Wrench attacks : la France, épicentre mondial selon CertiK

Le 21 janvier 2025, avant l’aube, trois hommes armés et masqués pénètrent dans une maison du centre de la France et enlèvent David Balland, cofondateur de Ledger, ainsi que son épouse. Les ravisseurs séparent le couple, réclament une rançon en cryptomonnaie à un autre cofondateur de l’entreprise, Eric Larchevêque, et lui envoient une vidéo montrant un doigt sectionné pour prouver leur détermination. Balland sera retrouvé vivant près de Châteauroux, amputé d’une phalange ; sa femme, ligotée, sera libérée au sud de Paris (DL News).

Aucun pare-feu, aucun audit de smart contract, aucune preuve mathématique n’aurait pu empêcher cette scène. Et c’est précisément le message que fait passer CertiK, le cabinet de sécurité blockchain surtout connu pour auditer du code, avec son unité de renseignement Intel3D : la ligne de front de la sécurité crypto s’est déplacée du portefeuille logiciel vers le corps humain. Son rapport du premier semestre 2026 chiffre pour la première fois l’ampleur du phénomène, et il désigne un épicentre mondial sans ambiguïté : la France.

« L’attaque à la clé » : ce que révèle le rapport Intel3D de CertiK

Publié fin juillet 2026, le rapport CertiK Intel3D consacré au premier semestre recense 52 attaques physiques vérifiées contre des détenteurs de cryptomonnaies dans le monde, contre 39 sur la même période de 2025, soit une hausse de 33,3 % (GlobeNewswire). L’exposition financière estimée atteint 124,1 millions de dollars (environ 107 millions d’euros), un montant que CertiK décrit comme près de douze fois supérieur à celui du premier semestre 2025 (Yahoo Finance). Surtout, l’exposition moyenne par incident bondit d’environ 270 000 dollars (233 000 euros) à 2,39 millions de dollars (2,06 millions d’euros) : les agresseurs frappent moins souvent, mais beaucoup plus gros.

Le changement de nature est plus parlant encore que les montants. Les cambriolages à domicile passent d’un seul cas au premier semestre 2025 à vingt un an plus tard ; les enlèvements grimpent de douze à seize ; les actes de torture (quatre) et l’homicide (un) restent stables (CoinDesk). Autrement dit, l’agression opportuniste laisse place à l’intrusion planifiée, au domicile même de la victime.

CertiK, dont c’est pourtant le métier d’auditer du code, insiste sur la bascule : « Ce ne sont pas de simples vols. Ce sont des crimes bien réels qui exposent des personnes à un danger physique, et qui rappellent que la sécurité ne s’arrête pas aux smart contracts ou aux portefeuilles », résume le cabinet à propos de son rapport (CertiK). Une mise en garde d’autant plus notable qu’elle émane d’une entreprise identifiée à la sécurité logicielle.

Encore ces chiffres ne sont-ils qu’un plancher. CertiK ne comptabilise que les incidents vérifiés, à partir de sources ouvertes et de signalements confirmés ; les victimes qui paient en silence, par peur des représailles ou pour préserver leur anonymat, échappent au décompte. Le rapport précédent, consacré à l’ensemble de 2025, faisait déjà état d’une progression de 75 % des attaques et de 40,9 millions de dollars (environ 35 millions d’euros) de pertes confirmées (CertiK Skynet).

D’un mème xkcd à la clé à molette bien réelle

Le terme « wrench attack », ou attaque à la clé (à molette), vient d’une célèbre bande dessinée du webcomic xkcd : plutôt que de casser un chiffrement hors de prix, un agresseur se contente de frapper sa victime avec une clé à cinq dollars jusqu’à ce qu’elle livre son mot de passe (xkcd). La blague résumait une vérité gênante de la cryptographie : la protection la plus solide s’effondre dès qu’on peut contraindre physiquement celui qui détient la clé.

Appliquée à la crypto, l’attaque consiste à forcer un détenteur, sous la menace ou la violence, à révéler sa phrase de récupération (les fameux douze ou vingt-quatre mots), à saisir son code sur un portefeuille matériel, ou à signer une transaction sortante. Contrairement à un piratage, elle ne laisse aucune faille technique à corriger : une fois les fonds transférés vers une adresse contrôlée par l’agresseur, la transaction est irréversible.

Deux modes de coercition coexistent. Dans le premier, l’agresseur exige la phrase de récupération ou le code, puis vide le portefeuille à son rythme. Dans le second, plus rapide, il force la victime à signer elle-même une transaction sortante, parfois filmée par un téléphone. Les cas documentés durent de quelques minutes à plusieurs jours de séquestration, le temps de vaincre des protections comme les délais de retrait ou d’atteindre les proches détenant une seconde clé. Aucune de ces variantes ne laisse à la victime la possibilité d’annuler l’opération une fois les fonds partis.

Ce paradoxe fait de l’auto-conservation (self-custody) à la fois la promesse et la faiblesse de la crypto. Le slogan « not your keys, not your coins » vaut dans les deux sens : celui qui détient seul ses clés détient seul le risque. Un particulier qui garde plusieurs millions d’euros sur un portefeuille matériel rangé dans un tiroir devient, du point de vue d’un criminel, un coffre-fort ambulant dont la combinaison tient en douze mots.

La France, épicentre mondial de la violence physique liée à la crypto

La donnée la plus frappante du rapport est géographique. L’Europe concentre 39 des 52 incidents vérifiés (79,6 %), et la France à elle seule en compte 33 : 63,5 % du total mondial, et 84,6 % des cas européens (GlobeNewswire). Aucun autre pays n’en approche.

Cette surreprésentation n’est pas un hasard statistique. La France abrite une densité rare d’entrepreneurs et de fortunes crypto : Ledger, premier fabricant mondial de portefeuilles matériels, Paymium, l’une des plus anciennes plateformes d’échange d’Europe, Coinhouse, Sorare, et toute une génération de fondateurs devenus visibles. Cette visibilité, conjuguée à des patrimoines souvent connus, offre aux criminels un vivier de cibles identifiables.

La France n’a pourtant pas le monopole du phénomène. Des cas ont été signalés aux États-Unis, en Espagne, au Royaume-Uni ou aux Émirats, souvent contre des figures publiques du secteur. Mais nulle part ailleurs la concentration n’atteint ce niveau. L’écosystème français, l’un des plus matures d’Europe pour la détention en propre et le trading de particuliers, y est sans doute pour beaucoup : plus il existe de détenteurs identifiables et de fortunes bâties vite, plus la cible potentielle est large.

S’ajoute un effet d’imitation. Dès lors qu’une méthode s’avère lucrative et médiatisée, elle se diffuse. Les autorités françaises ont recensé une série continue d’enlèvements et de tentatives ; selon France 24, le pays a signalé plus de quarante affaires liées à la crypto sur la seule année 2026, à un rythme proche d’une agression tous les cinq jours (France 24). En février 2026, CNN a documenté la séquestration d’une mère et de sa fille, libérées par l’intervention d’un passant (CNN).

Pourquoi les pirates délaissent le code pour viser les personnes

Le rapport Intel3D prend tout son sens à la lumière de l’autre grande publication de CertiK, le rapport Hack3d. Au premier semestre 2026, les pertes liées aux piratages « classiques » ont atteint environ 1,31 milliard de dollars (1,13 milliard d’euros), et la catégorie la plus coûteuse par incident n’était pas l’exploitation d’une faille de code, mais la compromission de portefeuilles et de clés (Forbes). D’un rapport à l’autre, le message est constant : la clé vaut plus que le code.

Le PDG de CertiK, Ronghui Gu, l’a formulé sans détour : « Les attaquants obtiennent un meilleur rendement en s’attaquant à la gestion des clés, à la gouvernance multisig et à l’infrastructure opérationnelle qu’en cherchant des bugs dans le code » (Forbes). L’attaque à la clé à molette est la traduction physique, brutale, de ce calcul : pourquoi passer des semaines à traquer une faille improbable quand on peut contraindre directement le porteur de la clé ?

Cette logique n’a rien de propre à la crypto de détail. Les plus gros vols de 2025 et 2026, du piratage de Bybit aux compromissions de protocoles, ont visé non pas la logique des contrats mais les personnes et les processus qui contrôlent les clés : signataires trompés, infrastructures piratées, employés manipulés. L’attaque à la clé à molette applique le même principe à l’échelle individuelle, en supprimant l’intermédiaire numérique. Le détenteur redevient le maillon décisif, avec toute la vulnérabilité que cela implique.

À mesure que les audits, la vérification formelle et le monitoring on-chain durcissent la couche logicielle, le maillon faible redevient l’humain. On peut prouver mathématiquement qu’un contrat se comporte comme spécifié, c’est précisément l’objet de la vérification formelle ; on ne peut pas prouver qu’un individu résistera à la menace d’une arme. La sécurité crypto a longtemps été pensée comme un problème d’ingénierie ; elle est aussi, désormais, un problème de sécurité personnelle.

L’affaire Balland et la vague française de 2025-2026

L’enlèvement de David Balland, en janvier 2025, a marqué un tournant. Le cofondateur de Ledger et son épouse ont été enlevés à leur domicile ; les ravisseurs ont réclamé une rançon en cryptomonnaie et envoyé à Eric Larchevêque une vidéo du doigt sectionné de la victime. D’après la procureure de Paris Laure Beccuau, une partie de la rançon a été versée, puis tracée, gelée et saisie en quasi-totalité (DL News). Dix personnes ont d’abord été interpellées ; en mars 2026, le dernier fugitif du commando a été arrêté en Espagne, à Benalmádena.

Quelques mois plus tard, la série s’est accélérée. Le 1er mai 2025, le père d’un entrepreneur crypto a été enlevé en plein Paris (14e arrondissement), séquestré deux jours dans un logement au sud de la capitale, et amputé d’un doigt ; les ravisseurs réclamaient entre 5 et 7 millions d’euros à son fils avant sa libération par la police (Fortune).

Le 13 mai 2025, trois hommes ont tenté d’enlever la fille enceinte et le petit-fils de Pierre Noizat, cofondateur de Paymium, rue Pache dans le 11e arrondissement. La jeune femme a résisté, aidée par son compagnon et par un voisin muni d’un extincteur ; Noizat a publiquement salué le « duo héroïque » qui a fait échouer l’agression (France 24). L’enquête a débouché sur la mise en examen de 25 personnes, dont six mineurs (CoinDesk).

Ces trois affaires ne sont que les plus médiatisées. Entre elles s’intercalent des tentatives contre des influenceurs, des proches de traders et des dirigeants moins connus, au point que le ministère de l’Intérieur a fini par traiter la question comme une série. L’arrestation, en mars 2026 sur la Costa del Sol, du dernier membre en fuite du commando Balland a rappelé la dimension transfrontalière de ces réseaux, qui recrutent, se déplacent et blanchissent au-delà des frontières françaises.

Comment les victimes sont repérées : transparence on-chain et fuites de données

Une attaque à la clé suppose que l’agresseur sache qui viser, où le trouver, et qu’il ait de bonnes raisons de croire au butin. Trois sources d’information nourrissent ce ciblage. La première est la transparence de la blockchain elle-même : les mouvements des gros portefeuilles sont publics et suivis en temps réel, au point d’alimenter des services d’alerte. Le revers de cette lisibilité, c’est qu’un patrimoine on-chain identifiable devient une cible, comme nous l’avons analysé à propos des alertes sur les baleines.

La deuxième source est l’exposition volontaire : réseaux sociaux, interviews, conférences, signes extérieurs de richesse. Un fondateur qui affiche ses gains, ou simplement dont la réussite est publique, se désigne lui-même.

La troisième, la plus insidieuse, tient aux fuites de données. En 2020, la base e-commerce de Ledger a été compromise : les noms, adresses postales et numéros de téléphone d’environ 272 000 clients ont fini en ligne (Bitdefender). Des acheteurs de portefeuilles matériels, c’est-à-dire par définition des détenteurs de crypto, se sont ainsi retrouvés géolocalisés, exposés à des campagnes de phishing puis à des menaces d’intrusion à domicile (Ledger). Que le cofondateur de cette même entreprise ait été enlevé cinq ans plus tard à son domicile résume, tragiquement, tout le problème.

Les conséquences de cette fuite ne se sont pas arrêtées aux menaces. Dès 2021, des escrocs ont envoyé aux adresses dérobées de faux portefeuilles Ledger de remplacement, accompagnés d’une fausse lettre officielle invitant la victime à saisir sa phrase de récupération sur un appareil piégé. La même liste a nourri des courriels de menace mentionnant le domicile exact du destinataire. Une base de données commerciale s’est ainsi muée en catalogue de cibles, illustrant pourquoi la protection des données personnelles est, en crypto, une question de sécurité physique.

La riposte de l’État français : les mesures Retailleau

Face à l’emballement, le ministre de l’Intérieur Bruno Retailleau a réuni le 16 mai 2025 les principaux acteurs du secteur et annoncé une série de mesures immédiates (CoinDesk). Selon le détail rapporté par la presse spécialisée française (Cryptoast), ces mesures comprennent :

• un accès prioritaire au numéro d’urgence 17 pour les acteurs du secteur et leurs proches ;
• des consultations de sûreté à domicile assurées par les référents sécurité de la police et de la gendarmerie ;
• des briefings de sécurité personnalisés dispensés par le GIGN, le RAID et la BRI aux familles les plus exposées ;
• la création d’un double point de contact entre le 17 et le commandement du ministère dans le cyberespace (ComCyberMI) ;
• une formation renforcée des forces de l’ordre à la lutte contre le blanchiment de cryptoactifs.

Le ministre a affiché sa « détermination à mettre fin à ces attaques insupportables », les comparant aux braquages qui visaient autrefois les banques et les bijouteries. Le dossier a pris une dimension politique : dans un contexte de course à la présidentielle de 2027, la sécurité des entrepreneurs crypto est devenue un marqueur. Les tribunaux ont suivi, avec la mise en examen de 25 personnes, dont six mineurs, dans le seul dossier Noizat, signe d’un basculement de la petite délinquance vers des réseaux organisés recrutant parfois de très jeunes exécutants.

CertiK Intel3D : d’auditeur de code à traqueur de la violence physique

CertiK n’est pas, à l’origine, une agence de renseignement. Fondée en 2017 par Ronghui Gu et Zhong Shao, deux universitaires (Columbia et Yale) issus des méthodes formelles, l’entreprise s’est fait connaître en appliquant à la blockchain les techniques de preuve mathématique qu’ils avaient développées pour CertiKOS, un noyau de système d’exploitation formellement vérifié. Son produit phare, Skynet, surveille en continu des milliers de projets on-chain.

Intel3D en est une autre facette : une unité de renseignement sur les menaces qui documente, précisément, ce que le code ne voit pas, la violence physique, la coercition, les enlèvements. En publiant des rapports semestriels chiffrés, CertiK fait entrer la « wrench attack » dans le champ des statistiques de sécurité, aux côtés des exploits de smart contracts et des compromissions de clés. La démarche a une logique commerciale (CertiK vend aussi des services de sécurité opérationnelle et de conformité), mais elle comble un angle mort réel : personne, jusqu’ici, ne tenait de comptabilité rigoureuse de ces crimes.

À l’échelle de l’entreprise, ce travail de renseignement s’appuie sur la même infrastructure que le reste de CertiK : des milliers de projets suivis par Skynet, un historique d’audits et un score de sécurité maison. Pour Intel3D, les analystes recoupent des sources ouvertes, comptes rendus de presse, documents judiciaires et signalements confirmés, avant de valider un incident. Cette exigence de vérification explique la prudence des chiffres : un cas non documenté publiquement, ou réglé discrètement, n’entre pas dans le décompte, ce qui garantit la fiabilité du total au prix d’une sous-estimation assumée.

Cette double lecture, on-chain et hors-chaîne, dessine un modèle de sécurité à deux couches. La première, logicielle, relève de l’audit et de la vérification. La seconde, humaine et physique, relève de l’hygiène opérationnelle, de la garde des clés et, désormais, de la protection des personnes.

Ce qu’aucun audit ne corrigera : la limite du modèle « sécurité = code »

Le secteur a longtemps entretenu l’idée qu’un projet « audité » était un projet sûr. Le rapport Intel3D rappelle une vérité plus dure : un audit, même une preuve formelle, protège le code contre des entrées malveillantes ; il ne protège pas un corps contre une arme. Aucune des grandes catégories de la sécurité crypto (audit, bug bounty, monitoring, vérification formelle) n’a de prise sur une clé à molette.

Le cadre réglementaire ne comble pas non plus ce vide. En Europe, MiCA encadre les prestataires de services sur cryptoactifs et, en France, l’AMF supervise ces acteurs depuis la fin de la période transitoire, le 1er juillet 2026 (AMF). Mais ni MiCA ni l’AMF ne régissent la sécurité physique des détenteurs : ce dossier relève du ministère de l’Intérieur, de la police et de la gendarmerie, pas du régulateur financier. La self-custody, que la crypto érige en idéal, transfère la responsabilité, et le risque, sur l’individu. Détenir ses propres clés, c’est aussi assurer sa propre garde rapprochée.

Ce vide fait émerger un marché parallèle. Assurances contre l’enlèvement et la demande de rançon (dites K&R), sociétés de sécurité privée spécialisées dans la clientèle crypto, conseils en discrétion numérique : une petite industrie se structure pour ceux qui peuvent se l’offrir. Mais ces réponses restent réservées aux plus fortunés, et elles ne changent rien à l’équation de fond : tant que des personnes détiennent, seules et de façon vérifiable, des sommes transférables en quelques secondes, elles resteront des cibles.

Se défendre sans clé unique : multisig, MPC et coffres étagés

La recommandation centrale du rapport CertiK est sans ambiguïté : le portefeuille matériel et la phrase de récupération hors ligne, longtemps présentés comme le nec plus ultra, ne suffisent plus face à la coercition. Un portefeuille matériel protège contre le vol à distance ; il ne protège pas contre quelqu’un qui vous force à taper le code.

La parade la plus solide consiste à supprimer le point de défaillance unique. Un dispositif multisignature (multisig) exige plusieurs clés, détenues par plusieurs personnes ou stockées en plusieurs lieux, pour valider une transaction : la victime ne peut pas livrer, à elle seule, de quoi vider le portefeuille. Les schémas MPC (calcul multipartite) atteignent un résultat comparable sans jamais reconstituer une clé complète en un seul endroit. C’est l’architecture qu’ont adoptée nombre de dépositaires institutionnels et de solutions de garde professionnelles, y compris celles qui sécurisent les réserves derrière des produits comme le staking liquide.

CertiK recommande d’y ajouter des garde-fous opérationnels : le coffre étagé (staged vault), qui répartit les clés géographiquement et impose des paliers d’accès ; les délais de retrait (timelocks), qui empêchent tout mouvement instantané des fonds, même sous la menace ; et des protocoles de préparation familiale, pour que les proches, souvent les vraies cibles, sachent comment réagir.

Deux principes complètent l’édifice. La récupération sociale, d’abord, où un ensemble de contacts de confiance peut aider à restaurer l’accès sans qu’une seule phrase existe quelque part. La séparation des rôles, ensuite, entre le portefeuille du quotidien, qui contient peu, et le coffre de long terme, difficile d’accès et invisible. L’objectif n’est jamais de rendre le vol impossible, mais de faire en sorte qu’aucune contrainte exercée sur une seule personne, en un seul lieu et en un seul instant, ne suffise à tout emporter.

Portefeuilles sous contrainte et « panic wallets » : promesses et limites

Une autre famille de parades mise sur la tromperie. Le portefeuille sous contrainte, ou decoy wallet, contient une somme modeste que la victime peut livrer pour apaiser l’agresseur en lui faisant croire qu’il a tout obtenu. Les « panic wallets » et autres codes sous contrainte déclenchent, à la saisie d’un mot de passe spécifique, l’affichage d’un solde réduit ou le gel des fonds réels.

Ces dispositifs, régulièrement débattus dans le secteur, ont une limite évidente : ils supposent que l’agresseur ignore l’ampleur réelle du patrimoine, et qu’il se contentera du butin apparent (Cointelegraph). Or, quand le ciblage repose sur des données on-chain ou une fuite précise, l’agresseur sait souvent combien vous détenez. Un leurre trop maigre peut alors aggraver la situation plutôt que la désamorcer.

C’est toute la difficulté d’une menace qui déplace le problème du domaine technique vers le domaine humain : aucune solution cryptographique ne garantit qu’un individu terrorisé sera cru, ni qu’un criminel s’arrêtera au premier portefeuille. La technologie peut réduire l’incitation (rien à voler immédiatement), pas la supprimer.

La confidentialité, première ligne de défense

Avant toute architecture de clés, la protection la plus efficace reste la discrétion. Jameson Lopp, cofondateur du dépositaire Casa et auteur de la liste de référence des agressions physiques visant des détenteurs de Bitcoin (plus de 260 cas recensés depuis 2014, dont une année 2025 record), le résume ainsi : « La chose la plus efficace qu’un détenteur de Bitcoin puisse faire pour réduire son risque d’attaque à la clé est aussi la plus difficile : ne pas parler de Bitcoin, en tout cas pas sous son vrai nom ou son vrai visage » (GitHub ; The Block).

Concrètement : ne pas afficher ses gains, cloisonner identité publique et patrimoine, protéger ses adresses postales, se méfier des métadonnées et des photos géolocalisées. C’est le même arbitrage entre traçabilité et anonymat qui traverse tout l’écosystème, jusqu’aux plateformes sans vérification d’identité : moins on laisse de traces exploitables, plus on réduit la surface d’attaque, mais cet anonymat a un coût et des limites légales.

La confidentialité ne se rattrape pas après coup. Une fois qu’une adresse a fuité ou qu’un patrimoine est devenu public, il est presque impossible de redevenir invisible. D’où l’importance de penser la discrétion en amont, comme une composante de la sécurité au même titre que la clé elle-même.

Cette exigence entre en tension avec la culture même de la crypto, faite de transparence, de portefeuilles publics et de célébration ostentatoire des gains. Le rapport CertiK invite, en creux, à un changement d’état d’esprit : rendre son patrimoine illisible pour un inconnu vaut mieux qu’exhiber sa réussite. Pour les personnes déjà exposées, la reconquête de l’anonymat passe par des mesures concrètes, nouvelle domiciliation, structures dédiées pour les biens, retrait des données personnelles des annuaires en ligne.

Tracer la rançon : quand la blockchain se retourne contre les ravisseurs

La transparence qui expose les victimes se retourne aussi contre les criminels. Une rançon versée en cryptomonnaie laisse une trace publique et indélébile ; les enquêteurs, aidés d’outils d’analyse on-chain, peuvent suivre les fonds, identifier les points de sortie vers les plateformes d’échange, et faire geler les montants. Dans l’affaire Balland, la procureure de Paris a indiqué qu’une partie de la rançon avait été versée, puis tracée, gelée et saisie en quasi-totalité (DL News).

C’est le même travail de suivi et de récupération que nous décrivons à propos des hacks de ponts et de la traque de l’argent volé : la blockchain est un registre que l’on ne peut pas effacer, ce qui en fait un piège pour qui espère blanchir un butin. Les points de friction restent les plateformes qui appliquent réellement le KYC et coopèrent avec la justice.

Le point d’étranglement reste presque toujours le même : pour convertir un butin en argent utilisable, les ravisseurs doivent, tôt ou tard, passer par une plateforme ou un service qui applique des contrôles. C’est là que les analystes on-chain et les enquêteurs concentrent leurs efforts, en étiquetant les adresses, en suivant les mélangeurs et en travaillant avec les plateformes pour figer les fonds. Le registre public, si redoutable pour la vie privée des victimes, devient alors l’allié de l’enquête.

Il faut toutefois rester lucide : tracer la rançon n’empêche pas la violence. Le doigt sectionné, lui, ne se « gèle » pas. La traçabilité peut dissuader le vol purement financier ; elle est d’un maigre secours face à un agresseur prêt à mutiler pour obtenir une signature. C’est pourquoi CertiK et les professionnels de la garde insistent sur la prévention en amont plutôt que sur la seule récupération en aval.

Ce qu’il reste à régler pour le secteur

Plusieurs chantiers restent ouverts. Le premier est celui du sous-signalement : par honte, par peur ou par souci de discrétion, de nombreuses victimes ne portent pas plainte, ce qui fausse la mesure du phénomène et prive les enquêteurs de renseignements. Les chiffres de CertiK, comme la liste de Jameson Lopp, sont des planchers, pas des totaux.

Le deuxième chantier est la professionnalisation des agresseurs. Le passage du cambriolage opportuniste à l’intrusion planifiée (de 1 à 20 cambriolages à domicile en un an) et l’implication de mineurs recrutés en ligne trahissent une criminalité organisée qui a compris la valeur, et la portabilité, des cryptoactifs.

Le troisième relève de la culture du secteur. Fondateurs, plateformes et médias apprennent, lentement, à réduire l’exposition publique des personnes fortunées, à recommander des architectures de garde résistantes à la contrainte, et à coopérer avec les forces de l’ordre. La sécurité crypto s’était construite autour d’une idée simple : sécuriser le code. Le rapport Intel3D rappelle qu’il faut désormais, tout autant, sécuriser les personnes.

Foire aux questions

Qu’est-ce qu’une « wrench attack » (attaque à la clé) en crypto ?

Une attaque à la clé désigne toute agression ou menace physique visant à contraindre un détenteur de cryptomonnaies à livrer sa phrase de récupération, son code de portefeuille ou à signer une transaction. Contrairement à un piratage, elle contourne toute la cryptographie en s’attaquant directement à la personne, et la transaction, une fois signée, est irréversible.

Pourquoi la France est-elle l’épicentre des attaques physiques liées à la crypto ?

Selon le rapport CertiK Intel3D du premier semestre 2026, la France concentre 33 des 52 attaques vérifiées dans le monde, soit 63,5 % du total. Le pays cumule une forte densité d’entrepreneurs et de fortunes crypto (Ledger, Paymium, Coinhouse), une grande visibilité publique de ces figures et un effet d’imitation une fois la méthode éprouvée.

Combien d’attaques physiques CertiK a-t-il recensées au premier semestre 2026 ?

CertiK a vérifié 52 attaques dans le monde, contre 39 un an plus tôt (une hausse de 33,3 %), pour une exposition financière estimée à 124,1 millions de dollars (environ 107 millions d’euros). Les cambriolages à domicile sont passés de 1 à 20, et les enlèvements de 12 à 16. Ces chiffres ne comptent que les cas confirmés et constituent un plancher.

Comment se protéger d’une attaque à la clé à molette ?

CertiK juge le portefeuille matériel et la phrase hors ligne insuffisants face à la contrainte. Les parades recommandées suppriment le point de défaillance unique : multisignature ou MPC, coffre étagé réparti géographiquement, délais de retrait (timelocks), portefeuille sous contrainte pour appâter l’agresseur, et surtout confidentialité (ne pas exposer son patrimoine ni son identité).

Que fait l’État français face aux enlèvements liés à la crypto ?

Le 16 mai 2025, le ministre de l’Intérieur Bruno Retailleau a annoncé un accès prioritaire au numéro d’urgence 17 pour les professionnels du secteur et leurs proches, des consultations de sûreté à domicile par la police et la gendarmerie, des briefings du GIGN, du RAID et de la BRI pour les familles les plus exposées, et un point de contact dédié avec le commandement cyber du ministère (ComCyberMI).

Par Anneke de Vries, rédactrice sécurité et exploits chez HOGE Wire.