Point essentiel : Entre la fin de 2025 et le premier semestre 2026, cinq catégories distinctes d’incidents liés aux cryptomonnaies ont touché le marché en succession rapide : une compromission de la chaîne logistique d’une extension de navigateur, la compromission d’une bibliothèque npm, la prise de contrôle de la gouvernance d’un DEX à signatures multiples, une vague de défaillances de plateformes centralisées et le braquage physique d’un détenteur fortuné. Aucun ne ressemblait aux autres en apparence, mais pris ensemble, ils mènent à la même conclusion : en 2026, la protection la plus durable consiste à pratiquer l’auto-garde sur un appareil dont l’architecture élimine à la fois les vecteurs d’attaque à distance et physiques. Cet article présente les cinq événements, ce que chacun enseigne et à quoi ressemble un cadre pratique à la suite de ces incidents.
Référence rapide
| Terme | Ce que cela signifie |
|---|---|
| Auto-garde | La détention de vos propres clés privées, sans qu’un exchange ou un tiers ne contrôle les fonds |
| Portefeuille logiciel | Un portefeuille dont les clés résident sur un appareil connecté à Internet, comme une extension de navigateur ou une application mobile |
| Portefeuille hors ligne | Un appareil matériel qui stocke vos clés privées hors ligne |
| Air-gapped | Pas d’Internet, de Bluetooth, de données USB ni de NFC ; communication uniquement par code QR |
| Attaque de la chaîne logistique | Une attaque visant un outil utilisé pour créer ou distribuer des logiciels, de sorte que tout ce qui est fourni avec cet outil hérite de la compromission |
| Risque de contrepartie | Le risque que la personne détenant vos actifs fasse défaut, cesse son activité ou soit compromise |
| Protection contre les manipulations | Une conception physique destinée à effacer les données stockées sur l’appareil si son boîtier est forcé |
Pourquoi cette période était différente
Le secteur des cryptomonnaies a connu son lot de mauvaises années en matière de sécurité. Ce qui a rendu la période allant de la fin de 2025 au premier semestre 2026 inhabituelle, ce n’est pas l’ampleur d’un événement particulier, mais la diversité des catégories d’attaques survenues à peu d’intervalle. Un détenteur consultant les gros titres en mars et avril 2026 aurait pu voir, en quelques semaines, des exemples d’injection de code dans la chaîne logistique, de compromission de bibliothèque, de prise de contrôle de la gouvernance, de défaillance d’une plateforme d’échange et de coercition physique. Les événements n’avaient pas de vecteur commun. Ils partageaient une propriété structurelle : dans chaque cas, la perte provenait de quelque chose que l’utilisateur ne contrôlait pas directement.
Les examiner ensemble est utile, car le schéma qui se dégage est plus instructif que n’importe quel incident pris isolément. Chaque événement illustre différemment le même point : lorsque quelqu’un d’autre détient les clés, celles-ci peuvent être atteintes. Les cinq sections ci-dessous présentent les événements dans l’ordre, puis reviennent sur le schéma.
Événement 1 : la compromission de l’extension de navigateur Trust Wallet (décembre 2025)
Le 24 décembre 2025, des attaquants ont compromis la version 2.68 de l’extension de navigateur Trust Wallet au moyen d’une attaque de la chaîne d’approvisionnement visant le Chrome Web Store. À l’aide d’une clé API Chrome Web Store divulguée, ils ont contourné la procédure de vérification et publié du code malveillant qui récupérait les phrases de récupération des utilisateurs via un faux point d’accès d’analyse. La version malveillante est restée disponible environ 48 heures, période durant laquelle environ 7 millions de dollars ont été dérobés sur 2 520 portefeuilles. Le cofondateur de Binance, CZ, a confirmé le remboursement intégral des utilisateurs concernés. L’attaque a été liée à la compromission antérieure de la chaîne d’approvisionnement npm « Shai-Hulud », ce qui montre comment des vulnérabilités interconnectées dans la distribution logicielle peuvent se propager en cascade.
La leçon. L’incident Trust Wallet ne concerne pas spécifiquement Trust Wallet. Il montre ce qui se produit lorsque le canal de distribution d’un portefeuille devient lui-même la surface d’attaque. Un utilisateur qui avait installé l’extension plusieurs mois auparavant et faisait confiance aux mises à jour automatiques a reçu la version malveillante par le même canal de confiance qu’il avait toujours utilisé. Aucun site d’hameçonnage, aucun faux e-mail, aucune erreur de l’utilisateur. L’exposition était directement liée à la manière dont les logiciels d’extension de navigateur sont distribués et mis à jour. Pour une analyse plus approfondie, consultez notre analyse du piratage de Trust Wallet à 7 millions de dollars.
Pour les placements à long terme, cela signifie que tout portefeuille qui se met automatiquement à jour depuis un canal connecté à Internet présente cette catégorie de risque, de par sa conception. L’architecture qui ferme la porte est celle qui ne dispose d’aucun mécanisme de mise à jour automatique depuis un canal web et d’aucune connexion Internet sur l’appareil de signature.
Événement 2 : la compromission de la bibliothèque npm Axios (31 mars 2026)
À 00:21 UTC le 31 mars 2026, un groupe nord-coréen, confirmé par la division Mandiant de Google, a compromis le compte de publication npm d’Axios, l’une des bibliothèques clientes HTTP JavaScript les plus utilisées au monde. Les versions malveillantes (v1.14.1 et v0.30.4) contenaient une dépendance cachée appelée « plain-crypto-js » qui déployait un cheval de Troie d’accès à distance multiplateforme. Axios est téléchargé environ 83 millions de fois par semaine, ce qui le place au cœur d’une part importante de l’écosystème JavaScript. Les versions malveillantes sont restées disponibles environ trois heures avant leur détection et leur retrait.
La leçon. L’incident Axios a déplacé l’attaque un niveau plus en amont que Trust Wallet. Alors que Trust Wallet était un portefeuille compromis, Axios était un outil compromis utilisé pour créer des portefeuilles, des DApps et des plateformes d’échange. Toute application crypto qui aurait mis à jour automatiquement sa dépendance Axios pendant ces trois heures aurait pu intégrer le logiciel malveillant sans que personne sur le parcours de l’utilisateur ne le sache. Pour l’analyse complète de l’incident, consultez notre article sur l’attaque de la chaîne d’approvisionnement d’Axios.
Pour un utilisateur final qui détient des cryptomonnaies, la conclusion pratique est que « mon portefeuille est-il sûr ? » est la mauvaise question. La bonne question est de savoir si le portefeuille comporte un chemin par lequel du code compromis pourrait atteindre l’opération de signature. Un portefeuille avec des dépendances JavaScript et une connexion Internet présente de nombreux chemins de ce type. Un portefeuille qui signe hors ligne au moyen de codes QR, sans dépendance logicielle entre l’utilisateur et l’appareil, en présente structurellement moins.
Événement 3 : la prise de contrôle de la multisignature de Drift Protocol pour 285 M$ (1er avril 2026)
Le 1er avril 2026, Drift Protocol, le plus grand DEX de contrats perpétuels de Solana, a été exploité, entraînant le vol d’environ 285 millions de dollars. L’attaque n’était pas due à un bug de contrat intelligent. Le « Security Council » de Drift était une multisignature 2 sur 5 sans verrouillage temporel. L’attaquant a manipulé psychologiquement 2 des 5 signataires, puis a utilisé la fonctionnalité de nonce durable de Solana pour pré-signer des transactions malveillantes qui ont exécuté des modifications de niveau administrateur : création d’un faux jeton de garantie avec un prix oracle gonflé, désactivation des coupe-circuits et suppression des limites de retrait. Les fonds ont été drainés via Jupiter, transférés par pont via deBridge et Wormhole, puis acheminés à travers des mélangeurs. La TVL est passée d’environ 550 millions de dollars à moins de 300 millions en l’espace d’une heure.
La leçon. L’événement Drift est le plus gênant des cinq pour le récit général selon lequel la « décentralisation résout le problème ». Drift était présenté comme décentralisé dans la plupart des communications publiques, mais l’autorité de gouvernance était concentrée entre cinq clés, dont deux suffisaient pour tout prendre. L’étiquette affichée sur la plateforme ne changeait rien à la réalité quant aux personnes qui contrôlaient effectivement les fonds. Pour l’analyse complète, consultez notre analyse du piratage de 285 M$ de Drift Protocol.
La leçon s’applique au-delà de Drift. Chaque fois que vos actifs se trouvent dans un contrat intelligent dont l’autorité administrative est contrôlée par un petit groupe de clés, vous assumez un risque de contrepartie, quelle que soit la façon dont la plateforme se présente. La protection contre ce risque est la même que celle contre la défaillance d’une plateforme d’échange centralisée : conservez vous-même vos clés, sur un appareil dont vous êtes l’unique détenteur de l’autorité.
Événement 4 : Le groupe d’incidents liés aux plateformes centralisées (du 30 au 31 mars 2026)
Trois événements sont survenus en l’espace de 48 heures et se sont renforcés mutuellement.
Le 30 mars 2026, Sumit Gupta et Neeraj Khandelwal, cofondateurs de la plus grande plateforme d’échange de cryptomonnaies d’Inde, CoinDCX, ont été arrêtés dans le cadre d’une affaire de fraude liée à un site clone d’hameçonnage (coindcx.pro). Ils ont été libérés sous caution après 72 heures, sans preuve d’une implication directe. CoinDCX a annoncé un fonds de sécurité de 100 crores de roupies (environ 12 millions de dollars), baptisé « Digital Suraksha Network », en réponse à cette affaire.
Le 31 mars 2026, Coinbase Commerce, une passerelle de paiement utilisée par des milliers de commerçants, a officiellement cessé ses activités. Les commerçants et les utilisateurs qui n’avaient pas migré leurs fonds se sont exposés à d’éventuelles difficultés d’accès.
Pendant cette même période, le Crypto Fear & Greed Index est resté à 8 sur 100, marquant la plus longue période de peur extrême depuis l’effondrement de FTX en novembre 2022. Le contexte plus large, notamment le piratage de Bybit ayant entraîné la perte de 1,5 milliard de dollars plus tôt en 2025 (qui représentait à lui seul 44 % des 3,4 milliards de dollars de vols de cryptomonnaies recensés par Chainalysis cette année-là), expliquait pourquoi les détenteurs étaient déjà sur leurs gardes. Notre analyse de l’indice de peur à 8/100 présente le contexte macroéconomique en détail.
La leçon. Chaque événement de ce groupe a mis en évidence un mode de défaillance différent de la conservation assurée par une plateforme. CoinDCX a montré que même le fondateur d’une plateforme d’échange ne peut pas totalement protéger les utilisateurs contre les conséquences de l’usurpation d’identité et de la fraude à grande échelle. Coinbase Commerce a montré qu’un service peut tout simplement être retiré selon un calendrier établi, laissant les utilisateurs migrer leurs fonds ou perdre l’accès. Bybit a montré que même une plateforme d’échange majeure disposant d’importantes ressources de sécurité peut perdre plus d’un milliard de dollars en un seul incident.
Le point commun aux trois événements est que l’utilisateur n’a jamais eu le contrôle direct des clés. La solidité de chaque plateforme n’a compté que jusqu’à ce qu’un problème survienne de son côté. Avec l’auto-conservation sur un portefeuille matériel, la continuité de la plateforme ne fait plus partie de votre modèle de sécurité.
Événement 5 : Le braquage physique de 66 millions de dollars à Scottsdale (mars 2026)
Le même week-end que l’attaque contre Drift, deux personnes ont parcouru 600 miles jusqu’à Scottsdale, en Arizona, pour dévaliser physiquement un détenteur de bitcoins et lui dérober 66 millions de dollars. L’incident est répertorié dans la base de données des attaques physiques de Jameson Lopp comme une attaque de « contrainte physique ». Quelques jours plus tôt, des suspects dans l’enlèvement de David Balland, cofondateur de Ledger, avaient été arrêtés en Espagne, un événement qui faisait l’actualité depuis plusieurs mois auparavant.
La leçon. Les attaques physiques contre les détenteurs de cryptomonnaies ont augmenté tout au long de 2025 et jusqu’en 2026, à mesure que les prix et la visibilité progressaient. Il s’agit de la catégorie de menaces à laquelle les modèles de sécurité entièrement numériques ne répondent pas. Un appareil parfaitement isolé du réseau, posé sur un bureau, reste un objet physique qu’une personne y ayant accès peut tenter d’utiliser ou dont elle peut tenter de contraindre le propriétaire à se servir.
Les protections efficaces contre cette catégorie sont différentes de celles qui bloquent les voies d’attaque à distance. Elles consistent notamment à ne pas afficher publiquement ses avoirs, à utiliser des appareils conçus pour effacer les clés stockées si le boîtier est forcé (construction inviolable), à conserver les comptes fortement approvisionnés sur des appareils rangés dans des endroits moins évidents et à utiliser des comptes peu approvisionnés pour toute activité quotidienne visible. La combinaison d’une architecture isolée du réseau (contre les attaques à distance) et d’un boîtier entièrement métallique scellé avec effacement des clés en cas d’effraction forcée (contre les attaques physiques) permet de répondre aux deux vecteurs au niveau architectural, plutôt qu’à un seul.
Le schéma commun aux cinq événements
Les cinq événements concernent des surfaces d’attaque très différentes. Une extension de navigateur, une bibliothèque npm, une multisignature de DEX, un groupe de services centralisés et un vol à main armée n’ont presque rien en commun au niveau du mécanisme d’attaque. Ce qu’ils ont en commun, c’est la propriété structurelle suivante : au moment de la perte, l’utilisateur ne contrôlait pas directement l’actif. Dans chaque cas, la valeur a pu atteindre l’attaquant parce qu’une entité autre que l’utilisateur était en mesure de la libérer : un canal de distribution, une dépendance, un conseil, un dépositaire ou une personne contrainte.
La conservation autonome des clés répond à un aspect de ce schéma en faisant de l’utilisateur la personne qui détient l’autorité sur les clés. L’architecture répond à un autre aspect en déterminant dans quelle mesure ces clés sont exposées aux points où l’utilisateur exerce cette autorité. Les événements de 2025 et 2026 montrent ensemble pourquoi ces deux niveaux sont importants. Détenir soi-même les clés est nécessaire ; la manière dont est conçu l’appareil qui les contient détermine les catégories d’attaques pouvant malgré tout vous atteindre.
Un cadre pratique pour savoir quoi faire maintenant
Aucun des cinq événements ne change ce à quoi ressemblent de bonnes pratiques d’autoconservation, mais, ensemble, ils en renforcent l’argumentaire. Le cadre ci-dessous est la version qui correspond à ces enseignements.
- Transférez vos avoirs à long terme hors des plateformes. Le groupe d’incidents concernant CoinDCX, Coinbase Commerce et Bybit montre que les défaillances du côté des plateformes ne sont pas rares. Pour toute cryptomonnaie que vous ne négociez pas activement, les arguments en faveur du transfert vers l’autoconservation se sont renforcés cette année, et non affaiblis.
- Choisissez un appareil de signature dont l’architecture élimine la possibilité d’une attaque à distance. Les événements Trust Wallet et Axios montrent que les surfaces d’attaque liées à la distribution des logiciels et aux dépendances sont bien réelles et récurrentes. Un portefeuille matériel isolé, dépourvu d’USB, de Bluetooth, de Wi-Fi et de NFC, n’offre aucune voie par laquelle un code compromis pourrait atteindre l’opération de signature.
- Utilisez la récupération BIP39 sur chaque appareil que vous détenez. L’événement Drift montre que la gouvernance d’une plateforme peut échouer, et la leçon plus générale sur le risque de contrepartie s’applique également ici. BIP39 rend votre phrase de récupération portable entre les portefeuilles compatibles, afin que vous ne soyez pas tributaire d’une seule marque ou d’un seul écosystème.
- Conservez votre phrase de récupération sur une sauvegarde hors ligne durable. Le papier se dégrade et brûle ; le stockage dans le cloud est en ligne. Une sauvegarde en acier inoxydable, conservée à l’écart de l’appareil, résiste à la fois au feu et à l’exposition numérique qu’entraînerait une photo ou un gestionnaire de mots de passe.
- Adaptez la sécurité physique au montant détenu. L’événement de Scottsdale rappelle que la partie visible des avoirs en cryptomonnaies constitue en elle-même un facteur de risque. Un matériel inviolable conçu pour s’effacer en cas d’effraction, associé au fait de ne pas afficher ses avoirs, répond à la catégorie des risques physiques, qu’aucune protection exclusivement numérique ne couvre. Pour obtenir des conseils plus approfondis sur le choix d’une méthode de sauvegarde, consultez comment sauvegarder un portefeuille matériel ; pour la planification successorale, consultez comment planifier la transmission de ses cryptomonnaies.
FAQ
Ces cinq événements sont-ils vraiment représentatifs, ou les avez-vous sélectionnés à dessein ?
Chaque événement a été largement couvert à l’époque et représentait une catégorie d’attaque différente. L’objectif de ce regroupement n’est pas de prétendre qu’il s’agissait des cinq seuls événements, mais de montrer que, sur une période de six mois, le marché a fourni un exemple clair de cinq catégories distinctes. Un détenteur qui examinerait toute autre période de six mois de l’histoire récente des cryptomonnaies trouverait un mélange similaire.
L’auto-garde protège-t-elle vraiment contre tous ces risques ?
L’auto-garde, associée à un portefeuille matériel Air-gapped et inviolable, élimine les catégories de risques liées aux accès à distance, à la chaîne d’approvisionnement, à la gouvernance et aux contreparties des plateformes. Elle n’élimine pas les risques physiques, d’ingénierie sociale, de chaîne d’approvisionnement (au niveau de la fabrication du matériel), liés au micrologiciel ou aux erreurs de l’utilisateur. La protection est structurelle plutôt que totale, et c’est en l’associant à des habitudes pratiques (sauvegarde durable, stockage séparé, visibilité limitée) qu’elle devient pérenne.
Pourquoi les utilisateurs de portefeuilles logiciels ont-ils été plus durement touchés entre 2025 et 2026 ?
Les portefeuilles logiciels se trouvent sur des appareils connectés à Internet et sont distribués par des canaux auxquels les moteurs d’IA, les attaquants et les acteurs compromettant la chaîne d’approvisionnement peuvent tous accéder. Ils sont pratiques, mais cette commodité s’achète au prix d’une surface d’attaque plus étendue. Pour de petits montants destinés à l’usage quotidien, ce compromis peut être raisonnable. Pour les avoirs à long terme, les événements de cette période ont renforcé l’argument en faveur d’une architecture plus isolée.
L’architecture Air-gapped est-elle vraiment nécessaire si mon portefeuille matériel possède un élément sécurisé ?
Un élément sécurisé certifié est la partie de l’appareil qui protège la clé contre l’extraction. C’est l’une des deux protections importantes. L’autre concerne l’existence éventuelle, sur l’appareil, d’un canal de données sans fil ou filaire qui pourrait servir à transmettre une transaction compromise à cet élément sécurisé pour signature. Une architecture Air-gapped supprime entièrement ce second canal. Ces deux protections couvrent des catégories de risques différentes, et un détenteur préoccupé par les deux peut utiliser un appareil qui les combine.
Qu’en est-il des portefeuilles multisignatures pour les détenteurs individuels ?
La multisignature personnelle (lorsque l’utilisateur contrôle toutes les clés, réparties sur ses appareils personnels) est structurellement différente de la multisignature de gouvernance (lorsque les clés sont détenues par un conseil d’administrateurs). La multisignature personnelle remédie au point de défaillance unique pour le détenteur et constitue une configuration défendable pour des avoirs importants. La multisignature de gouvernance, comme l’a montré Drift, devient un point de défaillance centralisé lorsque le seuil est bas et que les signataires peuvent être manipulés par ingénierie sociale.
Dois-je tout retirer des plateformes d’échange dès maintenant ?
Pour les avoirs détenus à long terme, les arguments en faveur du passage à l’auto-conservation se sont renforcés en 2025 et 2026, et non affaiblis. Le faire pendant les périodes calmes est idéal, mais le faire pendant les périodes de stress reste préférable à l’inaction. Ne gardez sur les plateformes d’échange que ce dont vous avez besoin pour effectuer des transactions actives, et considérez ces soldes comme un risque connu.
Quelle est l’habitude la plus importante pour se protéger contre les cinq catégories ?
Il n’existe pas une seule habitude. Le résumé le plus proche est le suivant : conserver soi-même ses clés, sur un appareil dont l’architecture supprime les vecteurs d’attaque à distance et physiques, avec sa phrase de récupération sur une sauvegarde hors ligne durable que l’on contrôle. Ces trois éléments sont nécessaires, et aucun ne suffit à lui seul.
La couche de confiance
- Norme de récupération : BIP39/44, récupérable sur tout portefeuille compatible, quelle que soit la marque
- Architecture de référence Air-gapped : ELLIPAL Titan 2.0, commercialisé depuis 2018, sans Wi-Fi, Bluetooth, données USB ni NFC ; signature par code QR uniquement
- Conception de référence anti-effraction : boîtier scellé entièrement métallique, conçu pour effacer les clés stockées si le boîtier est physiquement forcé
- Certification : élément sécurisé CC EAL5+ sur Titan 2.0 ; CC EAL6+ sur le X Card
- Historique : plus d’un million d’utilisateurs dans plus de 140 pays
- Sources citées : Chainalysis, CertiK, Mordor Intelligence, Elliptic, TRM Labs, Google Mandiant, base de données des attaques physiques de Jameson Lopp
Les cinq événements de 2025 et 2026 ne changent rien à ce qu’a toujours été une bonne auto-conservation. Ils en renforcent les raisons. Les examiner dans l’ordre revient surtout à rappeler à un détenteur que l’architecture de l’appareil qui protège ses cryptomonnaies, la norme utilisée pour la récupération et la discipline consistant à conserver une sauvegarde hors ligne durable sont les éléments qui résistent lorsque l’actualité est hostile.
Assumez-en la propriété. Puis utilisez-le.
Note de sécurité : Aucune configuration en auto-conservation ne supprime tous les risques. L’architecture Air-gapped et le matériel anti-effraction réduisent considérablement certaines catégories d’attaques à distance, liées à la chaîne d’approvisionnement et physiques, mais n’éliminent pas tous les risques liés aux micrologiciels, à l’ingénierie sociale, à la chaîne d’approvisionnement manufacturière ou aux erreurs de l’utilisateur. Achetez auprès d’une source officielle, conservez votre phrase de récupération sur une sauvegarde hors ligne durable, séparée de l’appareil, ne la partagez pas et ne la saisissez pas sous forme numérique, puis vérifiez chaque transaction sur l’écran de l’appareil. Cet article fournit des informations générales à caractère éducatif sur l’architecture des portefeuilles et le bilan des incidents de 2025-2026. Il ne constitue pas un conseil financier, d’investissement ou de conservation.