À retenir : Entre la fin de 2025 et le premier semestre 2026, cinq catégories distinctes d’incidents liés aux cryptomonnaies ont frappé le marché à peu d’intervalle : une compromission de la chaîne d’approvisionnement d’une extension de navigateur, une compromission d’une bibliothèque npm, une prise de contrôle de la gouvernance multisignature d’un DEX, une vague de défaillances de plateformes centralisées et le braquage physique d’un détenteur fortuné. Aucun ne ressemblait aux autres en apparence, mais pris ensemble, ils mènent à la même conclusion : en 2026, la protection la plus durable consiste à conserver soi-même ses actifs sur un appareil dont l’architecture élimine les vecteurs d’attaque à distance et physiques. Cet article passe en revue les cinq événements, les enseignements de chacun et ce à quoi ressemble un cadre pratique à la suite de ceux-ci.
Référence rapide
| Terme | Ce que cela signifie |
|---|---|
| Autodétention | La détention de vos propres clés privées, sans qu’une plateforme d’échange ou un tiers ne contrôle les fonds |
| Portefeuille logiciel | Un portefeuille dont les clés résident sur un appareil connecté à internet, comme une extension de navigateur ou une application mobile |
| Portefeuille hors ligne | Un appareil matériel qui stocke vos clés privées hors ligne |
| Air-gapped | Pas d’internet, de Bluetooth, de données USB ni de NFC ; communication uniquement par code QR |
| Attaque de la chaîne d’approvisionnement | Une attaque visant un outil utilisé pour créer ou distribuer des logiciels, de sorte que tout ce qui est livré avec cet outil hérite de la compromission |
| Risque de contrepartie | Le risque que quelqu’un d’autre détenant vos actifs fasse faillite, disparaisse ou soit compromis |
| Protection anti-effraction | Une conception physique destinée à effacer les données stockées sur l’appareil si son boîtier est forcé |
Pourquoi cette période était différente
Le secteur des cryptomonnaies a connu son lot d’années difficiles sur le plan de la sécurité. Ce qui a rendu la période allant de la fin de 2025 au premier semestre 2026 inhabituelle, ce n’est pas l’ampleur d’un événement particulier, mais la diversité des catégories d’attaques survenues à peu d’intervalle. En lisant les gros titres en mars et avril 2026, un détenteur aurait pu voir, en quelques semaines, des exemples d’injection de code dans la chaîne d’approvisionnement, de compromission de bibliothèque, de prise de contrôle de la gouvernance, de défaillance d’une plateforme d’échange et de coercition physique. Les événements n’avaient pas le même vecteur. Ils partageaient une propriété structurelle : dans chaque cas, la perte provenait de quelque chose que l’utilisateur ne contrôlait pas directement.
Il est utile de les examiner ensemble, car le schéma qui se dégage est plus instructif que n’importe quel incident pris isolément. Chaque événement illustre différemment le même point : lorsque quelqu’un d’autre détient les clés, celles-ci peuvent être atteintes. Les cinq sections ci-dessous présentent les événements dans l’ordre, puis reviennent sur le schéma.
Événement 1 : la compromission de l'extension de navigateur Trust Wallet (décembre 2025)
Le 24 décembre 2025, des attaquants ont compromis la version 2.68 de l'extension de navigateur Trust Wallet au moyen d'une attaque de la chaîne d'approvisionnement visant le Chrome Web Store. À l'aide d'une clé API du Chrome Web Store ayant fuité, ils ont contourné la procédure d'examen et déployé du code malveillant qui récupérait les phrases de récupération des utilisateurs via un faux point de terminaison d'analyse. La version malveillante est restée disponible environ 48 heures, période durant laquelle environ 7 millions de dollars ont été drainés de 2 520 portefeuilles. Le cofondateur de Binance, CZ, a confirmé le remboursement intégral des utilisateurs concernés. L'attaque a été liée à la précédente compromission de la chaîne d'approvisionnement npm « Shai-Hulud », illustrant comment des vulnérabilités interdépendantes dans la distribution des logiciels peuvent se propager en cascade.
La leçon. L'incident Trust Wallet ne concerne pas spécifiquement Trust Wallet. Il montre ce qui se produit lorsque le propre canal de distribution d'un portefeuille devient la surface d'attaque. Un utilisateur qui avait installé l'extension plusieurs mois auparavant et faisait confiance aux mises à jour automatiques a reçu la version malveillante par le même canal de confiance qu'il utilisait toujours. Aucun site d'hameçonnage, aucun faux e-mail, aucune erreur de l'utilisateur. L'exposition découlait directement de la manière dont les logiciels d'extension de navigateur sont distribués et mis à jour. Pour une analyse plus approfondie, consultez notre analyse du piratage de Trust Wallet de 7 millions de dollars.
Pour les avoirs conservés à long terme, cela signifie que tout portefeuille qui se met automatiquement à jour depuis un canal connecté à Internet présente cette catégorie de risque en raison même de sa conception. L'architecture qui ferme la porte est celle qui ne possède aucun mécanisme de mise à jour automatique depuis un canal web et dont l'appareil de signature n'est absolument pas connecté à Internet.
Événement 2 : la compromission de la bibliothèque npm Axios (31 mars 2026)
À 00:21 UTC le 31 mars 2026, un groupe nord-coréen, dont l'implication a été confirmée par la division Mandiant de Google, a compromis le compte de publication npm d'Axios, l'une des bibliothèques clientes HTTP JavaScript les plus utilisées au monde. Les versions malveillantes (v1.14.1 et v0.30.4) contenaient une dépendance cachée appelée « plain-crypto-js », qui déployait un cheval de Troie d'accès à distance multiplateforme. Axios est téléchargé environ 83 millions de fois par semaine, ce qui le place au cœur d'une part importante de l'écosystème JavaScript. Les versions malveillantes sont restées disponibles environ trois heures avant d'être détectées et supprimées.
La leçon. L’incident Axios a déplacé l’attaque encore plus en amont que Trust Wallet. Alors que Trust Wallet était un portefeuille compromis, Axios était un outil compromis utilisé pour créer des portefeuilles, des DApps et des plateformes d’échange. Toute application crypto qui aurait mis à jour automatiquement sa dépendance Axios au cours de ces trois heures aurait pu intégrer le logiciel malveillant sans que personne sur le parcours de l’utilisateur ne s’en aperçoive. Pour l’analyse complète de l’incident, consultez notre article sur l’attaque de la chaîne d’approvisionnement d’Axios.
Pour un utilisateur final détenant des cryptomonnaies, la conclusion pratique est que « mon portefeuille est-il sûr ? » est la mauvaise question. La bonne question est de savoir si le portefeuille comporte un chemin par lequel du code compromis pourrait atteindre l’opération de signature. Un portefeuille avec des dépendances JavaScript et une connexion Internet comporte de nombreux chemins de ce type. Un portefeuille qui signe hors ligne au moyen de codes QR, sans dépendance logicielle entre l’utilisateur et l’appareil, en comporte structurellement moins.
Événement 3 : la prise de contrôle de la multisignature de Drift Protocol pour 285 millions de dollars (1er avril 2026)
Le 1er avril 2026, Drift Protocol, le plus grand DEX de contrats perpétuels de Solana, a été exploité, entraînant le vol d’environ 285 millions de dollars. L’attaque n’était pas due à un bug de smart contract. Le « Security Council » de Drift était une multisignature 2-sur-5 sans verrouillage temporel. L’attaquant a manipulé par ingénierie sociale deux des cinq signataires, puis a utilisé la fonctionnalité de nonce durable de Solana pour pré-signer des transactions malveillantes qui ont exécuté des modifications au niveau administrateur : un faux jeton de garantie avec un prix oracle gonflé, la désactivation des coupe-circuits et la suppression des limites de retrait. Les fonds ont été drainés via Jupiter, transférés par pont via deBridge et Wormhole, puis acheminés par des mixeurs. La TVL est passée d’environ 550 millions de dollars à moins de 300 millions en une heure.
La leçon. L’événement Drift est le plus inconfortable des cinq pour le récit général selon lequel « la décentralisation règle le problème ». Drift était décentralisé dans la plupart des présentations publiques, mais l’autorité de gouvernance était concentrée entre cinq clés, dont deux suffisaient pour tout prendre. L’étiquette affichée sur la plateforme ne changeait rien à la réalité concernant les personnes qui contrôlaient effectivement les fonds. Pour l’analyse complète, consultez notre analyse du piratage de 285 millions de dollars de Drift Protocol.
La leçon va au-delà de Drift. Chaque fois que vos actifs se trouvent dans un contrat intelligent dont les droits d’administration sont contrôlés par un petit nombre de clés, vous assumez un risque de contrepartie, quelle que soit la manière dont la plateforme se décrit. La protection contre ce risque est la même que contre la défaillance d’une plateforme d’échange centralisée : détenez vos propres clés, sur un appareil dont vous êtes l’unique détenteur de l’autorité.
Événement 4 : Le groupe de plateformes centralisées (du 30 au 31 mars 2026)
Trois événements sont survenus en l’espace de 48 heures et se sont renforcés mutuellement.
Le 30 mars 2026, Sumit Gupta et Neeraj Khandelwal, cofondateurs de la plus grande plateforme d’échange de cryptomonnaies d’Inde, CoinDCX, ont été arrêtés dans le cadre d’une affaire de fraude impliquant un site clone d’hameçonnage (coindcx.pro). Ils ont été libérés sous caution après 72 heures, sans preuve d’une implication directe. CoinDCX a annoncé un fonds de sécurité « Digital Suraksha Network » de ₹100 Crore (environ 12 millions de dollars) en réponse.
Le 31 mars 2026, Coinbase Commerce, une passerelle de paiement utilisée par des milliers de commerçants, a officiellement cessé ses activités. Les commerçants et les utilisateurs qui n’avaient pas transféré leurs fonds risquaient de rencontrer des difficultés d’accès.
Pendant cette même période, l’indice Crypto Fear & Greed est resté à 8 sur 100, marquant la plus longue série de peur extrême depuis l’effondrement de FTX en novembre 2022. Le contexte général, notamment le piratage de Bybit à hauteur de 1,5 milliard de dollars plus tôt en 2026 (qui représentait à lui seul 44 % des 3,4 milliards de dollars de vols de cryptomonnaies enregistrés par Chainalysis cette année-là), explique pourquoi les détenteurs étaient déjà sur leurs gardes. Notre analyse de l’indice de peur à 8/100 présente le contexte macroéconomique en détail.
La leçon. Chaque événement de ce groupe a mis en évidence un mode de défaillance différent lié à la conservation des fonds par une plateforme. CoinDCX a montré que même le fondateur d’une plateforme d’échange ne peut pas totalement protéger les utilisateurs contre les conséquences de l’usurpation d’identité et de la fraude à grande échelle. Coinbase Commerce a montré qu’un service peut tout simplement être retiré selon un calendrier défini, laissant les utilisateurs migrer leurs fonds ou perdre l’accès. Bybit a montré que même une plateforme d’échange majeure disposant d’importantes ressources de sécurité peut perdre plus d’un milliard de dollars en un seul incident.
Le point commun aux trois événements est que l’utilisateur n’a jamais eu le contrôle direct des clés. La solidité de chaque plateforme n’a compté que jusqu’à ce qu’un problème survienne de son côté. Avec l’autodétention sur un portefeuille matériel, la continuité de la plateforme ne fait plus partie de votre modèle de sécurité.
Événement 5 : Le braquage physique de 66 millions de dollars à Scottsdale (mars 2026)
Le même week-end que l’attaque contre Drift, deux personnes ont parcouru 600 miles jusqu’à Scottsdale, en Arizona, pour voler physiquement 66 millions de dollars en bitcoins à un détenteur. L’incident est répertorié dans la base de données des attaques physiques de Jameson Lopp comme une attaque par « coercition physique ». Quelques jours auparavant, des suspects dans l’enlèvement de David Balland, cofondateur de Ledger, avaient été arrêtés en Espagne, un événement qui faisait l’actualité depuis plusieurs mois.
La leçon. Les attaques physiques visant les détenteurs de cryptomonnaies ont augmenté tout au long de 2025 et jusqu’en 2026, à mesure que les prix et la visibilité progressaient. Il s’agit de la catégorie de menaces que les modèles de sécurité entièrement numériques ne prennent pas en compte. Un appareil parfaitement isolé du réseau et posé sur un bureau reste un objet physique qu’une personne y ayant accès peut tenter d’utiliser, ou dont elle peut contraindre le propriétaire à se servir.
Les protections pertinentes contre cette catégorie d’attaques diffèrent de celles qui bloquent les voies d’attaque à distance. Elles consistent notamment à ne pas rendre ses avoirs publics, à utiliser des appareils conçus pour effacer les clés stockées si le boîtier est forcé (construction inviolable), à conserver les comptes à solde élevé sur des appareils rangés dans des endroits moins évidents, et à utiliser des comptes à faible solde pour toute activité quotidienne visible. La combinaison d’une architecture isolée du réseau (contre les attaques à distance) et d’un boîtier métallique entièrement scellé avec effacement des clés en cas d’effraction (contre les attaques physiques) permet de traiter les deux vecteurs au niveau architectural, plutôt qu’un seul.
Le schéma commun aux cinq événements
Les cinq événements concernent des surfaces d’attaque très différentes. Une extension de navigateur, une bibliothèque npm, une multisignature de DEX, un groupe de services centralisés et un vol à main armée n’ont presque rien en commun au niveau du mécanisme d’attaque. Ce qu’ils partagent, c’est la propriété structurelle suivante : au moment de la perte, l’utilisateur ne contrôlait pas directement l’actif. Dans chaque cas, la valeur a atteint l’attaquant parce qu’une entité autre que l’utilisateur était en mesure de la libérer : un canal de distribution, une dépendance, un conseil, un dépositaire ou une personne contrainte.
La conservation autonome des clés traite une partie de ce schéma en donnant à l’utilisateur l’autorité sur les clés. L’architecture en traite une autre en déterminant dans quelle mesure ces clés sont exposées lorsque l’utilisateur exerce cette autorité. Les événements de 2025 et 2026 montrent ensemble pourquoi ces deux niveaux sont importants. Détenir soi-même les clés est nécessaire ; la manière dont est conçu l’appareil qui les détient détermine les catégories d’attaques qui peuvent malgré tout vous atteindre.
Un cadre pratique pour savoir quoi faire maintenant
Aucun des cinq événements ne change les principes d’une bonne hygiène d’autodétention, mais pris ensemble, ils en renforcent la pertinence. Le cadre ci-dessous est celui qui correspond le mieux aux enseignements à en tirer.
- Transférez vos avoirs à long terme hors des plateformes. Le groupe d’incidents touchant CoinDCX, Coinbase Commerce et Bybit montre que les défaillances des plateformes ne sont pas rares. Pour les cryptomonnaies que vous ne négociez pas activement, l’argument en faveur du transfert vers l’autodétention est devenu plus solide cette année, et non plus faible.
- Choisissez un appareil de signature dont l’architecture élimine le vecteur d’attaque à distance. Les événements Trust Wallet et Axios montrent que les surfaces de distribution logicielle et les dépendances constituent des risques réels et récurrents. Un portefeuille matériel isolé, sans USB, Bluetooth, Wi-Fi ni NFC, n’offre aucun chemin par lequel du code compromis pourrait atteindre l’opération de signature.
- Utilisez la récupération BIP39 sur chaque appareil que vous détenez. L’événement Drift montre que la gouvernance d’une plateforme peut échouer, et la leçon plus générale sur le risque de contrepartie s’applique au-delà de ce cas. BIP39 rend votre phrase de récupération portable entre les portefeuilles compatibles ; vous n’êtes donc pas limité à une seule marque ou un seul écosystème.
- Conservez votre phrase de récupération sur une sauvegarde hors ligne durable. Le papier se dégrade et brûle ; le stockage dans le cloud est en ligne. Une sauvegarde en acier inoxydable, conservée séparément de l’appareil, résiste à la fois au feu et à l’exposition numérique qu’introduirait une photo ou un gestionnaire de mots de passe.
- Adaptez la sécurité physique au montant détenu. L’événement de Scottsdale rappelle que la part visible des avoirs en cryptomonnaies constitue en soi un facteur de risque. Un matériel anti-effraction conçu pour s’effacer en cas d’ouverture forcée, associé au fait de ne pas divulguer ses avoirs, répond au risque physique, que la protection purement numérique ne peut pas couvrir. Pour obtenir des conseils plus approfondis sur le choix d’une méthode de sauvegarde, consultez comment sauvegarder un portefeuille matériel ; pour planifier une succession, consultez comment planifier la transmission de vos cryptomonnaies.
FAQ
Ces cinq événements sont-ils vraiment représentatifs, ou les avez-vous sélectionnés de manière à confirmer votre thèse ?
Chaque événement a été largement couvert à l’époque et représentait une catégorie d’attaque différente. Le regroupement ne vise pas à affirmer qu’il s’agissait des cinq seuls événements survenus, mais qu’en l’espace de six mois, le marché a offert un exemple clair de cinq catégories distinctes. Un détenteur qui examinerait toute autre période de six mois de l’histoire récente des cryptomonnaies trouverait un mélange similaire.
L’autodétention protège-t-elle vraiment contre tous ces risques ?
L’autodétention combinée à un portefeuille matériel Air-gapped et inviolable élimine les catégories de risques liées aux accès à distance, à la chaîne d’approvisionnement, à la gouvernance et aux contreparties des plateformes. Elle n’élimine pas les risques physiques, d’ingénierie sociale, de chaîne d’approvisionnement (au niveau de la fabrication du matériel), liés au micrologiciel ou aux erreurs de l’utilisateur. La protection est structurelle plutôt que totale, et c’est son association à des habitudes pratiques (sauvegarde durable, stockage séparé, visibilité limitée) qui la rend durable.
Pourquoi les utilisateurs de portefeuilles logiciels ont-ils été davantage touchés entre 2025 et 2026 ?
Les portefeuilles logiciels fonctionnent sur des appareils connectés à Internet et sont distribués par des canaux accessibles aux moteurs d’IA, aux attaquants et aux acteurs compromettant la chaîne d’approvisionnement. Ils sont pratiques, et cette praticité s’achète au prix d’une surface d’attaque plus étendue. Pour de petites sommes destinées à un usage quotidien, ce compromis peut être raisonnable. Pour les avoirs à long terme, les événements de cette période ont renforcé l’argument en faveur d’une architecture plus isolée.
L’architecture Air-gapped est-elle vraiment nécessaire si mon portefeuille matériel dispose d’un élément sécurisé ?
Un élément sécurisé certifié est la partie de l’appareil qui protège la clé contre l’extraction. C’est l’une des deux protections importantes. L’autre concerne l’existence éventuelle, sur l’appareil, d’un canal de données sans fil ou filaire qui pourrait être utilisé pour transmettre une transaction compromise à cet élément sécurisé afin qu’il la signe. Une architecture Air-gapped supprime entièrement ce second canal. Ces deux protections répondent à des catégories de risques différentes, et un détenteur préoccupé par les deux peut utiliser un appareil qui les combine.
Qu’en est-il des portefeuilles multisignatures pour les détenteurs individuels ?
La multisignature personnelle (où l’utilisateur contrôle toutes les clés, réparties sur ses appareils personnels) est structurellement différente de la multisignature de gouvernance (où les clés sont détenues par un conseil d’administrateurs). La multisignature personnelle remédie au point de défaillance unique pour le détenteur et constitue une configuration défendable pour des avoirs importants. La multisignature de gouvernance, comme l’a montré Drift, devient un point de défaillance centralisé lorsque le seuil est bas et que les signataires peuvent être manipulés par ingénierie sociale.
Dois-je tout retirer des plateformes d’échange dès maintenant ?
Pour les avoirs détenus à long terme, les arguments en faveur du passage à l’auto-conservation se sont renforcés en 2025 et 2026, et non affaiblis. Le faire pendant les périodes calmes est idéal, mais le faire pendant les périodes stressantes reste préférable à ne pas le faire. Ne conservez sur les plateformes d’échange que ce dont vous avez besoin pour vos transactions actives, et considérez ces soldes comme un risque connu.
Quelle est l’habitude la plus importante pour se protéger contre les cinq catégories ?
Il n’existe pas d’habitude unique. Le résumé le plus proche est le suivant : détenir ses propres clés, sur un appareil dont l’architecture élimine les vecteurs d’attaque à distance et physiques, avec sa phrase de récupération sur une sauvegarde hors ligne durable que l’on contrôle. Ces trois éléments sont nécessaires, et aucun ne suffit à lui seul.
La couche de confiance
- Norme de récupération : BIP39/44, récupérable sur tout portefeuille compatible de toute marque
- Architecture de référence Air-gapped : ELLIPAL Titan 2.0, commercialisé depuis 2018, sans Wi-Fi, Bluetooth, données USB ni NFC ; signature par code QR uniquement
- Conception de référence inviolable : boîtier entièrement métallique et scellé, conçu pour effacer les clés stockées si l’enceinte est physiquement forcée
- Certification : élément sécurisé CC EAL5+ sur Titan 2.0 ; CC EAL6+ sur le X Card
- Historique : plus d’un million d’utilisateurs dans plus de 140 pays
- Sources citées : Chainalysis, CertiK, Mordor Intelligence, Elliptic, TRM Labs, Google Mandiant, base de données sur les attaques physiques de Jameson Lopp
Les cinq événements de 2025 et 2026 ne changent rien à ce qu’a toujours été une bonne auto-conservation. Ils en renforcent les raisons. Les examiner dans l’ordre sert surtout à rappeler à un détenteur que l’architecture de l’appareil qui protège ses cryptomonnaies, la norme utilisée pour la récupération et la discipline consistant à conserver une sauvegarde hors ligne durable sont les éléments qui tiennent bon lorsque l’actualité est hostile.
Possédez-le. Utilisez-le ensuite.
Note de sécurité : aucune configuration en auto-conservation ne supprime tous les risques. L’architecture Air-gapped et le matériel inviolable réduisent considérablement certaines catégories d’attaques à distance, de la chaîne d’approvisionnement et physiques, mais n’éliminent pas tous les risques liés au micrologiciel, à l’ingénierie sociale, à la chaîne d’approvisionnement de fabrication ou aux erreurs de l’utilisateur. Achetez auprès d’une source officielle, conservez votre phrase de récupération sur une sauvegarde hors ligne durable, stockée séparément de l’appareil, ne la partagez pas et ne la saisissez jamais sous forme numérique, puis vérifiez chaque transaction sur l’écran de l’appareil. Cet article fournit des informations générales à caractère éducatif sur l’architecture des portefeuilles et le bilan des incidents de 2025-2026. Il ne constitue pas un conseil financier, d’investissement ou de conservation.