Ouvrez le site d’Uniswap, cliquez sur « Connect wallet », validez la fenêtre qui s’affiche dans MetaMask et échangez un peu d’ether contre un stablecoin. La page que vous avez utilisée tourne sur des serveurs payés par une entreprise, Uniswap Labs. L’échange, lui, s’est exécuté dans du code posé sur Ethereum, qu’aucune société ne peut modifier ni éteindre. Mettez les deux moitiés ensemble et vous obtenez une dApp, abréviation d’application décentralisée.
Alors, dApp : définition ? En une phrase, c’est une application d’apparence ordinaire dont les règles vivent dans des smart contracts sur une blockchain publique, et non dans la base de données d’une entreprise. La documentation pour développeurs d’ethereum.org (en anglais) la décrit comme une application bâtie sur un réseau décentralisé, qui associe un smart contract à une interface utilisateur. Vous voyez un site ou une appli mobile ; la partie qui détient et déplace l’argent est du code sur la chaîne, et votre portefeuille signe chaque action.
Plusieurs épisodes cités plus bas, du piratage de Ronin aux sanctions contre Tornado Cash, figuraient déjà dans notre chronologie de l’histoire de la crypto. Ici, ils servent un autre but : montrer quelle partie d’une dApp a tenu et laquelle a cédé. Les chiffres de marché viennent de DefiLlama et datent du 22 octobre 2026. Rien de tout cela n’est un conseil en investissement.
Qu’est-ce qu’une dApp : une interface qui parle à des smart contracts
Toute dApp a deux moitiés, construites, hébergées et contrôlées de façons très différentes.
Le back end est un ensemble de smart contracts : des programmes déployés sur une blockchain comme Ethereum, Solana, BNB Chain ou Base. La documentation d’ethereum.org place ce back end sur un réseau pair à pair décentralisé plutôt que sur le serveur d’une entreprise. Une fois déployé, le contrat s’exécute exactement comme pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il a été écrit, sur des milliers d’ordinateurs à la fois, et chacun peut lire son code et appeler ses fonctions. Pour revoir comment cela fonctionne sur la chaîne qui héberge le plus de dApps, notre guide sur ce qu’est Ethereum et comment il exécute des smart contracts fait le point.
Le front end, c’est tout le reste : les boutons, les graphiques, la barre de recherche, l’aperçu du prix avant un échange. Selon ethereum.org, il peut être écrit dans n’importe quel langage, comme une application classique, et son rôle est d’appeler le back end. Dans la pratique, c’est un site web construit avec des outils standards, hébergé sur des serveurs ordinaires ou chez un fournisseur de cloud, sous un nom de domaine ordinaire.
Entre les deux se trouve votre portefeuille. Le site prépare une transaction, le portefeuille vous la montre, et seule votre signature l’envoie sur la chaîne. L’entreprise qui édite le site ne détient jamais vos fonds. C’est la vraie différence avec une application bancaire.
Dans l’appli de votre banque, votre solde est une ligne dans la base de données de l’établissement. Il peut geler ce solde, annuler un paiement ou clôturer le compte, et un juge peut le lui ordonner. Dans une dApp, votre solde est rattaché à votre propre adresse sur la blockchain, et les règles pour le déplacer sont un code public. Aucun service client ne peut annuler un échange. Aucune société ne peut changer discrètement les frais inscrits dans le contrat, sauf si le contrat a été écrit pour le permettre.
Reprenons l’exemple d’Uniswap, pas à pas. Le site app.uniswap.org lit les prix dans les pools d’Uniswap sur la chaîne et vous affiche une cotation. Quand vous confirmez, votre portefeuille signe une transaction adressée au contrat « routeur » d’Uniswap. Les validateurs d’Ethereum l’incluent dans un bloc, le contrat prend votre ether et vous envoie l’autre jeton, et le résultat est public dans un explorateur de blocs. Uniswap Labs, l’entreprise, a écrit le site et une bonne partie du code, mais son propre billet du 19 avril 2022 (en anglais) fait la distinction entre son application, qu’elle contrôle, et le protocole, que d’autres peuvent atteindre par n’importe quelle interface.
En français comme en anglais, on trouve « dApp », « dapp » ou « application décentralisée » ; sur le moteur de recherche, ajoutez toujours « crypto » ou « blockchain », sans quoi vous tomberez sur des diagnostics d’amiante. Le modèle décrit ci-dessus, site plus contrats plus portefeuille, est celui que rencontre presque tout utilisateur de crypto aujourd’hui.
Application décentralisée : un spectre, du contrat au nom de domaine
Une dApp est rarement décentralisée de bout en bout. Pour la juger, mieux vaut examiner quatre couches séparément.
- Les contrats sur la chaîne forment la partie la plus décentralisée, à condition que personne ne détienne une clé capable de les mettre à jour ou de les suspendre. Beaucoup de projets conservent une telle clé d’administration, au moins au début, ou emploient des contrats « proxy » dont la logique peut être remplacée.
- Les données dont dépendent les contrats peuvent venir de l’extérieur. Les prix, par exemple, arrivent généralement par un oracle, un autre service auquel il faut faire confiance.
- Le front end, son hébergement et son nom de domaine sont gérés par une société ou une petite équipe. Ils peuvent être modifiés, bloqués, piratés ou fermés comme n’importe quel site.
- Votre portefeuille est la dernière couche. C’est un logiciel sur votre téléphone ou votre ordinateur, et le seul endroit où une erreur de votre part se transforme directement en perte de fonds.
Ethereum.org range la même tension parmi les inconvénients des dApps : la centralisation revient par la porte de derrière quand des clés sont stockées sur un serveur ou quand les interfaces sont servies depuis des machines centrales. Dans la plupart des défaillances décrites plus bas, le code du contrat est resté en marche pendant que l’une des trois couches extérieures lâchait.
Les dApps de la DeFi concentrent l’argent : 90,8 milliards de dollars bloqués au 22 octobre 2026
La finance décentralisée est la famille de dApps qui compte le plus d’utilisateurs et le plus d’argent. Elle regroupe les plateformes où l’on échange contre des réserves de jetons plutôt que contre un carnet d’ordres (les échanges décentralisés), les marchés de prêt, le staking liquide et les ponts entre chaînes. Notre guide de la DeFi pour débutants détaille chacune ; ici, ce qui compte est l’ordre de grandeur.
DefiLlama, un tableau de bord ouvert qui suit les contrats de la DeFi sur des centaines de chaînes, a mesuré 90,8 milliards de dollars de valeur totale bloquée dans la DeFi à 00:00 UTC le 22 octobre 2026, contre 91,6 milliards la veille. La valeur totale bloquée est la valeur en dollars des jetons déposés dans ces contrats. Ce n’est ni un bénéfice, ni un chiffre d’affaires, ni une mesure de sécurité.
| Mesure (DefiLlama, 22 octobre 2026) | Valeur |
|---|---|
| Valeur totale bloquée dans la DeFi, toutes chaînes | 90,8 milliards de dollars |
| Valeur bloquée sur Ethereum | 49,9 milliards de dollars |
| Valeur bloquée sur Base | 6,2 milliards de dollars |
| Valeur bloquée sur Solana | 6,0 milliards de dollars |
| Valeur bloquée sur BNB Chain (BSC) | 5,7 milliards de dollars |
| Lido (staking liquide) | 23,7 milliards de dollars |
| Aave V3 (prêt) | 17,1 milliards de dollars |
| Uniswap V3 et V4 (échange) | 1,7 et 1,5 milliard de dollars |
| Volume des échanges décentralisés, 30 derniers jours | 265,4 milliards de dollars, dont 69,4 milliards pour Uniswap |
Deux noms ressortent pour un débutant. Uniswap est le plus grand échange décentralisé par volume sur cette fenêtre de 30 jours. Aave est un marché de prêt présent sur une vingtaine de chaînes, où les déposants touchent des intérêts et où les emprunteurs fournissent des cryptos en garantie. Tous deux fonctionnent depuis des années sur la même conception de base, ce que peu de familles de dApps peuvent dire.
Un mot sur le décompte. Pendant des années, on citait DappRadar pour le nombre de dApps utilisées. Ses fondateurs ont annoncé le 17 novembre 2025 qu’ils fermaient la plateforme, jugeant qu’en faire tourner une de cette taille n’était plus viable financièrement, selon Cointelegraph (en anglais). Ses compteurs ont cessé d’être mis à jour. DefiLlama recense 8 795 entrées dans sa liste de protocoles aujourd’hui, mais cette liste mêle des portefeuilles de plateformes centralisées, des ponts et plusieurs versions d’un même protocole. Il n’existe aucun décompte fiable des dApps : tout chiffre que vous croisez doit s’accompagner de sa source et de sa date.
SocialFi : Farcaster et Lens ont survécu à l’engouement, friend.tech s’est éteint
Les dApps de SocialFi tentent de mettre les réseaux sociaux sur une blockchain : votre profil, vos abonnés ou vos publications sont liés à votre portefeuille, si bien qu’en théorie aucune entreprise ne possède votre audience. Le bilan est mitigé, et il apprend ce que la décentralisation protège vraiment.
friend.tech, lancé en août 2023 sur le réseau Base de Coinbase, permettait d’acheter des « clés » donnant accès aux salons de discussion d’autres personnes, avec des prix qui montaient à mesure que les clés se vendaient. L’engouement n’a pas duré. Le 8 septembre 2024, ses développeurs ont remis le contrôle des contrats à l’adresse nulle d’Ethereum : plus personne ne peut changer les frais ni les fonctions. CryptoSlate a rapporté (en anglais) que l’application n’avait généré que 21 dollars de revenus sur les 30 jours précédents, d’après DefiLlama. Les contrats existent toujours. Le 22 octobre 2026, DefiLlama classait encore friend.tech V1 dans sa catégorie SocialFi, avec environ 2 millions de dollars déposés et plus aucune équipe pour le faire évoluer.
Farcaster a pris une autre voie : un protocole de comptes sociaux que plusieurs applications peuvent lire, plutôt qu’un jeton de spéculation. Le 21 janvier 2026, l’éditeur d’outils pour développeurs Neynar a annoncé qu’il reprenait Farcaster (en anglais) à Merkle Manufactory, l’équipe qui l’avait construit, et qu’il ferait tourner le protocole, le client principal et l’outil à jetons Clanker. « Farcaster ne ferme pas », a déclaré le cofondateur Dan Romero, cité par The Block (en anglais), qui ajoutait que Merkle comptait rendre aux investisseurs la totalité des 180 millions de dollars levés.
Le nouveau propriétaire n’est pas resté longtemps. En août 2026, environ sept mois après le rachat, le cofondateur de Neynar Rish Mukherji a dit que la société cherchait une nouvelle équipe pour reprendre Farcaster, Clanker et sa plateforme pour développeurs, et que Neynar rendrait l’essentiel de ce qui lui restait au bilan. The Defiant (en anglais), s’appuyant sur DefiLlama, chiffrait les frais du protocole à 35,43 millions de dollars au premier trimestre 2026 et à 376 740 dollars au troisième trimestre jusqu’à l’annonce.
Lens, un protocole social lancé par l’équipe d’Aave, a lui aussi changé de mains. Le 21 janvier 2026, Aave a confié la direction de Lens à Mask Network en gardant un rôle de conseiller technique, d’après Cointelegraph (en anglais). Un porte-parole d’Aave a précisé que la propriété intellectuelle, la chaîne, le site et le compte Lens sur X passaient à Mask ; le même article n’a trouvé aucun signe d’un transfert des trésoreries ou de la gouvernance. Le graphe social et les contrats restent en open source.
Les deux changements de propriétaire de Farcaster en un an le montrent. Les smart contracts d’une dApp sociale peuvent continuer à tourner après le départ de l’entreprise, mais l’application qu’on ouvre, les serveurs qui indexent les messages et l’argent qui paie les développeurs reposent sur une poignée de personnes. Un contrat décentralisé n’est pas un produit décentralisé.
GameFi et play-to-earn : la leçon d’Axie Infinity sur les salaires en jetons
Le GameFi désigne les jeux dont les objets, les personnages ou les récompenses sont des jetons que vous détenez dans votre portefeuille. Le play-to-earn est allé plus loin : les joueurs étaient payés en jetons pour jouer et pouvaient les revendre contre des dollars. Axie Infinity, créé par le studio Sky Mavis sur sa propre chaîne Ronin, en fut le navire amiral.
Son jeton de récompense, Smooth Love Potion (SLP), illustre la faiblesse du modèle. Selon Decrypt en février 2022 (en anglais), le SLP avait culminé près de 0,40 dollar en août 2021 et était retombé autour d’un centime. Sky Mavis accusait l’inflation : le jeu créait environ quatre fois plus de SLP par jour qu’il n’en détruisait. Les utilisateurs actifs quotidiens, plus de 2,7 millions au pic de novembre 2021, n’étaient plus que légèrement sous les 2,2 millions fin janvier 2022, et le studio a réduit les récompenses en SLP pour la saison suivante.
Le jeton était à la fois le salaire et ce que chaque joueur voulait vendre. Une économie de jeu bâtie ainsi a besoin d’un flux continu de nouveaux acheteurs pour absorber les ventes. Quand le flux ralentit, le salaire perd de sa valeur, les joueurs partent et les ventes augmentent.
Puis vint le piratage. Le 23 mars 2022, des attaquants ont vidé le pont de Ronin, qui faisait circuler des actifs entre Ethereum et Ronin : 173 600 ETH et 25,5 millions d’USDC, découverts seulement le 29 mars quand un utilisateur n’a pas pu retirer 5 000 ETH, selon le compte rendu de Rekt (en anglais). Les retraits exigeaient cinq signatures sur neuf validateurs. Sky Mavis en contrôlait quatre, et une cinquième, celle de l’Axie DAO, lui permettait de signer à sa place depuis novembre 2021 dans le cadre d’un arrangement temporaire jamais révoqué. Le Trésor américain (en anglais) a ensuite attribué ce vol, d’une valeur de près de 620 millions de dollars, au groupe Lazarus de Corée du Nord.
Les smart contracts du jeu n’étaient pas le point faible. Le pont l’était, et sa sécurité reposait sur quelques clés détenues par une seule entreprise. La chronologie de la leçon précédente situe ce piratage parmi les autres événements de 2022.
DePIN : Helium, Filecoin et Render rémunèrent en jetons du matériel bien réel
DePIN signifie réseaux d’infrastructures physiques décentralisés. Au lieu qu’une entreprise construise des antennes, des centres de données ou des fermes de rendu, des milliers de particuliers branchent leur propre matériel et sont payés en jetons. Les clients paient pour utiliser le réseau. Une dApp tient la comptabilité sur la chaîne.
Helium le fait pour la couverture sans fil, avec de petits points d’accès gérés par des particuliers ; DefiLlama le classe dans sa catégorie DePIN. Filecoin vend du stockage de fichiers décentralisé fourni par des prestataires indépendants. Render met en relation ceux qui ont besoin de rendu graphique et les propriétaires de GPU inutilisés.
Les chiffres d’usage de ces réseaux viennent surtout des projets eux-mêmes ou de blogs spécialisés, et ils divergent souvent : nous ne les reprenons donc pas ici. La bonne question pour un débutant est autre : quelle part de ce que gagnent les fournisseurs vient de clients qui paient, et quelle part de jetons nouvellement émis pour les récompenser ? Quand l’essentiel vient de jetons neufs, le réseau ressemble beaucoup à du play-to-earn avec du matériel en plus. Vérifiez ce partage, avec une source datée, avant de croire une annonce de croissance dans la DePIN.
Identité décentralisée : de l’adresse de portefeuille aux DID
L’identité la plus simple en crypto est l’adresse de votre portefeuille. Beaucoup de dApps n’utilisent rien d’autre : vous prouvez qui vous êtes en signant un message avec la clé associée à cette adresse. Sign-In with Ethereum, la norme ERC-4361 (en anglais), formalise cet usage. Le site demande à votre portefeuille de signer un court texte contenant le domaine du site et un code aléatoire à usage unique. La signature se fait hors chaîne : ce n’est pas une transaction, et la norme demande aux portefeuilles de vérifier que la requête vient bien du domaine affiché.
Les adresses sont longues et illisibles ; des services de noms permettent donc de leur associer un nom lisible. L’Ethereum Name Service, par exemple, relie des noms en .eth à des adresses.
Les identifiants décentralisés vont plus loin. Le W3C, l’organisme qui fixe les standards du web, a publié DID Core 1.0 en Recommandation le 19 juillet 2022 (en anglais). Son résumé présente les DID comme un nouveau type d’identifiant permettant une identité numérique vérifiable et décentralisée. Un DID permet de détenir des attestations, un diplôme ou une preuve d’âge par exemple, signées par l’émetteur, et de les présenter sans repasser par lui à chaque fois. Certaines méthodes de DID utilisent une blockchain ; beaucoup non.
Un point à ne pas confondre. L’Union européenne déploie des portefeuilles d’identité numérique européens en vertu du règlement (UE) 2024/1183, dit eIDAS 2 : chaque État membre doit en proposer au moins un dans les 24 mois suivant les règles d’application de la Commission. Ce sont des applications d’identité publiques, bâties sur la même famille de normes d’attestations. Ce ne sont pas des dApps de blockchain, et elles ne contiennent pas de crypto.
Comment connecter un portefeuille à une dApp en sécurité, pas à pas
Les failles de contrats font les gros titres, mais pour un particulier, le moment le plus risqué est souvent la fenêtre du portefeuille. Scam Sniffer, société de sécurité qui suit les sites « drainers » de hameçonnage, a compté 83,85 millions de dollars volés à 106 106 victimes en 2025 dans son dernier rapport annuel (en anglais), publié en janvier 2026. C’est 83 % de moins que les 494 millions de 2024, mais le plus gros vol isolé, 6,5 millions de dollars en septembre 2025, est venu d’une seule signature sur une demande « Permit ». Le rapport ne couvre que les chaînes EVM et le hameçonnage, pas les failles de contrats.
Nos illustrations ne portent aucun texte, voici donc les étapes en toutes lettres. Elles valent pour MetaMask, Phantom et la plupart des autres portefeuilles ; le nom des menus change d’une version à l’autre.
- Accédez à la dApp par une adresse de confiance. Tapez-la ou utilisez un favori que vous avez créé vous-même, et ne suivez jamais une publicité, une réponse ou un message privé. Vérifiez l’orthographe du domaine lettre par lettre : les faux sites changent un caractère ou ajoutent un mot.
- Gardez un portefeuille chaud distinct, avec un petit solde, pour les dApps. Laissez vos économies dans un autre portefeuille, idéalement matériel, qui ne se connecte jamais à de nouveaux sites.
- Essayez d’abord la dApp sur un réseau de test comme Sepolia, avec des jetons de test gratuits. Les écrans et les signatures sont les mêmes, et une erreur ne coûte rien.
- Cliquez sur « Connect wallet » et choisissez votre portefeuille. La connexion ne montre au site que votre adresse publique et vos soldes ; elle ne déplace rien. Tout site ou « agent du support » qui réclame votre phrase de récupération à ce stade est une arnaque, sans exception.
- Lisez chaque demande de signature avant de l’approuver. Un message de connexion doit afficher le domaine où vous êtes. Une transaction doit afficher le contrat, le montant et le réseau, et elle coûte des frais. Une approbation ou une signature Permit donne à un contrat le droit de dépenser vos jetons, parfois sans limite et sans frais pour vous alerter.
- Quand le portefeuille le propose, fixez l’approbation au montant dont vous avez besoin pour cette action plutôt qu’à un montant illimité.
- Activez les alertes de sécurité ou l’aperçu de transaction de votre portefeuille s’il en a. Ils montrent ce qui va quitter votre portefeuille avant que vous signiez. Ils réduisent le risque ; ils ne le suppriment pas.
- Une fois terminé, passez en revue et annulez les anciennes approbations avec un outil comme revoke.cash ou le vérificateur d’approbations d’Etherscan. Revoke.cash (en anglais) explique que l’annulation d’une approbation est elle-même une transaction sur la chaîne, donc payante, pour une somme modeste. Mettez aussi en favori la vraie adresse de ces outils.
- Déconnectez le site dans la liste des sites connectés de votre portefeuille. Si vous pensez avoir signé quelque chose de dangereux, révoquez d’abord l’approbation, puis transférez ce qui reste vers un nouveau portefeuille.
Les demandes d’approbation et de Permit méritent la plus grande attention. Scam Sniffer a constaté que les signatures de type Permit représentaient 38 % des pertes dans les gros cas de 2025, soit 8,72 millions de dollars sur trois vols. Nos guides pour protéger sa phrase de récupération et repérer les arnaques crypto vont plus loin.
Où les dApps cèdent : interfaces, domaines, hébergement et expérience utilisateur
Le contrat est difficile à arrêter. Le site qui le précède ne l’est pas, et l’histoire des dApps regorge de cas où le maillon faible était la couche web ordinaire.
L’entreprise peut filtrer sa propre interface
Le 23 juillet 2021, Uniswap Labs a retiré plus de 100 jetons, dont des actions et des dérivés tokenisés, de sa propre interface en invoquant l’évolution du cadre réglementaire, selon The Block (en anglais). Les jetons sont restés dans le protocole ; d’autres interfaces pouvaient toujours y accéder. En avril 2022, la société a indiqué que son application bloque les adresses sanctionnées par l’Office of Foreign Assets Control (OFAC) américain et les portefeuilles que la société d’analyse TRM Labs relie à des infractions comme le vol ou les rançongiciels. Les utilisateurs du site officiel vivent donc selon les règles de l’entreprise, alors que les contrats n’ont aucun filtre de ce genre.
Les États peuvent aller plus loin. Le 8 août 2022, le Trésor américain a sanctionné le mélangeur Tornado Cash (en anglais), qui aurait servi à blanchir plus de 7 milliards de dollars depuis 2019. GitHub a alors retiré le code du projet. Après que le Trésor a précisé le 13 septembre 2022 que des personnes américaines pouvaient copier ce code open source, GitHub l’a rétabli en lecture seule, d’après The Block (en anglais). Les contrats des pools n’ont jamais cessé de fonctionner. Le 26 novembre 2024, la cour d’appel du cinquième circuit a jugé dans l’affaire Van Loon c. Département du Trésor (en anglais) que les smart contracts immuables de Tornado Cash ne sont pas des biens et ne peuvent donc pas être bloqués au titre de la loi sur les sanctions ; le 21 mars 2025, le Trésor a levé les sanctions (en anglais).
Le nom de domaine peut être détourné
En septembre 2023, des attaquants ont pris le contrôle du domaine de l’échange Balancer et redirigé les visiteurs vers une copie du site reliée à un contrat malveillant ; PeckShield a estimé qu’environ 238 000 dollars avaient été pris, comme l’a rapporté The Block (en anglais). Curve a subi une attaque DNS sur son domaine curve.fi en 2022 puis une autre en mai 2025 (en anglais), quand l’équipe a dit que l’incident se limitait strictement à la couche DNS et renvoyé les utilisateurs vers curve.finance. Dans chaque cas, les smart contracts n’ont pas été touchés. Des utilisateurs qui avaient cliqué sur la bonne adresse ont tout de même atterri sur le mauvais site : un favori aide, mais ne suffit pas à lui seul.
Une réponse partielle consiste à publier l’interface sur IPFS, un ensemble de protocoles ouverts qui retrouvent les fichiers par leur contenu et non par l’adresse d’un serveur, de sorte que n’importe qui peut héberger une copie identique. Cela répartit l’hébergement ; cela n’empêche pas un utilisateur d’ouvrir une fausse copie.
L’expérience utilisateur reste le plus dur
Utiliser une dApp, c’est payer des frais de gas dans la monnaie propre à la chaîne, choisir le bon réseau, garder une phrase de récupération et accepter qu’une erreur ne se corrige pas. Ethereum.org range l’expérience utilisateur, la congestion du réseau et la maintenance parmi les inconvénients des dApps. Les réseaux de couche 2 réduisent fortement les frais ; une leçon ultérieure les comparera aux chaînes de couche 1.
Les portefeuilles se simplifient peu à peu. La norme ERC-4337 (en anglais) des « comptes intelligents », dont le contrat EntryPoint est entré en service sur Ethereum le 1er mars 2023 (en anglais), permet à un portefeuille d’être un contrat avec ses propres règles : plusieurs signataires, récupération personnalisée, frais payés en jetons ou par l’application. La mise à jour Pectra du 7 mai 2025 a ajouté l’EIP-7702, qui permet à une adresse ordinaire d’emprunter de telles fonctions, dont des plafonds de dépense, selon la Fondation Ethereum (en anglais). La même fonction a ouvert une nouvelle ruse : Scam Sniffer a relevé deux gros vols par des signatures malveillantes de lots EIP-7702 en août 2025, pour 2,54 millions de dollars au total. Chaque commodité d’un portefeuille est aussi une chose de plus à lire avant de signer.
Ce que disent les régulateurs : AMF, MiCA, SEC et fiscalité
En France, l’Autorité des marchés financiers (AMF) s’est penchée sur la question dès le 19 juin 2023 avec un papier de discussion sur la finance décentralisée, ouvert aux contributions jusqu’au 30 septembre 2023. Le régulateur y constate que la DeFi, encore peu connue du grand public, se trouve à un stade précoce de son développement. Il défend une approche progressive et proportionnée, résumée par la formule « même activité, même risque, même réglementation », et liste des risques comme la liquidité, la valorisation, la manipulation des prix, le décrochage de valeur et l’effet de levier.
Pour l’épargnant français, la conséquence pratique est simple. Une plateforme centralisée qui propose d’acheter ou de conserver des cryptos doit être agréée, et l’AMF tient une liste blanche des prestataires autorisés ainsi qu’une liste noire des sites non autorisés, mise à jour régulièrement (celle des crypto-actifs portait la date du 8 octobre 2026 lors de notre consultation). Elle précise elle-même que ces listes ne peuvent pas être exhaustives : l’absence d’un nom ne vaut pas autorisation. Une dApp réellement décentralisée n’a, elle, aucun prestataire derrière elle à vérifier dans ces listes, ce qui déplace la vigilance vers vous et vers l’interface que vous utilisez.
L’Union européenne a inscrit la décentralisation dans sa loi sur les crypto-actifs. Le considérant 22 du règlement MiCA (en anglais) indique que MiCA s’applique même si une partie d’un service est décentralisée, mais que les services fournis de manière entièrement décentralisée, sans aucun intermédiaire, sortent de son champ. Le texte ne définit pas ce qu’est « entièrement décentralisé », et la plupart des dApps ont une société quelque part dans leur chaîne. Notre guide sur MiCA et ce qu’il change pour les utilisateurs détaille le reste.
Lisez aussi l’autre face de ce considérant. Une dApp vraiment décentralisée n’a aucune société agréée derrière elle : pas de service de réclamation, pas de garantie des dépôts, pas de régulateur à appeler si tout tourne mal. Les trois autorités européennes de supervision financière l’ont rappelé dans un avertissement commun aux consommateurs du 6 octobre 2025 (en anglais) : selon le crypto-actif, la protection juridique, s’il y en a une, peut être limitée.
Aux États-Unis, la SEC avait adressé à Uniswap Labs un avis de Wells en 2024, c’est-à-dire un avertissement qu’elle pouvait engager des poursuites. Le 25 février 2025, Uniswap Labs a écrit (en anglais) que la SEC avait officiellement clos, sans suite, son enquête de plusieurs années. Cela met fin à une enquête ; ce n’est pas un jugement disant que toutes les interfaces de DeFi sont légales, et les sanctions américaines continuent de viser ceux qui les utilisent et les exploitent, comme l’a montré le dossier Tornado Cash. Côté fiscal, l’IRS (en anglais) traite la monnaie virtuelle comme un bien et indique que l’échanger contre une autre génère une plus-value ou une moins-value : aux États-Unis, un échange sur une dApp est donc imposable même si aucune société ne vous envoie de formulaire. Pour la fiscalité française, nous ne nous prononçons pas ici : consultez les pages officielles de l’administration fiscale ou un professionnel, car la règle dépend de votre situation.
Au Royaume-Uni, enfin, depuis le 8 octobre 2023, les sociétés qui font la promotion de cryptos auprès de consommateurs britanniques doivent être agréées ou enregistrées par la FCA (en anglais), faire valider leurs publicités par une entreprise agréée ou relever d’une exemption, où qu’elles soient établies.
Cinq vérifications avant d’utiliser une dApp
- Cherchez qui exploite l’interface, et si les contrats peuvent être mis à jour ou suspendus par une clé d’administration.
- Retrouvez le protocole sur DefiLlama ou sur un explorateur de blocs et notez depuis combien de temps il fonctionne.
- Utilisez un portefeuille chaud distinct avec un petit solde, et testez d’abord avec une petite somme.
- Lisez chaque signature et refusez les approbations illimitées dont vous n’avez pas besoin.
- Révoquez les anciennes approbations et déconnectez le site quand vous avez fini.
L’essentiel de l’argent qui circule dans les dApps prend la forme de stablecoins, des jetons qui suivent le dollar. La prochaine leçon de ce parcours compare les deux plus gros : USDT contre USDC, en quoi Tether et Circle diffèrent.
