Les exchanges de cryptomonnaies centralisés détiennent d'énormes concentrations de fonds d'utilisateurs dans un nombre relativement restreint de wallets, ce qui en fait, année après année, la cible la plus précieuse de toute l'industrie. Les pratiques de garde se sont considérablement affinées depuis les premiers effondrements d'exchanges de la décennie précédente, pourtant les deux dernières années ont produit certains des plus grands vols de l'histoire de l'industrie. Examiner précisément comment se sont déroulés trois des incidents récents les plus significatifs révèle que le point faible s'est constamment déplacé, loin de la blockchain elle-même, vers l'infrastructure, les personnes et les processus qui l'entourent.
Bybit, février 2025 : le plus grand casse crypto de l'histoire
Le 21 février 2025, Bybit a subi le plus grand vol de cryptomonnaies jamais enregistré, perdant environ un milliard et demi de dollars, soit plus de quatre cent mille ETH et ETH stakés, en un seul incident. Le FBI a officiellement attribué l'attaque au Lazarus Group nord-coréen, opérant sous le groupe qu'il suit sous le nom de TraderTraitor.
La brèche n'a pas trouvé son origine dans les systèmes propres de Bybit. Les attaquants ont compromis l'infrastructure de développement appartenant à Safe Wallet, la plateforme de wallet à signatures multiples sur laquelle s'appuyait Bybit, en ciblant précisément un espace de stockage Amazon Web Services utilisé pour héberger les fichiers JavaScript de l'interface du wallet. Ils ont remplacé un fichier légitime par une version malveillante conçue pour détecter les adresses de wallet spécifiques à Bybit et substituer discrètement les détails de transaction affichés. Lorsque les propres dirigeants de Bybit ont examiné ce qui apparaissait à l'écran comme un transfert de routine et l'ont signé, ils approuvaient sans le savoir une transaction acheminant des fonds directement vers des wallets contrôlés par les attaquants. Les rapports sur l'incident indiquent qu'au moins cent soixante millions de dollars des fonds volés ont été blanchis dans les quarante-huit premières heures, soulignant la rapidité avec laquelle le produit d'un tel vol se déplace une fois qu'il réussit à cette échelle.
WazirX, juillet 2024 : une compromission de wallet à signatures multiples
Le 18 juillet 2024, l'exchange indien WazirX a révélé un vol d'environ deux cent trente-quatre millions de dollars provenant d'un wallet à signatures multiples détenu dans le cadre d'un accord de garde par un tiers. Selon les rapports publics sur l'incident, les attaquants ont créé un faux compte sur l'exchange, y ont déposé des fonds, et ont commencé à acheter un token spécifique selon un schéma conçu pour entraîner le processus de signature du wallet vers une transaction qu'ils contrôlaient. Une fois que les propres signataires de WazirX ont examiné et approuvé ce qu'ils pensaient être une transaction standard, le contrat intelligent sous-jacent régissant le wallet à signatures multiples avait déjà été modifié en faveur de l'attaquant, lui donnant le contrôle total du wallet sans avoir besoin d'aucune des clés privées réelles de WazirX par la suite. L'incident a ensuite été relié par des chercheurs au Lazarus Group.
CoinDCX, juillet 2025 : quand la brèche n'est pas le contrat intelligent
Presque exactement un an après l'incident WazirX, l'exchange indien CoinDCX a révélé un vol d'environ quarante-quatre millions de dollars en juillet 2025. Contrairement aux deux cas précédents, cette brèche n'impliquait aucune vulnérabilité de contrat intelligent ni transaction à signatures multiples manipulée. Les rapports sur l'incident décrivent des attaquants ayant compromis un compte interne utilisé pour l'approvisionnement en liquidité sur une plateforme partenaire, une infrastructure back-end essentiellement conventionnelle, plutôt que de violer directement le stockage à froid de l'exchange. L'incident a illustré que même les exchanges disposant de wallets froids clients bien sécurisés restent exposés via les comptes opérationnels et les intégrations tierces qui soutiennent la gestion quotidienne de la liquidité.
CoinDCX a publiquement déclaré que les fonds des clients n'avaient pas été affectés et que la perte avait été absorbée par la propre trésorerie de l'exchange, un schéma de réponse devenu plus courant chez les exchanges établis à la suite d'une brèche, et qui contraste nettement avec les époques antérieures de l'industrie où un vol comparable pouvait menacer la capacité même d'un exchange à honorer les retraits des clients.
Les points communs entre les trois cas
La confiance dans l'infrastructure et les tiers
Aucune des trois brèches n'a impliqué un assaut direct sur un wallet froid bien sécurisé. Chacune a plutôt ciblé une couche d'infrastructure de confiance qui l'entourait, respectivement le pipeline de développement d'une interface de wallet tierce, la logique d'un contrat à signatures multiples, et un compte interne de liquidité.
L'approbation humaine comme dernière ligne de défense, et son échec
Les incidents Bybit et WazirX ont tous deux spécifiquement mis en échec l'étape de contrôle humain autour de laquelle les dispositifs à signatures multiples sont conçus. Dans chaque cas, une personne a examiné ce qu'elle croyait être une transaction légitime et l'a approuvée, parce que l'information qui lui était présentée avait déjà été manipulée avant d'atteindre son écran.
La rapidité du blanchiment après la brèche
Dans le cas de Bybit spécifiquement, une part significative des fonds volés a transité par des canaux de blanchiment au cours des deux premiers jours. Ce rythme est cohérent avec les schémas plus larges traités dans notre guide sur le blanchiment inter-chaînes, et reflète le peu de temps dont disposent généralement les exchanges et les enquêteurs pour intervenir une fois qu'un vol majeur est détecté.
Dans chacun de ces incidents, la blockchain sous-jacente a fonctionné exactement comme prévu. La défaillance s'est produite dans le logiciel, l'infrastructure ou le processus de contrôle humain environnant qui décidait quelles transactions signer.
Ce qui change dans la sécurité des exchanges
- Les exchanges portent une attention accrue à la chaîne d'approvisionnement logicielle derrière l'infrastructure de wallet tierce, pas seulement aux contrats du wallet lui-même.
- La vérification des transactions se tourne de plus en plus vers des méthodes de confirmation indépendantes et hors bande, plutôt que de faire confiance à ce qu'affiche une seule interface avant la signature.
- Les comptes internes utilisés pour l'approvisionnement en liquidité et les intégrations partenaires sont désormais traités avec le même niveau de sécurité auparavant réservé au stockage à froid.
- La pression réglementaire et sectorielle a accru les attentes concernant la divulgation publique rapide et la coordination avec les forces de l'ordre à la suite d'une brèche.
Un changement significatif visible sur les trois incidents est que les exchanges concernés ont pu absorber la perte et continuer à fonctionner normalement pour les clients, une différence marquée par rapport aux effondrements d'exchanges antérieurs où un vol comparable pouvait menacer directement la solvabilité de la plateforme. Cette résilience reflète des bilans plus solides et des pratiques de réserve plus matures chez les exchanges établis, mais elle ne change rien au fait que les fonds ont bel et bien été volés, ont dû être tracés, et ont transité par les mêmes canaux de blanchiment, indépendamment de qui a finalement supporté la perte financière.
Pourquoi la maturité n'a pas éliminé le risque
Il serait raisonnable de supposer qu'après plus d'une décennie d'effondrements et de vols très médiatisés d'exchanges, les plus grandes plateformes de l'industrie auraient désormais éliminé cette catégorie de risque. Ce que ces trois incidents montrent au contraire, c'est que la cible s'est déplacée plutôt que d'avoir disparu. Les exchanges ont réellement amélioré leurs pratiques fondamentales de garde, la ségrégation du stockage à froid et la transparence des réserves par rapport à il y a dix ans. Les attaquants ont réagi en se tournant vers les couches entourant cette garde, les chaînes d'approvisionnement logicielles, les flux d'approbation à signatures multiples, et les comptes opérationnels dont dépend encore un exchange bien sécurisé pour fonctionner au quotidien. Chaque amélioration dans un domaine a été suivie d'attaquants sondant le prochain maillon faible plutôt que d'abandonner.
Ce que cela signifie pour les utilisateurs
Aucune de ces brèches n'a été causée par une erreur propre à un utilisateur, et aucune n'aurait pu être évitée par de meilleures habitudes de sécurité personnelle. Cela ne signifie pas que les utilisateurs sont impuissants. Répartir les avoirs importants entre plusieurs plateformes limite l'exposition à la défaillance d'un seul exchange, et il importe de comprendre ce à quoi s'attendre si l'exchange que vous avez choisi est un jour affecté. Notre guide sur la compromission de compte d'exchange traite de ce à quoi ressemble une compromission au niveau d'un compte individuel, et notre guide sur ce qui se passe après un piratage de wallet traite des étapes pratiques à suivre si vous êtes affecté par un incident sur n'importe quelle plateforme que vous utilisez.
Il vaut aussi la peine d'observer comment un exchange communique dans les suites immédiates d'une brèche. Chacun des exchanges évoqués ici a rendu l'incident public et s'est engagé à couvrir les pertes des utilisateurs grâce à ses propres réserves, une réponse qui diffère significativement des plateformes qui se murent dans le silence, retardent les retraits sans explication, ou blâment les utilisateurs après une brèche à grande échelle, et c'est un facteur raisonnable à prendre en compte pour décider à quelle plateforme confier des avoirs importants à l'avenir.
Questions fréquentes
Oui, avec environ un milliard et demi de dollars volés en février 2025, il constitue le plus grand vol de cryptomonnaies individuel publiquement enregistré à ce jour, dépassant largement les précédents incidents record. Le FBI a officiellement attribué l'attaque au Lazarus Group nord-coréen.
Bybit a déclaré avoir couvert la perte grâce à ses propres réserves et à des accords de prêt afin de garantir que les retraits des utilisateurs ne soient pas affectés, un contraste notable avec certains effondrements d'exchanges antérieurs où les fonds des utilisateurs avaient été directement perdus. Les fonds volés eux-mêmes restent en grande partie l'objet d'efforts continus de traçage et d'application de la loi.
Un wallet à signatures multiples, ou multisig, exige l'approbation de plus d'une partie autorisée avant l'exécution d'une transaction, dans le but d'empêcher qu'une seule clé compromise puisse déplacer des fonds. Dans les cas de Bybit et de WazirX, les attaquants n'ont pas volé directement les clés de signature. Ils ont manipulé ce que voyaient les signataires ou altéré la logique du contrat sous-jacent, amenant des signataires légitimes à approuver sans le savoir une transaction frauduleuse.
Cela varie considérablement selon les cas. Certaines brèches sont détectées en quelques minutes grâce à une surveillance automatisée des schémas de retrait inhabituels, tandis que d'autres, en particulier celles impliquant des interfaces manipulées ou des comptes back-end, peuvent ne pas être identifiées avant que les fonds n'aient déjà été déplacés et partiellement blanchis.
Sources et lectures complémentaires
- FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
- Inside the $44M CoinDCX Hack: How Hackers Drained Millions Without Touching a Smart Contract · CCN
- CoinDCX vs WazirX: Lessons from India's $44M Crypto Hacks · Crystal Intelligence