Hacks Crypto : 1,26 Milliard Volé Au T3 2026

Le trimestre où le bitcoin a repris des couleurs est aussi celui où les coffres ont le plus fuité. Entre juillet et septembre 2026, les pirates ont emporté environ 1,26 milliard de dollars en cryptomonnaies, pendant que le cours du bitcoin progressait d’environ 40 %. Le contraste est presque indécent : le marché célèbre un rallye, les bilans de sécurité affichent leur pire séquence de l’année. La facture cumulée depuis janvier atteint déjà 2,68 milliards. Septembre, à lui seul, concentre 768,5 millions en quatre-vingt-dix-neuf incidents. Ce n’est pas une série de petites escroqueries par messagerie. C’est surtout de l’infrastructure qui cède.

Deux affaires suffisent à renverser la lecture habituelle du risque. La plateforme Bitget voit sortir 387,5 millions de dollars de ses portefeuilles chauds le 24 septembre. Quelques semaines plus tôt, Liquid Network subit un bug de vérification qui permet de créer du L-BTC sans contrepartie, pour environ 319 millions. À eux deux, ces dossiers dépassent la moitié de la note du trimestre. Le reste se partage entre un prêt sur Cronos, une vieille faille de firmware sur des portefeuilles matériels, et une longue traîne d’incidents plus modestes. Pendant ce temps, la capacité d’assurance du secteur recule, et les indemnisations restent marginales.

Un trimestre record pendant le rallye du bitcoin

Les chiffres viennent d’abord de CertiK, qui recense 247 incidents sur le trimestre, contre 219 au printemps. Cointelegraph, en s’appuyant sur ces décomptes, indique une hausse des pertes de 53,9 % par rapport aux 819,4 millions du deuxième trimestre. DefiLlama, avec une méthode plus restrictive, arrive à environ 1,25 milliard pour 116 incidents. L’écart de méthodologie compte : l’un additionne plus largement, l’autre filtre davantage. Les deux convergent pourtant sur l’ordre de grandeur. Le troisième trimestre 2026 est le plus coûteux de l’année en brut.

Septembre domine le calendrier. 768,5 millions de dollars s’y concentrent. Les failles de code et d’infrastructure représentent 95 % de cette facture mensuelle, soit 733,8 millions répartis sur 58 incidents. Le phishing, souvent brandi comme le grand danger du particulier, plafonne à 6,2 millions. L’image du pirate qui envoie un faux lien ne décrit pas ce trimestre. Ce sont des chemins d’accès internes, des preuves cryptographiques mal vérifiées, des oracles de prix manipulés et des graines de portefeuille affaiblies par une mise à jour ancienne.

La récupération change la lecture, sans l’effacer. Un montant gelé n’est pas un montant rendu à l’utilisateur le jour même. Les procédures prennent des semaines, parfois des mois. Les exchanges promettent, les validateurs rembobinent, les attaquants négocient. Entre le choc initial et le solde net, le marché a déjà intégré la peur. Les dépôts se retirent, les primes de risque montent, les assureurs resserrent leurs conditions. C’est cette deuxième facture, invisible dans le tableau des vols, qui pèse sur la confiance.

Pourquoi septembre a tout concentré

Un mois peut basculer à cause de deux ou trois dossiers hors norme. Ici, Bitget et Liquid Network suffisent à expliquer l’essentiel de septembre. Le calendrier n’est pas anodin. Le bitcoin venait d’enchaîner une progression d’environ 40 % sur le trimestre, sa meilleure séquence depuis 2024. Plus la valeur stockée augmente, plus une même faille technique se traduit en dollars. Un bug qui aurait coûté quelques dizaines de millions en marché atone devient un titre de une quand les cours sont hauts.

Cette mécanique n’excuse rien. Elle rappelle seulement que la sécurité ne se mesure pas en pourcentage du cours, mais en robustesse des chemins d’accès. Quand le marché monte, les équipes opérationnelles sont souvent occupées par le volume, le support et les listings. C’est précisément le moment où un accès interne mal cloisonné ou une vérification cryptographique incomplète coûte le plus cher. Le rallye et les piratages ne s’opposent pas. Ils se renforcent.

Deux thermomètres, une même fièvre

CertiK et DefiLlama ne comptent pas la même chose. L’un agrège davantage d’incidents, y compris des affaires encore en cours d’estimation. L’autre restreint le périmètre. Sur Tectonic, par exemple, CertiK retient environ 120 millions, tandis que la plupart des autres estimations tournent autour de 75 millions. L’écart ne vient pas d’une erreur de calcul, mais de ce que l’on décide d’inclure : montants manipulés, montants réellement extraits, fonds déjà sortis vers une autre chaîne. Pour le lecteur, la leçon est simple. Il faut regarder la fourchette, pas un chiffre unique brandi comme vérité définitive.

Même avec la fourchette basse, le trimestre reste historique. Et même après déduction des fonds gelés, les pertes ajustées dépassent celles du printemps. La récupération partielle n’annule pas le signal. Elle le nuance. Un secteur capable de geler 273 millions en un mois montre qu’il a des leviers. Un secteur qui laisse filer près d’un demi-milliard net le même mois montre que ces leviers arrivent trop tard.

Bitget, le tiers du trimestre en une nuit

Le 24 septembre, 387,5 millions de dollars quittent les hot wallets de Bitget. L’enchaînement décrit par la plateforme ne ressemble pas à une clé privée volée dans un coffre. L’attaquant aurait d’abord exploité une faille dans un produit de sécurité fourni par un prestataire tiers. De là, il obtient des identifiants internes de haut niveau, puis émet de faux ordres de retrait. Gracy Chen, directrice générale, affirme que ni les clés privées ni le cold storage n’ont été touchés. La nuance est décisive, et elle ne rassure qu’à moitié.

Si le stockage à froid tient, le chemin opérationnel, lui, a cédé. Un hot wallet sert précisément à honorer les retraits rapides. Il doit contenir assez pour la liquidité du jour, pas assez pour financer un trimestre de piratage. Quand un accès interne permet d’émettre des ordres comme s’ils venaient de l’opérateur légitime, la frontière entre employé et attaquant disparaît. Le prestataire tiers devient alors un maillon aussi sensible que le coffre lui-même. Externaliser la sécurité ne déplace pas le risque. Elle le déplace chez quelqu’un dont le client ne contrôle ni le code ni les journaux.

Les exploits répétés renforcent l’idée que l’infrastructure crypto reste opérationnellement fragile.

Nicolai Sondergaard, analyste chez Nansen, cité par CoinDesk

Bitget a mandaté Mandiant et SlowMist. Les premiers indices évoqués publiquement pointent vers des groupes liés à la Corée du Nord, sans que cela vaille encore attribution définitive. Chen refuse pour l’instant de chiffrer les fonds gelés avec l’aide du secteur. Elle veut d’abord les vérifier. Cette prudence est saine. Annoncer un gel avant de le confirmer a déjà brûlé plusieurs plateformes. Elle laisse aussi les utilisateurs dans le flou : quelle part du 387,5 millions est encore mobilisable, quelle part est déjà convertie, quelle part dort sur des adresses surveillées.

L’affaire a eu un effet de bord inattendu. Le protocole NEAR Intents avait bloqué environ 50 millions de dollars liés à ce piratage quelques jours plus tôt. Le 1er octobre, le même protocole perd 3,8 millions de fonds d’utilisateurs à cause d’un bug entre son infrastructure de dépôt et de retrait Omni et son contrat intelligent. Il promet un remboursement intégral. Bloquer l’argent d’un attaquant n’immunise pas contre ses propres erreurs de liaison entre couches. La chasse aux fonds volés et la solidité du produit sont deux métiers distincts. Les confondre coûte cher.

Liquid Network et le bug des rangeproofs

Le 6 septembre, Liquid Network ouvre la séquence. Le problème vient du cache de vérification des rangeproofs, ces preuves cryptographiques qui valident les montants confidentiels sans les révéler. Un défaut dans ce cache a permis de créer des L-BTC sans contrepartie, pour environ 319 millions de dollars. Le lendemain, l’auteur rend 3 400 BTC. Environ 600 BTC manquent encore. Le geste de restitution change la morale de l’histoire, pas la gravité du bug.

Liquid est une sidechain adossée au bitcoin, pensée pour des transferts plus confidentiels et plus rapides entre acteurs identifiés. Ses montants ne sont pas visibles comme sur la chaîne principale. Cette confidentialité repose justement sur des preuves de plage : on démontre qu’un montant est valide sans l’afficher. Si la vérification de ces preuves peut être contournée via un cache, la confidentialité devient un angle mort. On ne voit pas le faux billet parce que le système est conçu pour ne pas montrer le billet.

La restitution rapide suggère un attaquant qui a mesuré le risque de poursuite, ou un chercheur passé à l’acte avant de faire machine arrière. Peu importe le mobile. Un cache de vérification qui accepte une preuve déjà rejetée, ou qui saute une étape, est une faille de conception autant que d’implémentation. Les audits qui ne rejouent pas les chemins de cache, les redémarrages et les courses entre nœuds passent à côté de ce type de bug. Il ne se voit pas dans une lecture linéaire du contrat. Il se voit quand le système est sous charge, redémarré, ou désynchronisé.

Tectonic, le jeton gonflé et la chaîne rembobinée

Le 30 août, Tectonic, protocole de prêt sur Cronos, subit une manipulation de prix. L’attaquant gonfle près de cent fois le cours du jeton TONIC en vingt minutes, puis s’en sert comme collatéral ou comme référence pour extraire de la valeur. CertiK retient 120 millions. D’autres estimations restent autour de 75 millions. Les validateurs de Cronos rembobinent ensuite la chaîne jusqu’au bloc précédant l’attaque. Environ 6 millions avaient déjà filé vers Ethereum, hors de portée du retour en arrière.

Rembobiner une chaîne est un acte politique autant que technique. Cela protège les déposants du protocole touché. Cela invalide aussi tout ce qui s’est passé entre le bloc fautif et le bloc de reprise : échanges honnêtes, arbitrages, liquidations. Les utilisateurs qui ont agi de bonne foi dans cette fenêtre se retrouvent effacés. Le précédent est lourd. Une chaîne qui peut revenir en arrière pour un piratage peut, en théorie, revenir en arrière pour autre chose. La confiance dans la finalité en sort affaiblie, même si le geste limite les pertes.

Le cœur du problème reste l’oracle. Un jeton à faible liquidité dont le prix peut être multiplié par cent en vingt minutes ne devrait pas servir de référence à un protocole de prêt de cette taille. Les garde-fous classiques existent : moyennes sur plusieurs sources, plafonds de variation, délais, collatéraux à liquidité profonde. Quand ils manquent, l’attaque n’est pas sophistiquée. Elle est mécanique. Acheter le carnet, faire monter le prix, emprunter contre une garantie fictive, sortir les actifs réels. Le rembobinage soigne le symptôme sur Cronos. Il ne soigne pas la leçon pour les autres chaînes.

Coldcard, une mise à jour de 2021 qui se réveille

La faille Coldcard remonte à un firmware de 2021. Cette mise à jour avait affaibli la génération des graines. Entre le 30 juillet et le 6 août 2026, des attaquants siphonnent 1 778 BTC sur plus de 5 200 adresses, soit 112,7 millions de dollars selon CertiK. Galaxy Research estime que le butin pourrait atteindre 2 417 BTC si une quatrième vague se confirme. Le décalage entre le bug et l’exploitation est de cinq ans. C’est toute la difficulté de la sécurité matérielle : une faiblesse de génération de seed ne se voit pas le jour de la mise à jour. Elle se voit quand quelqu’un a reconstitué l’espace des graines affaiblies.

Le portefeuille matériel est souvent présenté comme le dernier rempart. Il l’est, à condition que la graine ait été engendrée avec assez d’entropie, que le firmware soit authentique, et que l’utilisateur ne réutilise pas une seed compromise. Ici, le maillon faible n’est pas l’écran ni le code PIN. C’est une génération affaiblie, ancienne, silencieuse. Les détenteurs qui n’ont pas migré vers un firmware corrigé et une nouvelle graine restent exposés tant que la vague n’est pas terminée. Galaxy Research, en évoquant 2 417 BTC, rappelle que le chiffre publié n’est pas forcément le chiffre final.

Cette affaire déplace aussi le débat hors des exchanges. On peut quitter une plateforme et rester vulnérable si l’outil de conservation personnelle a un passé logiciel imparfait. La responsabilité ne disparaît pas avec le retrait. Elle change de mains. L’utilisateur doit suivre les avis de sécurité du fabricant, régénérer ses graines quand un avis l’exige, et ne pas considérer un appareil acheté en 2021 comme figé dans un état sûr.

Ce que ces quatre dossiers ont en commun

Bitget, Liquid, Tectonic et Coldcard ne se ressemblent pas en surface. L’un est un exchange centralisé, l’autre une sidechain, le troisième un protocole de prêt, le quatrième un fabricant de hardware. Le point commun est ailleurs. Dans chaque cas, le maillon qui a cédé n’était pas le slogan marketing. Ce n’était pas « les clés ne quittent jamais l’appareil » ni « les fonds sont en cold storage ». C’était un prestataire, un cache, un oracle, un firmware. La sécurité affichée décrit le chemin nominal. Les piratages empruntent le chemin d’exception.

Un deuxième point commun : la valeur extraite dépend du moment de marché. À cours élevé, la même faille paie davantage. Un troisième : la réponse institutionnelle arrive après coup. Gels, restitutions, rembobinages, audits mandatés. Utile, tardif, inégal. Le trimestre ne raconte pas l’échec d’une seule équipe. Il raconte un secteur dont les couches se font confiance sans se vérifier assez souvent.

L’assurance qui recule quand les pertes montent

Le rapport 2026 de CoinGecko sur la sécurité crypto fixe la capacité d’assurance du secteur à 130,2 millions de dollars fin août, contre 163,2 millions un an plus tôt. La baisse est d’environ 20 %. Ce montant couvre moins de 5 % des 2,68 milliards volés depuis janvier. Entre janvier 2025 et juillet 2026, les assureurs n’ont versé qu’environ 33 millions, soit 0,9 % des 3,63 milliards perdus sur la période. Cinq des neuf protocoles d’assurance on-chain suivis ont fermé ou abandonné la couverture crypto.

Le chiffre de 0,9 % mérite d’être relu lentement. Il ne dit pas que l’assurance est inutile. Il dit qu’elle ne joue pas, aujourd’hui, le rôle de filet que le grand public imagine. Les exclusions sont nombreuses : faute de l’opérateur, acte de guerre cyber, défaut de prestataire, manipulation d’oracle, bug de firmware antérieur à la police. Plus les sinistres ressemblent à ceux de ce trimestre, moins ils entrent dans les contrats. Les assureurs se retirent parce que la sinistralité est corrélée. Quand un rallye gonfle les encours, plusieurs dossiers peuvent tomber ensemble. Aucun mutualisateur n’aime ce profil.

Pour l’utilisateur, la conséquence est directe. Compter sur une police pour récupérer un dépôt d’exchange après un retrait frauduleux est, dans l’état actuel du marché, un pari très faible. Les plateformes qui affichent une assurance le font souvent sur une poche limitée, avec des plafonds par client et des conditions de déclenchement étroites. Lire l’annexe vaut mieux que lire le bandeau. Quand la capacité globale du secteur tient en 130 millions, elle ne peut pas absorber un seul Bitget, encore moins un trimestre entier.

L’intelligence artificielle comme accélérateur de failles

Oliver Carding, de Tesseract Group, pointe un accélérateur nouveau. Les outils d’intelligence artificielle automatisent la recherche de failles dans les contrats intelligents. Un travail qui demandait des mois à un ingénieur expérimenté se comprime. L’effet est à double tranchant. Les équipes honnêtes auditent plus vite. Les équipes malveillantes aussi. Le différentiel ne se joue plus sur la capacité à lire du Solidity pendant des semaines. Il se joue sur la qualité des tests, la rapidité des correctifs et la discipline de déploiement.

Ce trimestre ne prouve pas que chaque incident vient d’un modèle de langage. Il montre un environnement où le coût de la recherche offensive baisse. Une faille de cache, un contrôle d’accès manquant, une hypothèse d’oracle trop faible : autant de motifs qu’un outil peut balayer à grande échelle. Les protocoles qui publient leur code sans programme de prime au bug à la hauteur du risque s’exposent à ce que le premier lecteur sérieux soit un attaquant. La prime doit suivre la valeur verrouillée, pas un barème fixe hérité d’une époque où les encours étaient plus petits.

Sondergaard, chez Nansen, résume l’état d’esprit du marché après la série d’exploits : l’infrastructure reste opérationnellement fragile. La formule est inconfortable parce qu’elle vise moins le vol spectaculaire que la routine. Identifiants internes, prestataires, caches, files de retrait, liaisons entre dépôt et contrat. Ce sont des sujets d’exploitation, pas de cryptographie pure. Les équipes qui recrutent des cryptographes sans renforcer l’administration des accès traitent le mauvais étage du bâtiment.

Ce que change la custodie pour le particulier

Sur un exchange, les cryptos dépendent d’un tiers. Le trimestre le rappelle avec une brutalité chiffrée. Un hot wallet alimenté pour le service client peut vider en une session si les ordres de retrait sont falsifiables. Le cold storage protège ce qu’il contient vraiment, pas ce que la communication laisse entendre. Demander la part exacte des encours en froid, la politique de réapprovisionnement des chauds, et le nombre de personnes capables d’émettre un retrait reste l’une des rares questions utiles avant de laisser un solde dormir sur une plateforme.

La conservation personnelle n’est pas une absolution. L’affaire Coldcard le montre. Une graine affaiblie par un ancien firmware expose des milliers d’adresses des années plus tard. Le bon réflexe n’est pas de choisir un camp entre plateforme et hardware. C’est de réduire la surface : soldes d’exchange limités au besoin de trading, graines régénérées après avis de sécurité, phrases de récupération hors ligne, et méfiance envers tout outil qui demande la seed pour « vérifier » un gain.

Le phishing, marginal ce trimestre en dollars, reste le vecteur le plus fréquent pour le non-spécialiste. 6,2 millions ne font pas la une à côté de 387 millions. Ils ruinent pourtant des comptes individuels sans recours. La disproportion des montants ne doit pas inverser les priorités personnelles. Pour une plateforme, le sujet est l’accès interne. Pour un particulier, le sujet reste le lien, la fausse interface, la seed recopiée. Les deux menaces coexistent. Elles ne se classent pas dans le même tableau.

Octobre commence déjà avec une nouvelle note

Le 1er octobre, NEAR Intents perd 3,8 millions de dollars de fonds d’utilisateurs. Le bug se situe entre l’infrastructure de dépôt et de retrait Omni et le contrat intelligent. Le protocole avait pourtant montré, quelques jours plus tôt, qu’il savait bloquer des fonds liés au piratage de Bitget. La séquence est cruelle. On peut être utile dans la réponse à l’incident d’un tiers et fragile sur sa propre jonction entre couches. La promesse de remboursement intégral limite le préjudice utilisateur. Elle ne limite pas la leçon : chaque passerelle entre un système de dépôt et un contrat est un point de contrôle à tester comme un chemin d’attaque, pas comme un détail d’intégration.

Le début d’octobre indique que le troisième trimestre n’a pas clos la série. Les équipes qui ont passé septembre en gestion de crise n’ont pas toutes eu le temps de revoir leurs files de retrait. Le marché, lui, continue de monter ou de consolider selon les séances. La tentation est de traiter les piratages comme un bruit de fond du rallye. Les chiffres interdisent cette paresse. 1,26 milliard en trois mois, 2,68 depuis janvier, une assurance qui couvre une fraction négligeable : ce n’est pas un bruit. C’est un poste du bilan sectoriel.

Comment lire la suite sans se raconter d’histoires

Trois lectures fausses circulent déjà. La première : les vols baissent parce que quelques fonds ont été rendus. La restitution de 3 400 BTC sur Liquid est réelle. Elle ne ramène pas le trimestre sous le printemps une fois les ajustements faits, et elle ne concerne pas Bitget. La deuxième : le cold storage a tenu, donc les exchanges sont sûrs. Il a tenu là où il était vraiment utilisé. Le chemin de retrait, lui, a été emprunté. La troisième : l’assurance paiera. À 0,9 % d’indemnisation sur une longue période, elle ne paie pas à l’échelle des pertes.

Une lecture plus juste tient en peu de mots. La valeur stockée a monté plus vite que la discipline opérationnelle. Les outils offensifs sont moins chers. Les filets d’assurance se retirent. Les réponses, gels, forks implicites, restitutions, existent, mais elles arrivent après le titre. Pour qui détient des fonds, la question n’est pas de prédire le prochain nom. Elle est de savoir quelle part de son solde survivrait à un ordre de retrait falsifié, à un oracle joué, ou à une graine générée trop faiblement cinq ans plus tôt.

Le bitcoin peut gagner 40 % sur un trimestre et le secteur peut perdre 1,26 milliard dans le même intervalle. Les deux faits sont vrais ensemble. Le rallye mesure l’appétit. Les piratages mesurent la tuyauterie. Tant que la seconde ne suit pas le premier, chaque nouvelle jambe de hausse augmentera le prix des vieilles failles. Septembre 2026 en a fixé le tarif, et octobre a déjà commencé à l’allonger.

Le hot wallet, talon d’Achille assumé

Un exchange ne peut pas tout mettre au froid. Les retraits du quotidien exigent une poche liquide, signée rapidement, souvent par des systèmes automatisés. Cette poche est le hot wallet. Son existence n’est pas une négligence. Son dimensionnement, si. Quand 387,5 millions peuvent sortir en une séquence d’ordres falsifiés, la poche liquide n’était plus une poche. Elle ressemblait à une réserve. La règle de bon sens, connue de longue date dans la finance de marché, est de limiter le chaud au flux de quelques heures, et de réapprovisionner par un cérémonial lent, à plusieurs signatures, journalisé, hors du chemin que peut emprunter un prestataire compromis.

Le prestataire tiers complique encore le dessin. Un outil de sécurité qui délivre des identifiants de haut niveau devient, le jour où il cède, une porte dérobée légitime. Les journaux montreront un accès autorisé. Les alertes, calibrées pour détecter l’inconnu, resteront silencieuses. C’est le scénario le plus difficile à expliquer aux clients : personne n’a volé la clé du coffre, quelqu’un a parlé avec la voix de la maison. Les parades existent. Sessions courtes, séparation des rôles, délais sur les retraits au-dessus d’un seuil, second canal humain indépendant du prestataire, plafonds qui ne se lèvent pas depuis le même système que celui qui a été audité par l’outil tiers. Aucune n’est glamour. Toutes coûtent moins cher que 387 millions.

Gracy Chen a raison de distinguer clés privées et cold storage d’un côté, ordres de retrait de l’autre. Cette distinction doit devenir un standard de communication, pas une ligne de défense après coup. Publier régulièrement la part des encours en froid, le plafond du chaud, et le nombre de validations humaines au-dessus d’un seuil donnerait au marché un repère. Tant que ces chiffres restent internes, le client compare des slogans. Le trimestre a montré ce que vaut un slogan quand le chemin d’exception s’ouvre.

Confidentialité et vérification, le dilemme de Liquid

Les rangeproofs sont au cœur de la promesse de Liquid. Elles permettent de prouver qu’un montant est dans une plage valide sans le révéler. Le cache de vérification accélère le travail des nœuds : inutile de recalculer une preuve déjà acceptée. Le bug de septembre montre le prix d’un cache trop confiant. Si l’état mémorisé peut être empoisonné, ou si une preuve invalide est servie depuis la mémoire comme si elle avait passé le contrôle, la création monétaire sans contrepartie devient possible. Sur une chaîne où les montants sont cachés, détecter l’anomalie prend plus de temps que sur un grand livre public.

La restitution de 3 400 BTC dès le lendemain a évité le scénario du pire. Environ 600 BTC manquent encore. Pour les utilisateurs de la sidechain, la question ouverte n’est pas seulement le solde. C’est la confiance dans le mécanisme qui devait rendre la triche impossible. Un correctif de cache ne se limite pas à vider la mémoire. Il faut rejouer l’historique, prouver que d’autres émissions indues n’ont pas eu lieu, et expliquer pourquoi les tests n’ont pas couvert ce chemin. Les sidechains adossées au bitcoin vendent de la vitesse et de la confidentialité. Elles ne peuvent pas vendre une vérification au rabais.

Cet incident intéressera aussi les autres systèmes à montants confidentiels. Dès qu’une preuve est mise en cache, le cache devient un oracle interne. Il mérite le même niveau d’audit que la preuve elle-même. Les équipes qui traitent la mise en cache comme un détail de performance hériteront du même classe de bug, à une échelle qui dépendra de leurs encours. Septembre a simplement été le mois où l’exemple a été chiffré.

Rembobiner une chaîne, le précédent Cronos

Le retour arrière des validateurs de Cronos après Tectonic a limité la casse locale. Il a aussi exporté une partie du problème : environ 6 millions étaient déjà partis vers Ethereum, là où aucun rembobinage cronosien n’a d’effet. C’est la limite structurante des forks de secours. Ils protègent ce qui n’a pas encore franchi le pont. Ils ne rappellent pas ce qui a franchi. Un attaquant rationnel sortira donc en priorité vers une chaîne qu’il sait irréversible. Le rembobinage devient une course de vitesse, pas une baguette.

Pour les applications honnêtes prises dans la fenêtre annulée, le préjudice est réel. Un arbitrage exécuté, une liquidation déclenchée, un transfert reçu puis effacé : le grand livre ne s’en souvient plus, les utilisateurs si. Les protocoles qui veulent le filet du rembobinage devraient le dire avant l’incident, avec une règle claire sur le quorum de validateurs et le délai maximal. Le découvrir dans le communiqué du lendemain transforme une propriété technique en décision politique. Les marchés détestent les règles qui s’écrivent pendant la partie.

L’autre leçon, plus terre à terre, concerne les jetons minces. Multiplier un cours par cent en vingt minutes n’est possible que si le carnet est creux. S’en servir comme prix de référence pour un prêt, c’est accepter que le carnet creux devienne le bilan du protocole. Les plafonds de variation, les délais, et l’exigence d’une liquidité minimale ne sont pas des options avancées. Ce sont des conditions d’ouverture. Tectonic en a fait la démonstration chiffrée, que l’on retienne 75 ou 120 millions.

Cinq ans de latence, le cas des graines affaiblies

La fenêtre Coldcard, du 30 juillet au 6 août, puis l’hypothèse d’une quatrième vague chez Galaxy Research, illustrent un risque que les tableaux trimestriels sous-estiment. Une faiblesse de génération d’entropie ne produit pas un titre le jour du firmware. Elle produit un stock d’adresses prévisibles, que quelqu’un peut balayer quand il a les moyens de calcul et la liste des dérivations. 1 778 BTC sur plus de 5 200 adresses, cela fait beaucoup de victimes pour un seul défaut ancien. Si le butin approche 2 417 BTC, la note s’alourdit encore, sans nouvel acte de l’utilisateur.

Le fabricant de hardware vend de la durée. C’est sa promesse : un appareil qui garde une clé des années. Cette durée oblige à une discipline inverse de celle d’une application mobile. Il faut pouvoir patcher, migrer, et parfois jeter une graine. Les utilisateurs qui ont ignoré l’avis de 2021, ou qui n’en ont jamais entendu parler, paient en 2026. La diffusion des avis de sécurité chez les particuliers est un échec de filière autant qu’un échec individuel. Un firmware correctif qui ne déclenche pas une régénération guidée laisse la vieille graine en service. C’est elle qui est attaquable, pas seulement l’ancien binaire.

Cette affaire devrait calmer les slogans trop simples sur la conservation personnelle. Elle reste préférable à un solde dormant sur un hot wallet surdimensionné. Elle n’est pas magique. Elle demande un suivi. Le trimestre a frappé les deux bouts de la chaîne de custody : la plateforme qui garde pour vous, et l’appareil qui vous promet de ne dépendre de personne. Dans les deux cas, le maillon oublié a coûté neuf chiffres.

Pourquoi les assureurs ferment la porte

Une capacité de 130,2 millions pour un secteur qui perd 2,68 milliards en neuf mois n’est pas un marché d’assurance. C’est un marché d’options très chères sur des risques très étroits. La baisse de 20 % en un an dit le sens de la marche. Quand cinq protocoles on-chain sur neuf abandonnent la couverture, l’offre se contracte au moment où la demande théorique explose. Les primes qui restent deviennent inaccessibles, ou bien elles excluent précisément les sinistres que l’année en cours vient d’illustrer.

Le ratio de 0,9 % d’indemnisation entre janvier 2025 et juillet 2026 ne se lit pas comme une mesquinerie isolée. Il se lit comme un désalignement. Les pertes sont brutales, corrélées au prix, souvent liées à une faute opérationnelle ou à un bug que le contrat qualifie d’exclu. L’assuré croit avoir acheté un filet. Il a acheté une option sur un scénario rare, bien documenté, et rarement celui qui se produit. Tant que ce malentendu durera, les bandeaux « fonds assurés » resteront un risque de réputation supérieur à leur bénéfice réel.

Pour les protocoles qui veulent encore offrir une couverture, la voie étroite consiste à couvrir peu, clairement, et vite. Un plafond bas, un délai de versement publié, une liste d’exclusions tenue à jour après chaque grand incident. Mieux vaut une petite police honnête qu’une grande police théorique. Le rapport CoinGecko acte que le secteur n’en est pas là. La capacité baisse. Les fermetures s’accumulent. Le trou entre les pertes et les indemnisations se mesure en milliards.

Ce que les équipes peuvent encore corriger ce trimestre

Aucun correctif ne rattrape septembre. Plusieurs réduiraient octobre. Plafonner les hot wallets au flux réel, et sortir le réapprovisionnement du système qui gère le support. Traiter chaque prestataire de sécurité comme un tiers hostile le jour de l’audit interne. Vider et reconstruire les caches de preuves après chaque mise à jour, avec des tests de désynchronisation. Interdire les collatéraux dont le carnet peut être déplacé en quelques minutes. Forcer la migration des graines quand un firmware ancien a affaibli l’entropie. Aligner les primes de bug sur la valeur verrouillée, puisque les outils d’intelligence artificielle raccourcissent le temps entre publication du code et exploitation.

Côté utilisateur, la liste est plus courte, et elle suffit à changer l’exposition individuelle. Ne laisser sur une plateforme que ce que l’on accepte de perdre le temps d’un gel. Régénérer une graine après un avis matériel, même si l’appareil semble fonctionner. Lire l’exclusion d’assurance avant de s’en remettre à elle. Se méfier des interfaces qui apparaissent juste après un gros titre de piratage : c’est là que le phishing, modeste en volume ce trimestre, retrouve son terrain. Les 6,2 millions de septembre ne font pas la une. Ils font des victimes sans communiqué.

Le marché peut continuer de célébrer un bitcoin en hausse d’environ 40 % sur le trimestre. Il peut même avoir raison sur le prix. Il aurait tort d’en déduire que la tuyauterie a suivi. 1,26 milliard envolés, 869,6 millions encore là après ajustement, une assurance à 130 millions de capacité, un octobre qui démarre à 3,8 millions : la séquence n’est pas close. Elle a seulement changé de mois. Les prochains titres diront si les équipes ont traité les chemins d’exception, ou seulement les communiqués.