Imaginez un instant : en l’espace de quelques heures, près d’un milliard et demi de dollars s’évaporent d’un portefeuille froid. C’est exactement ce qui s’est produit en février 2025. Depuis, une question obsède le secteur : comment empêcher qu’un tel désastre se reproduise ? La réponse de l’un des plus grands acteurs du marché arrive aujourd’hui sous forme de chiffres concrets et d’une refonte totale de ses défenses.
Une transformation née du pire scénario possible
Le 21 février 2025, le monde de la cryptomonnaie a basculé. Un portefeuille froid Ethereum de Bybit a été vidé de plus de 400 000 ETH et d’Ether stakés, pour une valeur estimée à 1,46 milliard de dollars au moment des faits. L’attaque a immédiatement été classée comme le plus grand vol de crypto-actifs jamais enregistré. Les autorités américaines ont rapidement pointé du doigt des acteurs nord-coréens, et plus précisément le groupe Lazarus.
Ce n’était pas seulement un coup porté à une plateforme. C’était un signal d’alarme pour l’ensemble de l’écosystème. Les clés compromises, les processus de signature et les infrastructures internes se sont révélés être le maillon faible, bien plus souvent que le code des smart contracts eux-mêmes. Face à cette réalité, Bybit a décidé de reconstruire son architecture de sécurité de A à Z.
Le rapport de risque et de sécurité du premier semestre 2026, publié récemment, montre l’ampleur de ce chantier. Entre le 1er janvier et le 15 juin 2026, l’exchange affirme avoir intercepté plus de 30 000 demandes de retraits jugées suspectes. Le montant potentiellement protégé dépasse les 700 millions de dollars. Près de 20 000 utilisateurs auraient ainsi évité de lourdes pertes.
Trois couches de défense désormais actives en permanence
La nouvelle stratégie repose sur trois piliers qui fonctionnent de manière simultanée. Le premier concerne la protection des comptes utilisateurs. Le deuxième s’appuie sur une surveillance continue de l’activité on-chain. Le troisième mobilise l’intelligence artificielle pour accélérer l’analyse des alertes tout en laissant les décisions critiques aux équipes humaines.
Cette organisation en couches n’est pas anodine. Elle vise à créer des filets de sécurité qui se chevauchent. Même si un attaquant réussit à contourner une barrière, les autres doivent encore être franchies. L’objectif n’est plus seulement de réagir après coup, mais d’intervenir en amont, parfois en quelques minutes seulement.
David Zong, responsable du contrôle des risques et de la sécurité du groupe, résume la nouvelle philosophie en une phrase : « La course aux armements en cybersécurité est entrée dans l’ère des minutes. » Cette déclaration illustre parfaitement le changement de rythme imposé par les adversaires, qui utilisent eux aussi des outils automatisés et de l’intelligence artificielle pour accélérer la reconnaissance et l’exploitation des failles.
Le monitoring on-chain désormais total
L’un des points les plus marquants du rapport concerne la couverture de surveillance. Bybit indique aujourd’hui suivre 100 % de l’activité on-chain jugée pertinente pour son activité. Cela inclut les contrats des tokens listés, les contrats de l’écosystème, ainsi que l’ensemble de ses portefeuilles froids, tièdes et chauds.
Cette couverture exhaustive a permis d’identifier et de gérer dix incidents de sécurité touchant des projets de tokens présents sur la plateforme. Aucun de ces événements n’a entraîné de pertes pour Bybit. Dans huit cas, les équipes de sécurité ont même réagi avant les autres grandes places de marché. Dans deux situations, l’attaque a été détectée avant même que le projet concerné ne s’en aperçoive.
Le système ne se limite plus à ce qui se passe à l’intérieur de la plateforme. Il observe aussi les mouvements qui se déroulent directement sur les blockchains supportées. Un comportement suspect sur un contrat ou un déplacement inhabituel de fonds peut donc être analysé même si l’incident démarre en dehors de l’infrastructure de l’exchange.
Cette approche répond à une réalité documentée par d’autres acteurs du secteur. Un rapport de sécurité publié en juillet montrait que 88,3 % des quelque 764 millions de dollars volés au deuxième trimestre 2026 provenaient de clés, de signataires ou d’infrastructures compromises. Sur 1 427 projets analysés, seulement 9 % disposaient d’un monitoring tiers et à peine 4 % combinaient surveillance, programme de bug bounty et audit.
Plus troublant encore : quatorze projets avaient été exploités malgré un audit de sécurité préalable. Les attaques avaient touché des appareils de signature, des clés d’administrateur, des systèmes backend, des validateurs de ponts ou d’anciens contrats, plutôt que le code examiné lors des audits classiques.
L’intelligence artificielle comme accélérateur, pas comme décisionnaire
Plus de 100 000 alertes de sécurité ont reçu une analyse assistée par intelligence artificielle durant le premier semestre. Les audits soutenus par l’IA auraient détecté des vulnérabilités de haute sévérité trois à cinq fois plus souvent que les revues manuelles seules. Le délai entre une évaluation de sécurité et les tests suivants est passé d’environ deux semaines à environ deux heures.
La plateforme de red teaming automatisée a évalué 1 489 actifs exposés au public et identifié plus de 100 vulnérabilités de haute sévérité. Le temps moyen entre la découverte d’un actif et le début des tests de pénétration initiaux est tombé sous les 24 heures, contre plusieurs semaines pour les processus purement manuels.
L’intelligence artificielle sert principalement à traiter l’information, à repérer des vulnérabilités et à accélérer les cycles de test. Les spécialistes humains conservent la main sur les décisions complexes. Cette répartition des rôles est présentée comme essentielle : l’IA accélère, l’humain tranche.
Dans un contexte où les attaquants utilisent également l’automatisation pour accélérer leurs opérations, la réduction du délai entre la détection d’une activité suspecte et l’action devient un élément central de la stratégie. Chaque minute gagnée peut représenter des millions de dollars non volés.
Plus de 30 000 retraits bloqués et 212 millions identifiés comme frauduleux
Du côté des comptes utilisateurs, les contrôles ont joué un rôle déterminant. Plus de 30 000 demandes de retrait ont été interceptées. Près de 20 000 utilisateurs auraient ainsi été protégés. La valeur combinée de ces opérations dépasse les 700 millions de dollars. Il s’agit bien de pertes potentielles, et non d’actifs dont on aurait prouvé qu’ils étaient déjà sous le contrôle d’attaquants.
Les premières revues de risque ont pris en moyenne 4,7 minutes. Dans 95 % des cas, le traitement a été achevé en moins de dix minutes. Ces délais très courts sont présentés comme un élément clé pour limiter l’impact d’une tentative de fraude.
Parallèlement, le screening on-chain a permis d’identifier environ 212 millions de dollars de fonds potentiellement liés à des activités frauduleuses. Plus de 10 000 adresses malveillantes ont été ajoutées à la liste noire de la plateforme. L’analyse comportementale et le monitoring soutenu par l’IA ont servi à détecter des schémas de transactions associés à de nouvelles campagnes de fraude.
Le long chemin de la récupération des fonds volés
Au-delà des mesures techniques, Bybit a engagé des actions juridiques et collaboratives pour tenter de récupérer les actifs dérobés en 2025. L’exchange travaille avec des agences d’application de la loi, des sociétés d’intelligence blockchain et d’autres acteurs du secteur.
Début août 2026, une plainte a été déposée aux États-Unis contre la Corée du Nord, son Bureau général de reconnaissance et le groupe Lazarus, devant le tribunal de district de Columbia. L’affaire porte sur l’attaque du 21 février 2025 et vise la restitution des actifs liés au vol. Un juge fédéral a déjà émis une injonction préliminaire interdisant à certains défendeurs non identifiés de transférer ou de disposer des actifs concernés le temps de la procédure.
Ces démarches civiles sont distinctes des enquêtes pénales menées aux États-Unis sur les activités de piratage nord-coréennes. Le FBI avait attribué l’attaque à des acteurs de ce pays et demandé aux exchanges, validateurs et entreprises blockchain de bloquer les transactions liées aux adresses utilisées pour le blanchiment.
Le suivi des fonds s’est avéré de plus en plus difficile. En mars 2025, Bybit indiquait que 88,87 % des fonds restaient traçables, que 7,59 % avaient disparu des radars et que 3,54 % avaient été gelés. En avril, le PDG Ben Zhou annonçait que 27,6 % des fonds volés n’étaient plus traçables après conversion en Bitcoin et dispersion à travers des milliers de portefeuilles, des services cross-chain et des mixeurs.
Un programme de primes et des gels volontaires par d’autres participants de l’industrie ont également été mobilisés. Après l’attaque, Bybit a compensé le manque d’actifs par des achats d’Ether, des prêts et des dépôts de contreparties, tout en maintenant les retraits clients.
Une menace qui n’a pas disparu en 2026
Les chiffres de 2025 restent impressionnants. Les acteurs nord-coréens auraient volé environ 2,02 milliards de dollars en cryptomonnaies cette année-là, le vol de Bybit représentant la majeure partie de ce total. Selon certaines estimations, l’activité cumulative liée à la Corée du Nord aurait atteint près de 6,75 milliards de dollars.
En 2026, la menace s’est poursuivie. Deux attaques liées à Lazarus contre Drift Protocol et KelpDAO en avril auraient drainé ensemble 577 millions de dollars, dont 285 millions pour Drift et 292 millions pour KelpDAO. Ces opérations se sont appuyées sur de l’ingénierie sociale, des appareils compromis et des infrastructures de pont, plutôt que sur des exploits classiques de smart contracts.
Ces exemples confirment que la surface d’attaque s’est déplacée. Les défenses doivent donc évoluer en conséquence. Le monitoring permanent, l’analyse comportementale et la capacité à agir en quelques minutes deviennent des éléments différenciants.
Ce que ces chiffres disent vraiment du secteur
Le rapport de Bybit ne se contente pas de présenter des succès opérationnels. Il met en lumière des tendances plus larges. D’abord, la vitesse est devenue un facteur décisif. Ensuite, la protection ne peut plus se limiter au périmètre interne d’une plateforme. Enfin, l’intelligence artificielle est un outil puissant, mais elle ne remplace pas le jugement humain sur les décisions critiques.
Beaucoup d’observateurs soulignent que la majorité des projets crypto restent sous-équipés en matière de surveillance continue. Le fait que seulement une petite fraction combine monitoring, bug bounty et audit montre l’ampleur du chemin restant à parcourir. Les audits ponctuels, aussi rigoureux soient-ils, ne suffisent plus face à des attaquants qui ciblent les processus et les personnes plutôt que uniquement le code.
Dans ce contexte, les 700 millions de dollars de pertes potentielles évitées par Bybit au premier semestre 2026 prennent une dimension particulière. Ils illustrent ce qu’il est possible d’accomplir lorsque la détection, l’analyse et l’action sont synchronisées à l’échelle de minutes plutôt que de jours.
Les limites et les zones d’ombre qui persistent
Il serait naïf de croire que le problème est résolu. Les 700 millions représentent des pertes potentielles, non des montants dont on a prouvé qu’ils auraient été définitivement perdus sans intervention. De même, le suivi des fonds volés en 2025 montre qu’une part significative a fini par disparaître des radars malgré les efforts déployés.
La procédure judiciaire contre la Corée du Nord et le groupe Lazarus est encore en cours. Aucun jugement définitif n’a été rendu. Les injonctions préliminaires constituent une étape, mais la récupération effective des actifs reste incertaine, surtout lorsque les fonds ont traversé des dizaines de milliers de portefeuilles et de services d’obfuscation.
Par ailleurs, l’adoption de l’intelligence artificielle pour la sécurité soulève elle-même des questions. Protéger les systèmes d’IA contre les manipulations et les attaques adversariales devient un enjeu parallèle. Bybit reconnaît d’ailleurs que la sécurisation de ses propres outils d’IA constitue une priorité.
Une course permanente plutôt qu’une victoire définitive
Ce que montre le rapport du premier semestre 2026, c’est moins une victoire totale qu’une adaptation rapide. Après avoir subi le plus grand vol de l’histoire de la cryptomonnaie, Bybit a reconstruit ses défenses autour de trois axes : protection des comptes, surveillance on-chain exhaustive et accélération par l’intelligence artificielle sous contrôle humain.
Les résultats opérationnels sont tangibles : des dizaines de milliers de retraits bloqués, des centaines de millions de dollars de pertes potentielles évitées, des dizaines de milliers d’adresses blacklistées et une capacité de réaction mesurée en minutes. Ces avancées ne rendent pas les plateformes invulnérables, mais elles élèvent considérablement le coût et la complexité d’une attaque réussie.
Pour l’ensemble du secteur, le message est clair. La sécurité ne peut plus être un exercice ponctuel. Elle doit devenir un processus continu, multi-couches, capable d’observer à la fois l’intérieur et l’extérieur de la plateforme, et de décider en un temps extrêmement court. Les acteurs qui n’intégreront pas cette logique risquent de rester exposés aux prochaines vagues d’attaques, qu’elles viennent de groupes étatiques ou de criminels opportunistes.
Le cas Bybit illustre aussi qu’une catastrophe majeure peut devenir le catalyseur d’une modernisation profonde. Reste à savoir si d’autres plateformes et projets tireront les mêmes leçons avant d’avoir à en payer le prix. Dans un univers où les attaquants progressent à la vitesse de l’automatisation, attendre n’est plus une option viable.
Les mois et les années à venir diront si cette nouvelle approche, centrée sur la vitesse, la couverture totale et l’alliance entre machines et humains, suffira à contenir la menace. Pour l’instant, les 700 millions de dollars interceptés au premier semestre 2026 constituent un signal encourageant, mais aussi un rappel permanent : la vigilance doit rester absolue.
Dans un marché où les volumes se comptent en milliards et où les attaquants disposent de ressources croissantes, chaque amélioration de la détection et de la réaction compte. Bybit a choisi de transformer l’expérience douloureuse de 2025 en un laboratoire grandeur nature de la sécurité crypto moderne. Les résultats de ce laboratoire, encore partiels, méritent d’être suivis de près par l’ensemble de l’écosystème.
Car au-delà des chiffres et des communiqués, c’est bien la confiance des utilisateurs qui se joue. Protéger 700 millions de dollars de pertes potentielles, c’est aussi protéger la crédibilité d’un secteur encore jeune et parfois fragile. Dans cette perspective, les efforts déployés depuis le grand vol de 2025 prennent une dimension qui dépasse largement les seules statistiques d’un rapport semestriel.
