• Les pirates ont implanté du code dans Safe{Wallet} pour dérober près de 1,5 milliard de dollars à Bybit en février 2025.

• Le FBI a attribué le vol chez Bybit à la Corée du Nord.

• Binance a perdu environ 6,3 milliards de dollars le 29 octobre, après qu’un ordinateur portable compromis d’un ingénieur a été mis en cause.

Une seule application de signature, 1,5 milliard de dollars

Près de 1,5 milliard de dollars ont quitté la plateforme d’échange de cryptomonnaies Bybit en février 2025, et la porte utilisée par les attaquants n’appartenait pas à Bybit. Ils ont implanté du code dans Safe{Wallet}, une application de signature externe que la plateforme avait intégrée à son processus de transfert, une configuration courante pour les équipes qui signent des transactions multisignatures au moyen d’une interface dédiée. Les employés chargés d’examiner une transaction voyaient une destination à l’écran, tandis que la signature qu’ils produisaient en autorisait une autre. Le FBI a attribué l’opération à la Corée du Nord. Les clients de Bybit ont été exposés par l’intermédiaire d’une infrastructure qu’ils n’ont jamais utilisée. Aucune clé privée n’a été dérobée. Les voleurs n’ont jamais obtenu les identifiants principaux qui contrôlaient les portefeuilles ; ils ont trompé les systèmes d’approbation de la plateforme pour qu’ils libèrent les fonds, et la compromission se situait au niveau de l’application, juste au-dessus de la cryptographie elle-même. La signature multisignature vise à imposer plusieurs approbations avant tout transfert d’argent, et le code implanté a contourné cette vérification en contrôlant ce que les approbateurs voyaient. Les 1,5 milliard de dollars qui ont quitté la plateforme sont passés par ce flux unique compromis. Les données de la blockchain et les déclarations des entreprises évaluent les pertes totales à plus de 8 milliards de dollars chez Binance, Bybit et Bitget en 20 mois, et chacun de ces braquages est passé par l’étape d’approbation plutôt que par les clés. Safe{Wallet} est l’interface de signature du protocole Safe, dont les portefeuilles constituent une norme largement adoptée dans le secteur, ce qui explique pourquoi l’incident revient sur le devant de la scène à chaque nouvelle faille. Le cours de Safe recule de 3,3 % sur les dernières 24 heures, tandis que le même schéma se répète. Pour un protocole dont le produit repose sur la confiance dans le processus de signature, un épisode où les signataires ont approuvé des transferts qu’ils n’avaient jamais choisis constitue précisément le type de défaillance que la marque cherche à prévenir.

Trois piratages, aucune clé volée

Le tour de Binance est venu le jeudi 29 octobre, lorsque la plateforme d’échange a perdu environ 6,3 milliards de dollars. Le co-PDG Richard Teng a déclaré que le vol avait commencé par la compromission de l’ordinateur portable d’un ingénieur, et que l’examen mené par l’entreprise n’avait révélé aucune preuve de fuite de clés. « L’attaquant ne s’est pas contenté d’utiliser les autorisations d’un ingénieur, et il ne s’agissait pas d’une simple action en un clic », a déclaré Teng dans son compte rendu officiel de l’incident. En septembre, Bitget a perdu environ 387,5 millions de dollars à la suite de failles dans des produits de sécurité tiers, après quoi de faux ordres de retrait ont suivi son processus habituel de signature. Coinbase, qui n’a fait état d’aucun vol comparable, est l’exemple contraire que le marché étudie désormais. Son modèle de conservation repose sur le calcul multipartite, qui divise chaque clé en fragments conservés sur des machines distinctes, et l’entreprise affirme développer en interne tous ses logiciels critiques pour la sécurité ; les piratages de Bitget comme de Bybit sont passés par des tiers. Greg Tusar, co-PDG de Coinbase Institutional, a décrit cette architecture dans un article publié sur le blog de l’entreprise : « Le MPC garantit que les clés privées complètes ne sont jamais stockées au repos, ni sur une seule machine pendant la signature ou lors de leur utilisation. » Les données on-chain montrent que les portefeuilles de Coinbase détiennent environ 959 000 BTC répartis sur 69,8 millions d’adresses, soit une position d’une valeur de 74,7 milliards de dollars. Dans un fil de discussion sur X, le chercheur Zeeme estime que ce dispositif bloque les trois voies d’attaque, car un ordinateur portable volé ne fournirait qu’un fragment de clé inutilisable. Le directeur technique Rob Witoff a déclaré que la plateforme « surveillait la volatilité des prix et suivait les fonds volés on-chain », tandis que le directeur de la sécurité Jeff Lunglhofer a indiqué que Coinbase bloquait les transferts vers les portefeuilles Binance compromis et avait, par précaution, modifié son stockage à froid. Les clients qui préfèrent retirer leurs fonds de la plateforme peuvent suivre notre guide pour retirer des fonds de Coinbase. L’entreprise n’est pas à l’abri des violations : en 2025, des criminels ont soudoyé des employés du service client à l’étranger pour divulguer des données clients recueillies dans le cadre de son processus KYC. Coinbase a estimé le coût de l’incident entre 180 et 400 millions de dollars, tout en affirmant que les fonds n’avaient jamais été accessibles. En avril, le chercheur Marc Baumann a estimé que Coinbase détenait 84 % des actifs des ETF Bitcoin au comptant américains, soit environ 77 milliards de dollars confiés à un seul dépositaire.

Les risques liés à la signature au-delà des plateformes d’échange

Les trois vols ont un même défaut de conception, qui n’a rien à voir avec la cryptographie : chacun a visé l’étape d’approbation où un humain appose sa signature, précisément ce contre quoi le fractionnement des clés et le développement interne de Coinbase sont conçus pour protéger. Pour SAFE, l’interprétation est moins simple : l’interface de signature du protocole a servi de vecteur lors du vol de Bybit, et le marché réévalue le jeton en fonction de cette association autant que de sa tokenomics. Notre page d’analyse technique de SAFE suit la manière dont le jeton absorbe chaque nouvelle information sur la sécurité. Les portefeuilles matériels soulèvent des questions similaires concernant la chaîne d’approvisionnement, comme l’a montré depuis mars 2026 le rapport sur l’implant dans des appareils CryptoBilis Safe 5. Avec 84 % des actifs des ETF Bitcoin au comptant américains confiés à un seul dépositaire, cette même étape d’approbation protège désormais les fonds de Wall Street. Les pertes sont supportées par les plateformes d’échange et leurs utilisateurs ; Coinbase affirme suivre les fonds volés on-chain, mais les faits ne laissent aucune possibilité de récupérer ce qui a été dérobé.