\/td>Environ 200 000 $<\/td>Plus haute prime vers\u00e9e<\/td><\/tr>
Usual (crypto, Sherlock)<\/td>16 M$<\/td>Plafond (10 % de l’exposition)<\/td><\/tr>
Uniswap v4 (crypto, Immunefi)<\/td>15,5 M$<\/td>Plafond<\/td><\/tr>
Wormhole (crypto, Immunefi)<\/td>10 M$<\/td>Vers\u00e9 (record r\u00e9el, 2022)<\/td><\/tr>
GMX (crypto, Immunefi)<\/td>5 M$<\/td>Plafond<\/td><\/tr><\/tbody><\/table><\/figure>

Un lecteur attentif objectera que les natures ne sont pas comparables : une faille z\u00e9ro clic sur iPhone menace des millions d’appareils et des vies humaines, pas seulement un tr\u00e9sor on-chain. C’est vrai, et c’est pr\u00e9cis\u00e9ment ce qui rend l’\u00e9cart instructif. Apple paie pour un risque diffus, humain, difficile \u00e0 mon\u00e9tiser pour l’attaquant. La crypto paie pour un risque concentr\u00e9, financier, instantan\u00e9ment mon\u00e9tisable. Le march\u00e9 ne r\u00e9compense pas la gravit\u00e9 morale ; il r\u00e9compense la facilit\u00e9 et la rapidit\u00e9 avec lesquelles la faille se transforme en argent.<\/p>

Quand la prime devient ran\u00e7on : la fronti\u00e8re de l’extorsion<\/h2>

L’irr\u00e9versibilit\u00e9 du vol crypto cr\u00e9e un instrument qui n’a pas d’\u00e9quivalent dans le Web2 : la prime de r\u00e9cup\u00e9ration. Puisqu’on ne peut pas annuler une transaction, un protocole pirat\u00e9 n\u00e9gocie souvent avec le voleur lui-m\u00eame, en lui proposant de garder 10 % s’il rend les 90 % restants. Le cas Arcus du 11 novembre 2026 en est l’illustration parfaite : l’\u00e9quipe a propos\u00e9 \u00e0 l’attaquant de conserver 223 000 dollars sur les 2,23 millions siphonn\u00e9s, \u00e0 condition de renvoyer le reste en ETH ou en DAI avant une \u00e9ch\u00e9ance. On ne peut pas \u00ab exploiter puis n\u00e9gocier \u00bb un bug d’iOS ; on le fait tous les mois en DeFi.<\/p>

Le probl\u00e8me, c’est que la fronti\u00e8re entre prime et ran\u00e7on est mince. En septembre 2026, le r\u00e9seau Liquid a vu partir environ 320 millions de dollars en bitcoins ; l’attaquant en a rendu 85 % puis a r\u00e9clam\u00e9 10 % au titre d’une pr\u00e9tendue prime de bug. Blockstream a refus\u00e9 net, estimant que retenir des biens vol\u00e9s pour en exiger la restitution n’est pas de la divulgation responsable, mais un d\u00e9lit. La ligne de partage tient \u00e0 trois questions : qui a fix\u00e9 les termes, \u00e0 quelle vitesse et \u00e0 quelle hauteur les fonds reviennent, et si le montant suit une norme \u00e9tablie ou est arrach\u00e9 sous la menace. Nick Percoco, directeur de la s\u00e9curit\u00e9 de Kraken, l’a formul\u00e9 apr\u00e8s une affaire similaire : ce n’est pas du piratage \u00e9thique, c’est de l’extorsion<\/a>.<\/p>

Cette zone grise est aggrav\u00e9e par le fait que de nombreux \u00ab hacks \u00bb ne sont pas des bugs de code, mais des manipulations \u00e9conomiques ou des signatures d\u00e9tourn\u00e9es, o\u00f9 la responsabilit\u00e9 juridique du chercheur est floue. Quand la signature d’un oracle est elle-m\u00eame forg\u00e9e<\/a>, la faille n’est pas dans une ligne de Solidity mais dans la plomberie qui alimente le contrat en prix. Le \u00ab white hat \u00bb qui intervient dans ce d\u00e9cor n’a aucune garantie d’\u00eatre trait\u00e9 en sauveur plut\u00f4t qu’en complice.<\/p>

2026 : le d\u00e9luge de l’IA et la bascule \u00e0 deux vitesses<\/h2>

L’autre fait marquant de 2026 est que les deux mondes, Web2 et crypto, subissent le m\u00eame choc au m\u00eame moment : un d\u00e9luge de rapports g\u00e9n\u00e9r\u00e9s par IA qui noie les \u00e9quipes de tri. Le 5 octobre 2026, Google a suspendu son programme de primes open source, expliquant que la hausse des soumissions automatis\u00e9es, dont la grande majorit\u00e9 ne sont pas valides<\/a>, rendait le programme ing\u00e9rable ; des r\u00e9formes sont promises pour le premier trimestre 2027. Le projet curl avait ouvert le bal d\u00e8s janvier 2026 en fermant le sien. Son mainteneur, Daniel Stenberg, avait point\u00e9 trois tendances : la bouillie g\u00e9n\u00e9r\u00e9e par IA, des humains qui font pire que jamais, et la volont\u00e9 manifeste de percer des trous plut\u00f4t que d’aider<\/a>.<\/p>

Les chiffres confirment l’ampleur du ph\u00e9nom\u00e8ne : HackerOne a enregistr\u00e9 une hausse de 210 % des rapports de vuln\u00e9rabilit\u00e9s li\u00e9s \u00e0 l’IA, d’apr\u00e8s son rapport annuel<\/a>. La r\u00e9ponse des plateformes est partout la m\u00eame : la bascule \u00e0 deux vitesses. GitHub a r\u00e9duit de moiti\u00e9 ses primes publiques et cr\u00e9\u00e9 un palier VIP sur invitation, pay\u00e9 trois \u00e0 quatre fois plus. Immunefi impose un d\u00e9p\u00f4t pour soumettre, afin de d\u00e9courager les rapports creux. Le r\u00e9sultat est un syst\u00e8me \u00e0 deux \u00e9tages : une \u00e9lite tri\u00e9e sur le volet qui capte les gros montants, et une masse de chercheurs qui trie la bouillie pour des primes publiques en baisse. C’est le m\u00eame ressort que celui des attaques elles-m\u00eames, o\u00f9 le bot est devenu l’app\u00e2t<\/a> : l’automatisation industrialise aussi bien l’arnaque que la d\u00e9fense.<\/p>

Sous-payer, c’est pousser vers le black hat<\/h2>

Si la crypto paie cent fois plus, ce n’est pas par largesse : c’est le prix de march\u00e9 de l’honn\u00eatet\u00e9. La d\u00e9monstration a \u00e9t\u00e9 faite en octobre 2026 autour du XRP Ledger. Des chercheurs y ont d\u00e9couvert un bug vieux de dix ans, un d\u00e9passement d’entier dans le moteur de paiement qui, via une transaction forg\u00e9e, aurait pu frapper des milliers de milliards de XRP et faire voler en \u00e9clats le plafond d’\u00e9mission. La faille a \u00e9t\u00e9 corrig\u00e9e dans la version 3.4.1 du logiciel le 25 septembre, et divulgu\u00e9e sans qu’elle ait jamais \u00e9t\u00e9 exploit\u00e9e ; elle avait \u00e9t\u00e9 signal\u00e9e par Veria Labs, dont un agent d’IA l’avait rep\u00e9r\u00e9e. La prime : 250 000 dollars, le maximum du programme, d’apr\u00e8s le r\u00e9cit de TheStreet<\/a>.<\/p>

L’enqu\u00eateur on-chain ZachXBT a jug\u00e9 la somme \u00ab bon march\u00e9 \u00bb<\/a> pour une faille capable de d\u00e9truire l’offre enti\u00e8re d’un actif pesant des dizaines de milliards, d\u00e9risoire au regard d’une tr\u00e9sorerie qui se compte en milliards, et il a averti qu’une prime trop basse pousse le prochain d\u00e9couvreur vers l’exploitation plut\u00f4t que vers la divulgation. C’est tout le raisonnement en une phrase. Dans la crypto, l’alternative \u00e0 la prime n’est pas de ranger la faille dans un tiroir : c’est de la vendre, ou de l’exploiter soi-m\u00eame, pour une somme directe et imm\u00e9diate. Le projet qui sous-paie ne fait pas une \u00e9conomie, il offre une option gratuite au march\u00e9 noir. Le facteur cent n’est donc pas un luxe, c’est le niveau auquel le choix rationnel du chercheur bascule du bon c\u00f4t\u00e9.<\/p>

C\u00f4t\u00e9 fran\u00e7ais : un risque p\u00e9nal, pas une affaire de march\u00e9<\/h2>

Pour un chercheur bas\u00e9 en France, l’arithm\u00e9tique des primes se double d’un calcul juridique que le Web2 ne conna\u00eet pas avec la m\u00eame acuit\u00e9. L’Autorit\u00e9 des march\u00e9s financiers et le r\u00e8glement MiCA encadrent les prestataires de services sur crypto-actifs et les \u00e9metteurs, pas l’acte de piratage ni le versement de la prime. La p\u00e9riode transitoire des PSAN vers l’agr\u00e9ment CASP a pris fin le 1er juillet 2026, et l’AMF a rappel\u00e9 que les acteurs non conformes doivent cesser leur activit\u00e9, comme le d\u00e9taille sa communication sur la fin du r\u00e9gime transitoire<\/a>. Mais rien de tout cela ne dit si un chercheur a le droit de toucher \u00e0 un contrat.<\/p>

Le vrai risque est p\u00e9nal. L’acc\u00e8s ou le maintien frauduleux dans un syst\u00e8me de traitement automatis\u00e9 de donn\u00e9es tombe sous l’article 323-1 du Code p\u00e9nal, l’h\u00e9ritier de la loi Godfrain. La loi pour une R\u00e9publique num\u00e9rique de 2016 a bien cr\u00e9\u00e9 un abri, l’article L2321-4 du Code de la d\u00e9fense : celui qui signale de bonne foi une vuln\u00e9rabilit\u00e9 \u00e0 l’ANSSI est dispens\u00e9 de l’obligation de d\u00e9nonciation et voit son identit\u00e9 prot\u00e9g\u00e9e. Mais cet abri n’est pas une immunit\u00e9 p\u00e9nale<\/a> : il prot\u00e8ge le lanceur d’alerte qui rapporte, pas celui qui exploite. Aller \u00ab sauver \u00bb des fonds en d\u00e9clenchant une transaction sur un contrat, c’est une intrusion active, hors du p\u00e9rim\u00e8tre prot\u00e9g\u00e9.<\/p>

Dernier point souvent n\u00e9glig\u00e9 : la prime est un revenu imposable. Une r\u00e9compense de bug n’est pas une plus-value de cession, c’est la r\u00e9mun\u00e9ration d’un service. Elle s’ajoute aux revenus et s’\u00e9value en euros \u00e0 sa valeur le jour de la r\u00e9ception, m\u00eame si le jeton vers\u00e9 s’effondre la semaine suivante. Un chercheur pay\u00e9 en token verrouill\u00e9 peut donc devoir l’imp\u00f4t sur une valeur qu’il n’a jamais pu r\u00e9aliser, un pi\u00e8ge classique qui m\u00e9rite l’avis d’un conseil fiscal avant d’accepter le paiement.<\/p>

Ce que l’\u00e9cart dit de la s\u00e9curit\u00e9 crypto en 2026<\/h2>

Le facteur cent n’est pas une curiosit\u00e9 statistique ; c’est le reflet d’une v\u00e9rit\u00e9 \u00e9conomique sur la crypto. L\u00e0 o\u00f9 la valeur est directement expos\u00e9e et irr\u00e9versiblement perdue, la prime doit d\u00e9passer ce qu’un attaquant gagnerait \u00e0 d\u00e9fecter. Vue sous cet angle, la prime est l’assurance la moins ch\u00e8re du secteur : la prime critique m\u00e9diane co\u00fbte 20 000 dollars, quand le hack qu’elle \u00e9vite co\u00fbte, en moyenne, pr\u00e8s de 25 millions, d’apr\u00e8s les estimations d’Immunefi<\/a>. Payer gros pour une faille, c’est acheter bon march\u00e9 l’absence d’une catastrophe.<\/p>

Les volumes confirment que le mod\u00e8le tourne. Immunefi avait d\u00e9pass\u00e9 134 millions de dollars (environ 121 millions d’euros) vers\u00e9s \u00e0 des chercheurs \u00e0 la fin du premier trimestre 2026, selon sa mise \u00e0 jour trimestrielle<\/a>, et le total a continu\u00e9 de grimper depuis. En parall\u00e8le, le premier semestre 2026 a vu environ 972 millions de dollars d\u00e9rob\u00e9s sur un record de 207 incidents, mais c’est aussi le premier semestre pass\u00e9 sous la barre du milliard, d’apr\u00e8s le rapport d’Immunefi<\/a>, qui revendique plus de 180 milliards de dollars d’actifs sous protection. La d\u00e9fense gagne du terrain, lentement.<\/p>

Reste une tension pour 2026. Dans un march\u00e9 qui, comme nous l’\u00e9crivions, manque de carburant<\/a> et de liquidit\u00e9, les budgets de s\u00e9curit\u00e9 sont les premiers rogn\u00e9s. Or la valeur qu’une faille permet de voler, elle, ne baisse pas avec le cours du token : un contrat qui d\u00e9tenait 200 millions en garde toujours autant m\u00eame si le jeton a perdu la moiti\u00e9 de sa valeur. L’\u00e9cart de cent entre une prime crypto et une prime Apple n’est donc pas pr\u00e8s de se refermer. Tant que le code tiendra l’argent directement, la faille vaudra une fortune, et la seule question sera de savoir qui, du projet ou de l’attaquant, la paiera.<\/p>

Foire aux questions<\/h2>

Quelle est la plus grosse prime de bug jamais vers\u00e9e en crypto ?<\/h3>

10 millions de dollars (environ 9 millions d’euros), pay\u00e9s par Wormhole en f\u00e9vrier 2022 au chercheur satya0x pour une faille critique de son pont, divulgu\u00e9e sans exploitation. C’est, \u00e0 ce jour, la plus grosse prime de bug jamais vers\u00e9e, tous secteurs confondus.<\/p>

Pourquoi une faille crypto rapporte-t-elle plus qu’une faille Apple ou Google ?<\/h3>

Parce qu’en crypto la valeur est directe, liquide et irr\u00e9versible : exploiter un contrat d\u00e9place les fonds en une transaction, sans annulation possible. Les primes suivent donc environ 10 % de la somme expos\u00e9e, l\u00e0 o\u00f9 une faille logicielle classique doit encore \u00eatre vendue et mon\u00e9tis\u00e9e par un circuit long et incertain.<\/p>

Que signifie le mod\u00e8le des 10 % de la somme expos\u00e9e ?<\/h3>

C’est la r\u00e8gle de chiffrage dominante : la prime vaut environ un dixi\u00e8me de ce que la faille aurait permis de voler, souvent plafonn\u00e9. Un protocole exposant 160 millions de dollars peut ainsi afficher un plafond de 16 millions. Le plafond est autant un signal de s\u00e9rieux qu’une r\u00e9compense.<\/p>

Le plafond affich\u00e9 est-il la prime r\u00e9ellement pay\u00e9e ?<\/h3>

Rarement. La m\u00e9diane d’une prime critique sur Immunefi est de 20 000 dollars et la moyenne d’environ 114 000, loin des plafonds \u00e0 huit chiffres. Ces plafonds servent surtout \u00e0 attirer les meilleurs chercheurs ; seul Wormhole a r\u00e9ellement vers\u00e9 10 millions pour un seul rapport.<\/p>

En France, toucher une prime de bug crypto est-il l\u00e9gal et imposable ?<\/h3>

La prime en elle-m\u00eame est un revenu imposable, \u00e9valu\u00e9 en euros \u00e0 la r\u00e9ception. Mais l’acte compte : signaler de bonne foi une faille \u00e0 l’ANSSI est prot\u00e9g\u00e9, tandis qu’exploiter un contrat pour sauver des fonds reste un acc\u00e8s frauduleux puni par l’article 323-1 du Code p\u00e9nal. L’AMF et MiCA encadrent les prestataires, pas l’acte de piratage.<\/p>