Imaginez perdre 1,46 milliard de dollars en quelques heures. C’est exactement ce qui s’est produit le 21 février 2025 lorsque le portefeuille froid Ethereum de Bybit a été vidé. Aujourd’hui, moins de dix-huit mois plus tard, la plateforme annonce avoir intercepté plus de 700 millions de dollars de pertes potentielles pour ses utilisateurs au cours du seul premier semestre 2026. Un retournement de situation qui mérite d’être regardé de près.
Comment Bybit a transformé sa plus grande crise en moteur de sécurité
Le piratage de février 2025 reste le plus important de l’histoire des cryptomonnaies en valeur absolue. Plus de 400 000 ETH et staked Ether ont quitté le cold wallet de l’exchange en un temps record. Les autorités américaines ont rapidement attribué l’attaque au groupe Lazarus, lié à la Corée du Nord. Depuis, Bybit n’a pas seulement compensé les pertes. L’entreprise a reconstruit entièrement son architecture de défense.
Le rapport Risque et Sécurité du premier semestre 2026, couvrant la période du 1er janvier au 15 juin, dresse un bilan précis de ces efforts. Trois couches de protection fonctionnent désormais en parallèle : la surveillance des comptes utilisateurs, le monitoring on-chain en temps réel et l’analyse assistée par intelligence artificielle. Les décisions critiques restent cependant entre les mains d’équipes humaines.
Plus de 30 000 retraits suspects bloqués
Les chiffres parlent d’eux-mêmes. Au cours des six premiers mois de 2026, les systèmes de Bybit ont intercepté plus de 30 000 demandes de retrait jugées suspectes. Ces interventions ont protégé près de 20 000 utilisateurs et évité un volume combiné supérieur à 700 millions de dollars. Il s’agit de pertes potentielles, et non d’actifs déjà confirmés comme ciblés avec succès par des attaquants.
Le délai moyen pour une première analyse de risque s’établit à 4,7 minutes. Dans 95 % des cas, le traitement est achevé en moins de dix minutes. Cette rapidité change la donne. Dans un univers où les fonds peuvent disparaître en quelques clics, chaque minute compte.
Ce que révèlent les chiffres du rapport H1 2026
- Plus de 30 000 retraits suspects interceptés
- Près de 20 000 utilisateurs protégés
- Plus de 700 millions de dollars de pertes potentielles évitées
- Temps moyen de revue initiale : 4,7 minutes
- 95 % des analyses finalisées en moins de 10 minutes
En parallèle, les équipes de sécurité ont identifié environ 212 millions de dollars de fonds potentiellement liés à des fraudes. Plus de 10 000 adresses blockchain malveillantes ont été ajoutées à la liste noire interne. L’analyse comportementale et les modèles d’IA ont permis de repérer des schémas de transactions associés à de nouvelles campagnes de fraude avant qu’elles ne se généralisent.
Une surveillance on-chain devenue totale
Depuis la reconstruction post-hack, Bybit affirme désormais monitorer 100 % de l’activité on-chain jugée pertinente pour son activité. Cela inclut les contrats des tokens listés, les contrats d’écosystème et l’ensemble de ses propres portefeuilles : froids, tièdes et chauds.
Cette couverture étendue a permis d’identifier et de traiter dix incidents de sécurité touchant des projets de tokens présents sur la plateforme. Aucun de ces événements n’a entraîné de pertes pour Bybit. Dans huit cas, les équipes de l’exchange ont réagi avant les autres plateformes majeures. Dans deux situations, le système a même détecté l’attaque avant que le projet concerné ne s’en aperçoive.
La capacité à observer à la fois ce qui se passe à l’intérieur de la plateforme et les transactions se déroulant directement sur les blockchains supportées change la nature de la défense. Un comportement suspect sur un contrat ou un mouvement de wallet peut être examiné même lorsque l’incident débute en dehors de l’infrastructure de Bybit.
La course à la cybersécurité est entrée dans l’ère des minutes.
David Zong, responsable du contrôle des risques et de la sécurité du groupe Bybit
Cette déclaration résume parfaitement le nouveau paradigme. Les attaquants utilisent eux aussi l’automatisation et l’intelligence artificielle pour accélérer la reconnaissance et la découverte de failles. Réduire le temps entre la détection d’une activité suspecte et l’action devient donc un axe stratégique central.
L’intelligence artificielle au cœur des opérations
Plus de 100 000 alertes de sécurité ont fait l’objet d’une analyse assistée par IA au cours du premier semestre. Selon le rapport, les audits de sécurité supportés par l’intelligence artificielle détectent des vulnérabilités de haute sévérité à un rythme trois à cinq fois supérieur à celui des revues manuelles.
L’automatisation a également transformé les cycles de test. Le délai entre une évaluation de sécurité et les tests qui suivent est passé d’environ deux semaines à environ deux heures. La plateforme de red-teaming automatisée a évalué 1 489 actifs exposés publiquement et identifié plus de 100 vulnérabilités de haute sévérité. Le temps moyen entre la découverte d’un actif et le début des tests de pénétration initiaux est désormais inférieur à 24 heures, là où les processus manuels pouvaient nécessiter plusieurs semaines.
Bybit insiste sur un point essentiel : l’IA sert principalement à traiter l’information, à repérer les failles et à accélérer les tests. Les spécialistes humains conservent la responsabilité des décisions complexes. La protection des systèmes d’IA eux-mêmes figure également parmi les priorités, car ces outils deviennent des cibles potentielles.
Le contexte sectoriel : une industrie encore fragile
Le rapport de Bybit s’inscrit dans un paysage plus large. Un document de sécurité publié en juillet 2026 et relayé par plusieurs médias spécialisés indiquait que les clés compromises, les signataires et les infrastructures avaient représenté 88,3 % des quelque 764 millions de dollars volés au deuxième trimestre 2026.
Hacken, qui a suivi 1 427 projets, n’a trouvé de preuves de monitoring tiers que chez 9 % d’entre eux. Seulement 4 % combinaient surveillance, programme de bug bounty actif et audit. L’entreprise a également identifié 14 projets exploités malgré des audits de sécurité antérieurs. Plusieurs attaques ont touché des appareils de signataires, des clés d’administrateur, des systèmes backend, des validateurs de bridge ou d’anciens contrats, plutôt que le code des smart contracts examiné lors des audits classiques.
Ces données montrent que la simple réalisation d’un audit ne suffit plus. La surveillance continue et la capacité de réaction rapide deviennent des éléments différenciants. Bybit a choisi de placer ces capacités au centre de sa reconstruction.
Le dossier Lazarus et l’action judiciaire
Les contrôles techniques s’accompagnent d’efforts de traçage et de récupération des actifs dérobés en 2025. Bybit collabore avec les forces de l’ordre, des sociétés d’intelligence blockchain et d’autres acteurs de l’industrie.
Début août 2026, l’exchange a déposé une plainte civile aux États-Unis contre la Corée du Nord, son agence de renseignement Reconnaissance General Bureau et le groupe Lazarus devant le tribunal fédéral du district de Columbia. L’action porte sur le piratage du 21 février et vise la récupération des actifs liés au vol. Un juge fédéral a émis une injonction préliminaire empêchant certains défendeurs non identifiés de transférer ou de disposer des actifs couverts par l’ordonnance pendant la durée de la procédure.
Bybit précise que ces poursuites civiles sont distinctes des enquêtes pénales américaines sur les activités de piratage nord-coréennes. Le FBI avait déjà attribué l’attaque à des acteurs nord-coréens et demandé aux exchanges, validateurs et entreprises blockchain de bloquer les transactions liées aux adresses utilisées dans l’opération de blanchiment.
Le suivi des fonds volés s’est complexifié avec le temps. En mars 2025, Bybit estimait que 88,87 % des fonds restaient traçables, 7,59 % avaient disparu des radars et 3,54 % avaient été gelés. En avril, le PDG Ben Zhou indiquait que 27,6 % des fonds volés n’étaient plus traçables après conversion en Bitcoin et dispersion via des milliers de portefeuilles, des services cross-chain et des mixeurs.
L’exchange a également mis en place un programme de primes et a bénéficié de gels volontaires de la part d’autres participants de l’industrie. Pour couvrir le déficit d’actifs, Bybit a procédé à des achats d’Ether, à des emprunts et à des dépôts de contreparties tout en maintenant les retraits clients.
La menace Lazarus n’a pas disparu en 2026
Les estimations de mai 2025 montraient que les acteurs nord-coréens avaient volé environ 2,02 milliards de dollars en cryptomonnaies au cours de l’année précédente, le vol Bybit représentant la majeure partie de ce total. Chainalysis estimait que cette activité avait porté le cumul des vols crypto liés à la Corée du Nord à environ 6,75 milliards de dollars.
En 2026, la menace s’est poursuivie. Deux attaques liées à Lazarus contre Drift Protocol et KelpDAO en avril ont drainé un total combiné de 577 millions de dollars, dont 285 millions chez Drift et 292 millions chez KelpDAO. Ces incidents se sont appuyés sur de l’ingénierie sociale, des appareils compromis et des infrastructures de bridge plutôt que sur des exploits classiques de smart contracts.
Cette évolution des méthodes d’attaque explique pourquoi Bybit a renforcé non seulement la surveillance technique, mais aussi les contrôles autour des comptes utilisateurs et des comportements suspects.
Trois couches de défense en action
Le modèle de sécurité décrit dans le rapport s’articule autour de trois piliers complémentaires.
Le premier concerne les comptes utilisateurs. Les systèmes analysent les demandes de retrait en temps réel et interceptent celles qui présentent des signaux d’alerte. Cette couche a permis de bloquer les 30 000 retraits suspects mentionnés plus haut.
Le deuxième pilier est le monitoring on-chain continu. En couvrant l’intégralité de l’activité pertinente, Bybit peut repérer des comportements anormaux sur des contrats listés ou des mouvements de wallets même lorsque l’attaque démarre à l’extérieur de sa plateforme.
Le troisième s’appuie sur l’intelligence artificielle pour traiter le volume massif d’alertes, accélérer les audits et réduire les délais de test. L’humain reste toutefois le décideur final sur les questions critiques.
Les trois piliers de la sécurité Bybit post-2025
- Contrôles des comptes et interception des retraits suspects
- Surveillance on-chain à 100 % de l’activité pertinente
- Analyse assistée par IA avec décision humaine finale
Ce que change réellement cette reconstruction
Avant le piratage de 2025, de nombreux exchanges misaient principalement sur des audits ponctuels et des contrôles internes. L’attaque contre Bybit a démontré que même un cold wallet pouvait être compromis si le processus de signature ou de transfert présentait une faiblesse.
La réponse de l’exchange a consisté à passer d’une logique de protection périodique à une logique de surveillance permanente et de réaction ultra-rapide. Les délais de traitement des alertes, passés de plusieurs jours ou semaines à quelques minutes ou heures, illustrent ce changement de tempo.
Cette approche n’est pas sans coût. Maintenir une couverture on-chain complète, faire tourner des modèles d’IA sur plus de 100 000 alertes et conserver des équipes de spécialistes disponibles 24 heures sur 24 représente un investissement important. Bybit semble toutefois considérer que cet investissement est indispensable pour restaurer et maintenir la confiance des utilisateurs.
Les leçons pour le reste de l’industrie
Le rapport Bybit arrive à un moment où le secteur crypto continue de subir des pertes importantes liées à des clés compromises et à des failles d’infrastructure. Les chiffres de Hacken montrent que très peu de projets disposent encore d’une surveillance tierce active combinée à un bug bounty et à un audit.
L’expérience de Bybit suggère qu’un audit unique, aussi rigoureux soit-il, ne suffit plus. Les attaquants ciblent de plus en plus les périphériques, les processus humains et les systèmes annexes. Une défense efficace doit donc inclure une observation continue de l’activité on-chain et une capacité de réaction mesurée en minutes plutôt qu’en jours.
L’utilisation de l’IA pour accélérer la détection et les tests apparaît également comme une tendance de fond. Les attaquants l’utilisent déjà. Les défenseurs qui n’adoptent pas ces outils risquent de se retrouver structurellement en retard.
Un bilan encore provisoire
Le rapport H1 2026 de Bybit dresse un tableau encourageant en termes de capacité de blocage et de vitesse de réaction. Plus de 700 millions de dollars de pertes potentielles évitées, 30 000 retraits suspects interceptés et une couverture on-chain complète constituent des résultats concrets.
Cependant, le dossier judiciaire contre la Corée du Nord et le groupe Lazarus reste ouvert. Aucun jugement final n’a encore été rendu. Le traçage des fonds volés en 2025 a montré ses limites face à la dispersion via Bitcoin, mixeurs et services cross-chain. La menace Lazarus, elle, n’a pas disparu, comme l’ont rappelé les attaques de 2026 contre Drift et KelpDAO.
Bybit a transformé une crise existentielle en catalyseur de modernisation de sa sécurité. Le reste de l’industrie observe. Dans un secteur où la confiance reste fragile, la capacité à prouver que l’on peut bloquer des centaines de millions de dollars de pertes potentielles en six mois pourrait devenir un argument commercial aussi important que les frais de trading ou le nombre de paires listées.
Les prochains mois diront si cette reconstruction tient dans la durée et si d’autres plateformes suivront le même chemin. Pour l’instant, Bybit a montré qu’après avoir encaissé le coup le plus dur de l’histoire crypto, il était possible de revenir avec des défenses nettement plus robustes.
La course à la cybersécurité s’accélère. Ceux qui ne passent pas à l’ère des minutes risquent de le payer cher. Bybit, de son côté, a choisi de ne plus se laisser surprendre.
