Les plateformes crypto ont perdu environ 1,18 milliard de dollars dans des piratages entre juillet et septembre 2026, en 107 incidents, selon le rapport trimestriel de Hacken du 15 octobre relayé par Cointelegraph. Le 24 septembre, la plateforme Bitget a perdu environ 388 millions de dollars dans ses portefeuilles chauds et tièdes répartis sur 11 blockchains. Le voleur n’a jamais eu besoin de casser l’une de ces chaînes : les retraits ont été fabriqués à l’intérieur des systèmes de Bitget, et les réseaux les ont simplement enregistrés comme des transactions valides.
C’est la réponse courte à la question la blockchain peut-elle être piratée. Les règles de base de Bitcoin et d’Ethereum n’ont jamais été brisées par un attaquant. Des bugs y ont été trouvés puis corrigés, de petites blockchains ont été prises en main lors d’« attaques des 51 % », et des milliards de dollars sont volés chaque année sur des plateformes d’échange, des ponts, des contrats intelligents et chez ceux qui détiennent les clés. La chaîne casse rarement. Ce sont les portes construites autour d’elle qui cèdent.
Pour lire n’importe quel titre sur un piratage, demandez-vous quelle couche a été touchée. Quand vous savez classer un incident dans l’une des cinq couches ci-dessous, vous savez s’pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">il dit quelque chose de la blockchain elle-même, et s’il dit quelque chose de l’endroit où se trouvent vos propres cryptos. Pour les arnaques qui vous visent personnellement, la leçon précédente de ce parcours, notre guide pour éviter les arnaques crypto, détaille les signaux d’alerte et les endroits où signaler.
La blockchain peut-elle être piratée ? Cinq couches, cinq réponses
Une blockchain comme Bitcoin est un registre partagé que des milliers d’ordinateurs tiennent à jour ensemble. Chaque bloc pointe vers le précédent grâce à un hachage : modifier une ancienne transaction changerait tous les blocs suivants, comme l’explique notre leçon sur le fonctionnement d’une blockchain. La propriété d’une cryptomonnaie se prouve par une signature numérique produite avec une clé privée. Briser cette couche reviendrait à falsifier des signatures ou à réécrire l’histoire contre la volonté du réseau.
Ce que l’actualité appelle un « piratage de blockchain » se passe presque toujours ailleurs. Les applications de portefeuille, les plateformes d’échange, les protocoles de prêt et les ponts sont des programmes et des entreprises posés sur la chaîne ou à côté. Ils détiennent des clés, exécutent du code, et des humains valident ce qu’un écran leur montre. Chacun peut tomber en panne sans que la chaîne tombe.
| Couche | Ce qui peut mal tourner | Un exemple réel |
|---|---|---|
| 1. Protocole et consensus | Quelqu’un réunit assez de puissance de minage ou de mise pour réorganiser les blocs récents | Ethereum Classic, juillet et août 2020 : 807 260 ETC dépensés deux fois (Bitquery) |
| 2. Logiciel des nœuds | Un bug dans le code qui vérifie les blocs laisse passer une transaction invalide | Bitcoin, 15 août 2010 : une transaction a créé plus de 184 milliards de BTC |
| 3. Contrats intelligents et ponts | Une faille dans la logique du contrat, ou le vol des clés de ceux qui font tourner un pont | The DAO, 2016 : plus de 3,6 millions d’ETH siphonnés (ethereum.org) |
| 4. Plateformes d’échange et logiciels de portefeuille | Des attaquants atteignent les systèmes qui détiennent les clés ou signent avec elles | Bybit, 21 février 2025 : environ 1,5 milliard de dollars (FBI) |
| 5. Les personnes | Une victime saisit sa phrase de récupération sur un faux site ou signe une transaction malveillante | Utilisateurs de l’application Ngrave, 17 octobre 2026 : au moins 2,56 millions de dollars depuis environ 70 portefeuilles |
Pourquoi réécrire une grande blockchain coûte si cher
Sur une chaîne en preuve de travail, l’historique qui compte est celui qui représente le plus de calcul. Pour modifier un bloc passé, un attaquant devrait refaire le travail de ce bloc et de tous ceux minés depuis, puis dépasser les mineurs honnêtes qui continuent d’en ajouter. Le livre blanc de Satoshi Nakamoto, en 2008, fonde sa sécurité sur cette course. Il suppose que les nœuds honnêtes contrôlent la majorité de la puissance de calcul, et soutient qu’un attaquant qui la réunirait préférerait l’employer à gagner de nouvelles pièces : en substance, il lui serait plus rentable de « play by the rules » (jouer selon les règles, en anglais dans le texte).
Ethereum fonctionne en preuve d’enjeu depuis 2022, et la défense est différente. Les validateurs immobilisent des ethers pour participer. Selon la page d’ethereum.org sur les attaques et les défenses (en anglais), un groupe détenant plus d’un tiers de tous les ethers mis en jeu pourrait empêcher la chaîne de finaliser ses blocs, et il en faudrait bien davantage pour réécrire un historique finalisé. Un validateur pris en train de tricher perd une partie de sa mise, et, en dernier recours, la communauté peut se coordonner hors du protocole pour suivre une fourche honnête, laissant derrière elle la chaîne de l’attaquant et sa mise.
Aucune des deux conceptions ne rend l’attaque impossible. Elles la rendent chère et, sur un grand réseau, susceptible de détruire la valeur que l’attaquant voulait voler. Même une attaque majoritaire réussie a des limites : elle ne peut pas produire une signature valide sans la clé privée, donc elle ne peut pas déplacer les pièces des autres. Elle peut annuler les propres paiements récents de l’attaquant, ce qu’on appelle une double dépense, et refuser d’inclure les transactions d’autrui.
Bitcoin piraté : les deux vraies frayeurs de 2010 et de 2018
Ceux qui se demandent si Bitcoin a déjà été piraté pensent en général à l’un de deux événements. Aucun n’était une rupture de la cryptographie. Tous deux étaient des bugs dans le programme qui vérifie les blocs, et tous deux ont été corrigés avant de faire des dégâts durables.
Août 2010 : 184 milliards de bitcoins pour trois adresses
Le 15 août 2010, le bloc 74638 contenait une transaction qui créait 184 467 440 737,09551616 bitcoins pour trois adresses, d’après le récit du Bitcoin Wiki sur l’incident de dépassement de valeur (en anglais). Deux d’entre elles recevaient environ 92,2 milliards de BTC chacune. L’offre totale ne devait jamais dépasser 21 millions.
La cause était arithmétique. Chaque sortie était un nombre si grand que, lorsque le logiciel additionnait les sorties pour vérifier qu’elles ne dépassaient pas l’entrée, la somme « faisait le tour » au-delà de la plus grande valeur que le programme pouvait stocker et ressortait négative. Le contrôle passait. Les développeurs du forum Bitcointalk ont repéré ce bloc étrange le jour même, et le wiki indique qu’une nouvelle version du client était disponible dans les cinq heures suivant la découverte.
Satoshi a publié le correctif sous la version 0.3.10, avec la marche à suivre : arrêter son logiciel, remplacer les fichiers de blocs par une copie saine antérieure au mauvais bloc, mettre à jour, puis laisser le logiciel télécharger le reste. Le logiciel corrigé rejetait toute transaction dont les sorties débordaient ou dépassaient 21 millions de BTC. La chaîne s’est alors scindée pendant environ une journée : les nœuds non mis à jour continuaient de construire sur le mauvais bloc, ceux qui avaient migré bâtissaient une nouvelle branche sans lui. La branche honnête a dépassé l’autre au bloc 74691 le 16 août, précise le wiki, et dès lors tous les nœuds l’ont tenue pour la vraie histoire. Les 184 milliards de pièces n’ont jamais existé sur la chaîne que Bitcoin utilise aujourd’hui.
Septembre 2018 : le bug des entrées en double, CVE-2018-17144
Huit ans plus tard, une faille des versions 0.14.0 à 0.16.2 de Bitcoin Core aurait pu permettre à un mineur de créer un bloc dans lequel une transaction dépensait deux fois les mêmes pièces. La version 0.14 plantait simplement devant un tel bloc, ce qui constitue un déni de service. Dans les versions 0.15 et 0.16, sous certaines conditions, le bloc aurait été accepté et les pièces comptées deux fois, c’est-à-dire une inflation.
La divulgation de Bitcoin Core du 20 septembre 2018 (en anglais) donne la chronologie. Le bug a été signalé le 17 septembre comme un simple plantage. Le même jour, le développeur Matt Corallo a compris qu’il s’agissait aussi d’un bug d’inflation. Une version corrigée, la 0.16.3, est sortie le 18 septembre avec des notes ne décrivant que le risque de plantage, pour laisser aux opérateurs le temps de se mettre à jour avant que la moitié la plus grave ne devienne publique. À la divulgation complète, deux jours plus tard, les développeurs estimaient que plus de la moitié de la puissance de calcul de Bitcoin tournait sous un logiciel corrigé, et ils écrivaient : « We are unaware of any attempts to exploit this vulnerability » (nous n’avons connaissance d’aucune tentative d’exploiter cette faille).
Ce que les deux bugs ont en commun
Dans les deux cas, les signatures et les hachages ont fait exactement ce qu’on attendait d’eux. Le point faible était du code ordinaire qui compte des montants, repéré par des gens qui lisent les blocs et le code source, puis refermé par une mise à jour que les opérateurs de nœuds ont choisi d’installer. Le schéma se répète. Le 9 octobre 2026, le XRP Ledger a révélé un bug de dépassement d’entier présent dans son moteur de paiement depuis 2015, corrigé le 25 septembre sans trace d’exploitation. Le 14 octobre, la cryptomonnaie confidentielle Pirate Chain a découvert un défaut de validation qui avait permis de créer environ 39,8 millions d’ARRR, soit près d’un cinquième de son offre.
Attaque des 51 % : le sort des petites blockchains
L’attaque des 51 % est la version brutale de la rupture de la couche un : louer ou construire plus de puissance de minage que tout le reste du réseau réuni, miner en secret une chaîne privée, puis la publier pour qu’elle remplace la chaîne publique. Les pièces que l’attaquant avait envoyées à une plateforme, puis échangées ou retirées, reviennent à sa propre adresse sur la nouvelle histoire. La plateforme se retrouve avec un dépôt qui n’existe plus.
Bitcoin Gold, une scission de Bitcoin née en 2017 et protégée par bien moins de puissance de minage, a subi ce scénario en mai 2018. L’attaquant visait les plateformes, pas les particuliers, et plus de 388 000 BTG ont transité par l’adresse à laquelle les fonds volés ont été rattachés, pour une valeur supérieure à 18 millions de dollars à l’époque, a rapporté BleepingComputer le 24 mai 2018 (en anglais). « The cost of mounting an ongoing attack is high » (le coût d’une attaque prolongée est élevé), a déclaré l’équipe de Bitcoin Gold, ce qui explique que l’attaquant ait visé de gros dépôts rapides.
Ethereum Classic, la chaîne qui a gardé l’historique d’Ethereum d’origine après la scission de 2016, a été touchée au moins deux fois en août 2020. Lors de la première attaque, l’analyse de Bitquery (en anglais) établit que l’attaquant a acheté de la puissance de calcul sur la place de location NiceHash pour environ 17,5 BTC (quelque 192 000 dollars), miné en privé à partir de 16 h 36 UTC le 31 juillet et dépensé deux fois 807 260 ETC, soit environ 5,6 millions de dollars. Quelques jours plus tard, une seconde attaque : The Block a rapporté le 6 août 2020 (en anglais) une réorganisation de plus de 4 000 blocs au bloc 10 935 622, après laquelle Binance et Bitfly, la société derrière le pool Ethermine, ont suspendu dépôts, retraits et paiements en ETC.
L’arithmétique explique pourquoi cela arrive aux petites chaînes et non aux grandes. Quelques centaines de milliers de dollars de puissance louée peuvent suffire à submerger un réseau où les mineurs sont peu nombreux. Sur Bitcoin, il faudrait devancer toute une industrie de machines conçues pour cette seule tâche ; sur Ethereum, acheter et immobiliser une grande part de tous les ethers mis en jeu, lesquels peuvent ensuite être détruits. Sur les petites chaînes, les plateformes se protègent en attendant davantage de confirmations avant de créditer un dépôt.
Piratage crypto : où se produisent vraiment les vols, entre contrats, ponts, plateformes et portefeuilles
Les couches trois et quatre concentrent les grosses sommes. La blockchain y enregistre fidèlement le vol, car de son point de vue chaque transaction était correctement signée.
Contrats intelligents et code DeFi
Un contrat intelligent est un programme stocké sur la chaîne qui détient et déplace des fonds de lui-même. Si sa logique comporte un trou, n’importe qui peut l’appeler d’une façon que ses auteurs n’avaient pas prévue, et la chaîne exécutera le résultat. Le premier cas célèbre est The DAO sur Ethereum en 2016 : un contrat mal sécurisé a été vidé de plus de 3,6 millions d’ETH, selon la page d’histoire d’ethereum.org (en anglais). C’est la seule fois où Ethereum a modifié sa propre histoire pour annuler un vol. Une fourche le 20 juillet 2016, au bloc 1 920 000, a déplacé les fonds vers un contrat de récupération, et ceux qui ont refusé la fourche ont continué la chaîne d’origine sous le nom d’Ethereum Classic.
Les bugs de code figurent parmi les incidents les plus fréquents, mais rarement parmi les plus coûteux. CertiK a recensé 204 incidents liés à des vulnérabilités de code au premier semestre 2026, plus que dans toute autre catégorie, pour 151,6 millions de dollars de pertes, une petite part du total du semestre. Un exemple récent sur Coindaro : NEAR Intents, un système d’échange entre chaînes, a perdu environ 3,8 millions de dollars entre le 29 septembre et le 1er octobre 2026 à cause d’une faille de son propre contrat, et les a tous récupérés le 2 octobre.
Ponts entre blockchains
Un pont verrouille des pièces sur une chaîne et émet des jetons équivalents sur une autre. Le pot verrouillé peut être énorme, et il est souvent gardé par un petit groupe de clés. Le 23 mars 2022, le groupe nord-coréen Lazarus a dérobé près de 620 millions de dollars à un projet blockchain lié au jeu Axie Infinity, a déclaré le Trésor américain le 6 mai 2022 (en anglais) en sanctionnant un mélangeur utilisé pour blanchir une partie de l’argent. La cible était le pont Ronin. Le Trésor y voyait le plus gros vol de monnaie virtuelle à ce jour. Quel que soit le point d’entrée, l’argent est parti par le pont, et non par une faille d’Ethereum, où se trouvaient les ethers volés.
Plateformes d’échange et dépositaires
Une plateforme d’échange centralisée conserve les cryptos de ses clients dans des portefeuilles qu’elle contrôle. Si l’on s’introduit dans ses systèmes, on peut déplacer ces pièces avec des signatures valides. Mt. Gox, plateforme de bitcoin tokyoïte, a demandé la protection de la justice en février 2014 après la perte déclarée d’environ 850 000 BTC à la suite de piratages et de vols. Son administrateur a de nouveau repoussé l’échéance de remboursement dans un avis daté du 16 octobre 2026, au 31 octobre 2027.
Le vol de Bitget du 24 septembre 2026 montre comment cette couche cède aujourd’hui. Bitget affirme que ses clés privées n’ont pas été compromises et que son stockage à froid est resté intact. L’attaquant a exploité une faille inconnue d’un produit de sécurité tiers pour atteindre des systèmes internes, récupéré des identifiants à hauts privilèges et injecté de fausses commandes de retrait dans le système de portefeuilles, où elles ont franchi les contrôles de risque comme des retraits ordinaires. Bitget a indemnisé ses clients avec son fonds de protection et rétabli tous les retraits le 2 octobre.
Logiciels de portefeuille, appareils et écrans de signature
Votre application de portefeuille est un logiciel, et un logiciel peut être empoisonné. Le 21 octobre 2026, la Polkadot Community Foundation a alerté sur quatre versions de l’extension de navigateur Fearless Wallet, utilisées depuis février 2025, qui contenaient du code envoyant les clés privées des utilisateurs vers le serveur d’un attaquant. Les portefeuilles matériels sortent les clés de l’ordinateur, mais ils dépendent encore d’applications compagnons, de mises à jour et de l’écran sur lequel vous validez une transaction. Le plus gros vol de cryptos jamais enregistré, tel que le décrit NCC Group, est passé exactement par un écran de ce genre.
Le piratage de Bybit : Ethereum a fonctionné, l’écran de signature non
Le 21 février 2025 environ, Bybit a perdu quelque 1,5 milliard de dollars d’actifs virtuels. Le FBI a déclaré le 26 février 2025 (en anglais) que la Corée du Nord en était responsable, et il désigne ce groupe d’acteurs sous le nom de TraderTraitor. Les observatoires donnent des totaux légèrement différents selon la valorisation des jetons, d’environ 1,45 milliard de dollars chez CertiK à 1,5 milliard chez Chainalysis.
Le mécanisme, tel que reconstitué par NCC Group en mars 2025 (en anglais), est le suivant. Bybit gardait une grosse réserve, dont 401 347 ETH, dans un portefeuille froid où chaque transaction devait être approuvée par plusieurs employés via Safe{Wallet}, un service de multisignature. Les attaquants avaient modifié le JavaScript de l’interface web de Safe{Wallet}. Quand les signataires de Bybit sont venus approuver ce qui ressemblait à un transfert de routine du portefeuille froid vers le portefeuille chaud, le code a glissé en coulisses une autre transaction. Celle-ci a remis le contrôle du contrat du portefeuille à du code écrit par les attaquants, qui l’ont vidé.
Chaque signature était valide. Ethereum les a vérifiées, a inclus la transaction dans un bloc et a continué à produire des blocs comme d’habitude. Rien dans le protocole n’était cassé. Ce qui a failli, c’est la chaîne de confiance entre une page web et des personnes qui approuvaient un paiement qu’elles ne pouvaient pas lire en entier, une pratique appelée signature à l’aveugle.
L’argent a ensuite suivi le schéma de blanchiment que Chainalysis décrit pour les vols nord-coréens : échanges contre d’autres actifs, ponts vers d’autres chaînes, mélangeurs, sur un cycle d’environ 45 jours. Le FBI a demandé aux plateformes, aux ponts et aux opérateurs de nœuds de bloquer les transactions liées aux adresses qu’il a publiées.
Hameçonnage, phrases de récupération volées et violence physique
Pour un détenteur ordinaire, l’attaquant le plus probable n’est pas une unité de piratage d’État qui vise une plateforme. C’est quelqu’un qui cherche à vous faire livrer votre phrase de récupération, ou à vous faire signer une transaction que vous ne devriez pas signer.
Chainalysis a compté 158 000 vols sur des portefeuilles personnels en 2025, touchant au moins 80 000 victimes, pour environ 713 millions de dollars selon son estimation basse. En valeur, les portefeuilles personnels représentaient 44 % de toutes les cryptos volées en 2024 et environ 20 % en 2025, une part qui, selon Chainalysis, aurait été de 37 % sans le seul vol de Bybit. CertiK, qui emploie d’autres catégories, a trouvé que l’hameçonnage était l’attaque la plus fréquente en 2025, avec 248 incidents et 722,9 millions de dollars perdus.
Deux incidents des deux dernières semaines illustrent les chemins empruntés. Les 17 et 18 octobre 2026, un attaquant a vidé 1 404 portefeuilles Qubic en moins de deux heures, parce que le logiciel qui avait créé leurs phrases de récupération les avait rendues devinables. Le même week-end, une fausse alerte de sécurité diffusée via l’application LIQUID du fabricant de portefeuilles matériels Ngrave a envoyé des utilisateurs vers une copie de son site, où ceux qui ont saisi leur phrase de récupération ont perdu au moins 2,56 millions de dollars depuis environ 70 adresses. Ngrave affirme que ni le code de son application ni ses appareils n’ont été compromis.
La règle qui protège contre le second cas est simple et absolue : une phrase de récupération ne se saisit que dans le portefeuille qui l’a créée, ou dans un appareil que vous restaurez, jamais sur un site web ni dans un chat de support. Notre guide sur la sécurité de la phrase de récupération explique comment la conserver, et la leçon sur les clés privées et publiques montre pourquoi celui qui détient la phrase possède les pièces.
Reste l’attaque qu’aucun logiciel n’arrête. Chainalysis a estimé le 6 août 2026 (en anglais) que plus de 30 millions de dollars avaient été pris lors d’« attaques à la clé à molette » (wrench attacks), des agressions violentes contre des détenteurs de cryptos, au premier semestre 2026, après un record de 58 millions en 2025. La France avait recensé 30 incidents publiquement connus à la mi-année, le plus grand nombre de tous les pays, une flambée que Chainalysis attribue le plus probablement à une fuite de données : en 2024, un agent du fisc français aurait volé et revendu des fichiers sur des détenteurs fortunés de cryptos, avec leurs adresses.
Pour un lecteur en France, la conséquence est concrète : ne pas afficher son patrimoine crypto, ne pas communiquer son adresse postale à des services qui n’en ont pas besoin, et garder en tête que l’AMF, l’Autorité des marchés financiers, ne propose aucune procédure de récupération de fonds dérobés. Dans un avis du 3 février 2025, elle prévient que des personnes se font passer pour ses collaborateurs auprès de victimes d’arnaques aux crypto-actifs en promettant de les aider à retrouver leur argent, et rappelle qu’elle « ne contacte jamais de sa propre initiative les épargnants par téléphone ou messagerie privée ». Une victime qui reçoit un tel appel a affaire à une seconde arnaque.
Les chiffres des piratages crypto par année, et pourquoi les observatoires divergent
Plusieurs sociétés publient des totaux de vols. Ils concordent rarement, car chacune trace la frontière à sa façon : certaines ne comptent que les piratages de plateformes, d’autres ajoutent l’hameçonnage de particuliers ; certaines arrêtent le décompte début décembre ; les jetons volés sont valorisés à des dates différentes ; les fonds gelés ou restitués sont déduits par les unes et pas par les autres. Les montants ci-dessous sont en dollars, tels que publiés.
| Observatoire (publication) | Période | Volé | Détail |
|---|---|---|---|
| Chainalysis (19 déc. 2024) | 2024 | 2,2 milliards de dollars | 303 incidents ; Corée du Nord environ 1,34 milliard (61 %) ; compromissions de clés privées : 43,8 % de la valeur |
| CertiK Hack3d (rapport 2025) | 2024 | 2,45 milliards de dollars | Base de comparaison donnée dans le rapport 2025 de CertiK |
| Chainalysis (18 déc. 2025) | Janvier à début décembre 2025 | plus de 3,4 milliards de dollars | Bybit 1,5 milliard ; Corée du Nord au moins 2,02 milliards, un record |
| CertiK Hack3d (rapport 2025) | 2025 | 3,35 milliards de dollars | Chaîne d’approvisionnement 1,45 milliard en 2 incidents ; hameçonnage 722,9 millions en 248 |
| Immunefi (rapport du 1er trimestre 2025) | Janvier à mars 2025 | 1,64 milliard de dollars | 40 incidents, tous des piratages ; 348 millions au 1er trimestre 2024 |
| CertiK Hack3d (6 juil. 2026) | Janvier à juin 2026 | 1,32 milliard de dollars | 344 incidents ; environ 1,2 milliard après déduction des fonds gelés ou restitués |
| Hacken, via Cointelegraph (15 oct. 2026) | Juillet à septembre 2026 | environ 1,18 milliard de dollars | 107 incidents ; pire trimestre depuis le 1er trimestre 2025 |
Un seul vol peut faire une année : Bybit représente à lui seul plus de quatre dixièmes de 2025, dans les décomptes de Chainalysis comme dans ceux de CertiK. Et les plus grosses pertes continuent de venir d’attaques contre les clés et les processus de signature, pas contre les chaînes. Au premier semestre 2026, CertiK place en tête les compromissions de portefeuilles avec 444,5 millions de dollars en 33 incidents, puis l’hameçonnage avec 366,3 millions en 63. Ses deux plus gros cas, la compromission de Kelp DAO (environ 291 millions) et la brèche du protocole Drift (environ 285 millions), tous deux en avril, ont fait près de 44 % du semestre. Notre article sur les chiffres du troisième trimestre compare ligne à ligne Hacken, CertiK et DefiLlama.
Gardez la fraude à part de ces chiffres. Les arnaques à l’investissement, les fausses plateformes et les escroqueries sentimentales sont comptées séparément par les forces de l’ordre et pèsent encore plus lourd ; elles relèvent du guide sur les arnaques plutôt que de cette leçon.
Ce que cela change pour l’endroit où vous gardez vos cryptos
Alors, la blockchain peut-elle être piratée ? À la couche de base d’un grand réseau, rarement, et la question utile devient : à quelles autres couches est-ce que je fais confiance ? La réponse dépend de l’endroit où se trouvent vos pièces. Ce n’est pas une recommandation de conserver ou de vendre quoi que ce soit, seulement une carte des risques.
- Sur une plateforme, vos pièces dépendent de la sécurité et des finances de cette plateforme. Si elle est piratée ou fait faillite, ce que vous récupérez dépend de ses réserves, de son assurance ou de son fonds de protection, et des tribunaux.
- En autogarde, vos pièces dépendent du logiciel du portefeuille, de l’appareil qui l’exécute et de votre discipline à garder la phrase de récupération secrète. Notre guide des portefeuilles crypto compare les options.
- Un portefeuille matériel garde la clé privée hors de votre ordinateur et de votre téléphone, ce qui ferme les attaques logicielles les plus courantes ; notre guide pas à pas du portefeuille matériel montre comment en installer un.
- Déposées dans un protocole DeFi ou envoyées à travers un pont ajoutent le risque de ce code et de ceux qui contrôlent ses clés d’administration.
- Quel que soit le portefeuille, lisez ce que vous signez. Si l’appareil ou l’application ne vous montre pas clairement où vont les fonds, considérez la demande comme suspecte.
Les autorités vont dans le même sens. Dans un bulletin aux investisseurs du 12 décembre 2025, l’Office of Investor Education and Assistance de la SEC américaine prévient qu’avec un dépositaire tiers, « if the third-party custodian is hacked, shuts down, or goes bankrupt, you may lose access to your crypto assets » (si le dépositaire tiers est piraté, ferme ou fait faillite, vous pouvez perdre l’accès à vos crypto-actifs). Au Royaume-Uni, la page « Crypto, the basics » de la FCA, mise à jour le 29 janvier 2026 (en anglais), range les cyberattaques parmi les raisons pour lesquelles des investisseurs peuvent tout perdre.
En France, un premier réflexe de prudence consiste à vérifier qu’une plateforme figure parmi les prestataires autorisés avant d’y déposer quoi que ce soit : notre guide du règlement MiCA explique ce que l’agrément change, et ce qu’il ne garantit pas, puisque même une plateforme régulée peut être piratée. Le traitement fiscal d’une perte due à un vol fera l’objet d’une leçon ultérieure sur la fiscalité des cryptos ; nous n’affirmons ici aucune règle de déduction.
Les plus grands piratages de l’histoire crypto, de Mt. Gox à Bybit, seront lus cas par cas dans la prochaine leçon de ce parcours.
