Le 29 octobre, en environ 20 minutes, 6,3 milliards de dollars ont quitté les portefeuilles de Binance. C'est le plus grand vol de l'histoire des cryptomonnaies, plus de quatre fois la taille du piratage de Bybit en février 2025.
Selon le propre récit de la plateforme d'échange, le point d'entrée était l'ordinateur d'un ingénieur — il a été compromis après un faux entretien d'embauche.
Deux jours plus tard, Binance a annoncé avoir restauré 98 % des actifs grâce à ses propres fonds ; un jour après cela, les retraits ont repris.
Rappelez-vous ce dernier fait. C'est le plus important, et le moins discuté.
Pour l'homme au marteau, tout ressemble à un clou
Mt. Gox (2014), QuadrigaCX (2019), FTX (2022), Bybit (2025), Binance (2026) — voici juste les plus notoires. Les problèmes diffèrent, mais la réponse est toujours la même : l'auto-conservation. Après tout, « pas vos clés, pas vos pièces ».
Cette prémisse est techniquement correcte. Si vous ne détenez pas les clés privées, vous ne contrôlez pas les actifs : tout ce que vous possédez est une créance contre le détenteur.
Mais la conclusion que les gens en tirent habituellement n'est pas « l'auto-conservation est nécessairement plus sûre ».
Le cimetière des vaincus est silencieux, sauf si les vaincus sont assez grands
Quand une plateforme d'échange est attaquée, le monde entier le voit. Des milliards de dollars d'exposition, un communiqué officiel, une couverture internationale murale.
Mais quand un individu perd tout, presque personne ne le sait jamais. Même si la perte se produit on-chain et est, à proprement parler, publique, combien de gens ordinaires iront fouiller les enquêtes sur la blockchain ? Le public ne voit que les nouvelles.
Beaucoup de ces victimes ne déposent même pas de plainte — par honte, ou par incrédulité.
Du côté de l'enquêteur, la scène est toujours familière : la victime se présente avec un hash de transaction, espérant que quelqu'un pourra « geler ces bitcoins ».
À moins que toutes les conditions ne s'alignent par hasard (la victime signale à temps avec des documents complets, rencontre un fonctionnaire compétent, et les fonds finissent par affluer vers une plateforme d'échange ou un jeton gelable), le résultat est souvent très mauvais.
Les attaques contre les grandes plateformes d'échange ne sont pas les plus fréquentes. Elles sont juste du genre que tout le monde peut voir.
Un menu sélectionné de risques de l'auto-conservation
Remettre volontairement sa phrase de récupération. Le 10 janvier 2026, un investisseur a lu à voix haute la phrase de récupération de son portefeuille matériel à un escroc se faisant passer pour le support Trezor. Il a perdu 1 459 BTC et 2,05 millions de LTC, d'une valeur de plus de 282 millions de dollars. L'appareil fonctionnait parfaitement ; c'est son propriétaire qui a échoué.
Fuite de la phrase de récupération. Une photo sur votre téléphone, une note dans le cloud, un e-mail que vous vous envoyez. Personne ne vous a demandé cette suite de mots : ils ont simplement fuité d'eux-mêmes.
Hameçonnage par signature. Vous signez un message hors chaîne autorisant un tiers à transférer vos jetons, afin que l'attaquant puisse les déplacer quand bon lui semble. Comme un chèque en blanc signé laissé dans le tiroir d'un inconnu. Rien qu'en janvier 2026, ces pertes ont atteint 6,3 millions de dollars.
Ironiquement, le vol de Binance a aussi été réalisé au moyen de signatures. Le système de la plateforme d'échange a été amené à signer 50 autorisations d'un coup, et une seule d'entre elles a suffi à livrer à l'attaquant un portefeuille avec 2,2 milliards de dollars de pertes — en une seule transaction.
Attaques à la clé à molette. Le nom vient de la clé à molette. Aucune cryptographie ne peut résister aux menaces physiques contre vous ou votre famille. Au premier semestre 2026, CertiK a recensé 52 incidents de ce type pour un total de 124 millions de dollars ; la France seule en comptait 33.
Empoisonnement d'adresse. Les escrocs plantent dans votre historique de transactions une adresse presque identique à une adresse légitime. Lors de votre prochain transfert, vous copiez la mauvaise. Un seul cas en janvier de cette année a entraîné 12,25 millions de dollars de pertes.
Défaillance de l'appareil. Le 29 juillet, les actifs d'un groupe d'utilisateurs de ColdCard qui ne s'étaient jamais connectés à Internet ont été vidés, en raison d'un défaut de génération aléatoire dans le processus de création des clés. Les pertes ont dépassé mille bitcoins.
Notez ceci : dans chacun des scénarios ci-dessus, la victime a fait confiance à quelque chose. Une ligne d'assistance, le cloud, un site web, son propre jugement, son historique de transactions, un micrologiciel. Et dans chaque scénario, elle a aussi fait confiance à sa propre capacité.
Auto-conservation ou plateforme d'échange ? Un faux dilemme
Toute forme de garde comporte des risques. Ceux qui laissent leurs actifs sur une plateforme d'échange font confiance à sa gouvernance et à sa solvabilité ; ceux qui pratiquent l'auto-conservation font confiance à eux-mêmes, à leurs appareils, à leur logiciel et à tous ceux qui savent qu'ils détiennent du bitcoin. Le problème est le suivant : les gens reconnaissent le premier risque mais ignorent le second.
Il n'existe aucune option qui ne requière aucune confiance. Il n'y a que la confiance reconnue et la confiance ignorée. Et le risque le plus coûteux est celui que l'on ne voit pas.
Personne ne fourrerait toute sa richesse sous le matelas, ni ne la mettrait entièrement dans une seule banque.
La logique devrait être la même pour les crypto-actifs : placer une partie sur une plateforme d'échange solide (ou trois), une partie en auto-conservation appropriée, et une partie en ETF—disons 30 %, 40 % et 30 %. Les proportions exactes dépendent de vos connaissances, de votre situation et de vos objectifs. Cette responsabilité ne peut pas être externalisée. Mauvaise nouvelle, mais mieux vaut le savoir maintenant que plus tard.
Le surlendemain
Assumer ses responsabilités peut réduire le risque, mais ne peut pas l'éliminer. Donc ne demandez pas seulement « quelle option est la plus sûre pour moi », demandez aussi « que m'arrive-t-il après une attaque ».
En mode auto-conservation, il n'y a personne vers qui se tourner. Les 282 millions de dollars de janvier de cette année ont presque immédiatement commencé à être convertis en Monero. Le gel n'est possible que lorsque les fonds atteignent un émetteur de stablecoin ou une plateforme d'échange. La récupération intégrale est l'exception.
En mode plateforme d'échange, vous avez encore une contrepartie. Bybit a restauré les actifs des clients en trois jours ; Bitget a couvert les 388 millions de dollars volés en septembre avec son fonds de protection.
Binance a absorbé 100 % des pertes et a déjà restauré 98 %, ce qui peut être vérifié dans sa preuve de réserves.
Bien sûr, une contrepartie ne vaut quelque chose que si elle est solvable. Et elle pourrait ne pas rendre exactement ce que vous déteniez à l'origine.
Les créanciers de Mt. Gox ont attendu dix ans et n'ont récupéré qu'environ 15 % du bitcoin qu'ils « possédaient ». Grâce à l'appréciation au cours de cette période, cependant, la valeur de cette petite fraction représente plusieurs fois l'intégralité de leur solde de 2014.
Les créanciers de FTX ont reçu des espèces, et non les crypto-actifs figurant sur leurs comptes : environ 120 % de la valeur au moment de l'effondrement de novembre 2022, lorsque le bitcoin était proche de 16 000 $. C'est plus que la valeur à l'époque ; mais bien moins que la valeur actuelle.
Comment choisir la plateforme d'échange de crypto la plus sûre
C'est précisément pourquoi les trois résolutions émises par la Banque centrale du Brésil (BCB) en 2025—n° 519, n° 520 et n° 521—importent.
Pour les investisseurs, ce qui compte le plus n'est pas de savoir si une plateforme d'échange est régulée par la banque centrale, mais quelles exigences elle doit respecter : actifs des clients séparés des actifs propres de l'entreprise, détenus dans des portefeuilles distincts, preuve de réserves fournie et auditée de manière indépendante, et interdiction d'être utilisés pour les activités propres de l'entreprise.
Conclusion
« Pas vos clés, pas vos pièces » concerne le contrôle, pas la sécurité.
Ceux qui retirent toute leur richesse des plateformes d'échange n'ont pas cessé de faire confiance. Ils ont simplement transféré cette confiance, presque toujours à eux-mêmes, sans jamais se demander : mérité-je cette confiance ?
La garde ne consiste pas à choisir à qui ne pas faire confiance, mais à choisir consciemment à qui et à quoi faire confiance.
