En février 2025, le groupe Lazarus a dérobé 1,5 milliard de dollars à Bybit via une compromission de l’interface de signature, faisant de cet incident le plus grand vol de l’histoire crypto, selon l’analyse d’Elliptic. Ni les exchanges institutionnels ni les particuliers ne sont épargnés. Pourtant, selon Chainalysis, la grande majorité des pertes individuelles reste évitable avec des pratiques accessibles.
Au programme
- Le vol Bybit (1,5 Md$ en 2025) illustre que les attaques ciblent désormais la couche humaine et logicielle, pas la blockchain (Elliptic, 2025)
- Hardware wallets, passkeys et seed phrase métallique forment le socle de protection recommandé en 2026 pour tout particulier
- MiCA impose depuis 2024 la ségrégation des fonds clients chez les CASP agréés, renforçant les recours en cas de faillite d’exchange
Pourquoi les piratages crypto explosent-ils encore en 2026 ?
Selon le rapport Chainalysis 2025, les vols de cryptomonnaies ont totalisé plus de 2,2 milliards de dollars sur la seule année 2024. Le vol de DMM Bitcoin (308 M$ en mai 2024), celui d’Atomic Wallet (100 M$ en juin 2023) et la compromission de Stake (41 M$ en septembre 2023) partagent un point commun : l’attaque a ciblé la couche humaine ou logicielle, pas la blockchain elle-même.
Le groupe nord-coréen Lazarus est impliqué dans plusieurs de ces incidents. Sa méthode favorite en 2025 : les fausses offres d’emploi ciblant des développeurs crypto pour leur faire exécuter du code malveillant. Une fois la machine compromise, les wallets de signatures institutionnelles deviennent accessibles.
Pour les particuliers, le phishing reste le vecteur numéro un. En 2023, des milliers d’utilisateurs Ledger ont reçu de faux tickets de support demandant leur seed phrase. En 2024, Coinbase a été ciblé par des campagnes de SMS frauduleux imitant ses alertes de sécurité. Pour comprendre comment ces schémas se déploient en pratique, consultez notre dossier sur les arnaques crypto les plus fréquentes.
Mots de passe : quelle stratégie adopter en 2026 ?
Un mot de passe unique et long reste la première barrière. L’ANSSI recommande des mots de passe d’au moins 12 caractères aléatoires, différents sur chaque service. La réutilisation reste la cause principale des compromissions en cascade : si un exchange secondaire fuite sa base de données, tous vos comptes partageant le même mot de passe deviennent vulnérables.
Les gestionnaires de mots de passe comme Bitwarden (open source, audité), 1Password ou Dashlane constituent la solution recommandée. Ils génèrent des mots de passe jusqu’à 128 caractères, les stockent chiffrés côté client, et ne remplissent pas automatiquement les pages de phishing, ce qui constitue un filet de sécurité supplémentaire.
En 2026, les passkeys (standard WebAuthn/FIDO2, défini par le NIST) commencent à remplacer les mots de passe sur les grands exchanges. Coinbase, Kraken et plusieurs autres les supportent désormais. Une passkey est liée à un appareil physique et résiste aux attaques de phishing par construction : impossible de la saisir sur un faux site.
Comment activer la double authentification sans se piéger ?
La double authentification (2FA) est indispensable sur tout exchange, mais toutes les méthodes ne se valent pas. Les SMS restent le maillon faible : la faille SS7 permet théoriquement de les intercepter, et les attaques par SIM swap ont visé plusieurs titulaires de comptes importants ces dernières années.
L’ordre de préférence recommandé en 2026 :
- Clé de sécurité physique (YubiKey 5 Series, Google Titan Key) : résistante au phishing, impossible à cloner à distance
- Application TOTP (Aegis sur Android, Raivo sur iOS) : plus sûre que les SMS, sauvegardée chiffrée
- SMS : à éviter si possible, à utiliser uniquement en dernier recours
Aegis (Android) présente l’avantage d’être open source et de permettre des exports chiffrés de vos codes TOTP, ce qui évite tout verrouillage en cas de changement de téléphone.
Quel type de wallet choisir pour sécuriser ses fonds ?
Pour les montants significatifs, un hardware wallet reste la référence en 2026. Les modèles actuels, Ledger Stax, Ledger Flex et Trezor Safe 5, signent les transactions dans une enclave sécurisée isolée du système d’exploitation. La clé privée ne quitte jamais l’appareil : même un PC infecté ne peut pas la dérober, comme l’explique la Ledger Academy.
La sauvegarde de la seed phrase sur support métallique (Cryptosteel, Bilodl) protège contre l’incendie et les dégâts des eaux. Un carnet en papier dans un tiroir constitue un risque réel que les supports gravés sur acier inoxydable éliminent. Pour une présentation détaillée de ces appareils, consultez notre guide complet sur les hardware wallets.
Pour les détenteurs institutionnels ou les montants très importants, les wallets MPC (Multi-Party Computation) comme Fireblocks ou Anchorage distribuent la clé privée entre plusieurs fragments : aucun participant seul ne peut signer une transaction. Cette architecture aurait rendu le hack Bybit de 2025 beaucoup plus difficile à exécuter.
Lecture CryptoActu Le hack Bybit illustre une limite des architectures multi-sig classiques : la compromission de l’interface de signature suffit à contourner toutes les protections si les signataires valident un faux écran. Les wallets MPC comme Fireblocks séparent le problème différemment, en distribuant les fragments de clé plutôt qu’en multipliant les approbations d’une même interface. Trois des 5 plus grands hacks DeFi de 2023-2025 partagent ce vecteur d’interface.
Phishing et ingénierie sociale : comment les détecter ?
Le phishing représente plus de 40 % des vols individuels selon Chainalysis. Les attaques se sont sophistiquées depuis 2017 : faux sites identiques à l’original, faux tickets de support Ledger envoyant des milliers de colis physiques en 2023, SMS imitant Coinbase avec une numérotation usurpée.
Quelques réflexes concrets à adopter :
- Vérifiez l’URL caractère par caractère avant toute saisie d’identifiants ou de seed phrase. Un domaine comme
ledger-support.ion’est pasledger.com. - Un support légitime ne demande jamais votre seed phrase (24 mots). Ni Ledger, ni Coinbase, ni personne.
- La technique des alias d’e-mail reste utile en 2026 : si vous avez fourni
votrenom+binance@gmail.comà Binance et recevez un message urgent sur votre adresse principale, c’est un indice immédiat de phishing. - Sur Telegram et Discord, le support officiel d’un projet ne vous contacte jamais en premier. Les fausses offres d’emploi du groupe Lazarus suivent le même schéma : contact entrant, urgence simulée, lien malveillant.
Que faire si vous êtes sur un exchange centralisé ?
Tous les fonds ne peuvent pas rester en cold wallet, notamment si vous tradez activement. Préférez les exchanges disposant d’un agrément CASP en France ou d’une licence équivalente dans l’UE. MiCA impose depuis fin 2024 des règles de ségrégation des fonds et d’assurance. Un exchange sans agrément opère hors cadre légal : en cas de faillite ou de hack, le recours est quasi impossible.
L’affaire Mt Gox reste l’illustration la plus parlante. En 2024, dix ans après sa faillite, les remboursements partiels en bitcoin ont enfin débuté, mais des milliers de créanciers attendent encore leur dû. Notre analyse du cadre régulatoire MiCA pour les exchanges vous aidera à identifier les plateformes conformes.
Activez toutes les alertes de connexion et de retrait disponibles. Définissez une liste blanche d’adresses de retrait : même si un attaquant accède à votre compte, il ne peut pas envoyer les fonds vers une adresse non autorisée. C’est l’une des rares protections qui fonctionne même après une compromission de mot de passe et de 2FA simultanée.
Questions fréquentes
Qu’est-ce qu’une seed phrase et pourquoi est-elle si sensible ?
La seed phrase (12 à 24 mots) est la clé maîtresse de votre wallet. Quiconque la possède contrôle l’intégralité de vos fonds, sans recours possible. Ne la saisissez jamais en ligne, ne la photographiez jamais, et conservez-la sur support physique, idéalement métallique, dans un lieu sécurisé.
Un hardware wallet est-il vraiment indispensable ?
Pour tout montant supérieur à 1 000 euros, un hardware wallet est vivement recommandé. Les modèles Ledger Flex ou Trezor Safe 5 coûtent entre 70 et 250 euros. Ce coût est négligeable face au risque : le hack Atomic Wallet de 2023 a touché des dizaines de milliers de portefeuilles logiciels pour 100 M$ de pertes totales.
Comment vérifier qu’un exchange est agréé en France ?
L’AMF publie la liste des CASP agréés sur son site officiel. Depuis l’entrée en vigueur de MiCA fin 2024, les exchanges opérant dans l’UE sans agrément sont en infraction. Consultez notre guide sur la régulation crypto en France pour une vue d’ensemble des obligations.
Les gestionnaires de mots de passe sont-ils vraiment sûrs ?
Oui, à condition de choisir un service avec chiffrement côté client (zero-knowledge). Bitwarden (open source, audité indépendamment), 1Password et Dashlane vérifient cette condition : même en cas de fuite de leurs serveurs, vos données restent chiffrées. Le risque résiduel porte sur votre appareil local, pas sur leurs serveurs.
À retenir
Les vols de cryptomonnaies ont franchi 2,2 milliards de dollars en 2024 et le vol Bybit de 2025 rappelle que personne n’est à l’abri. Hardware wallet, passkey ou TOTP pour le 2FA, seed phrase sur support métallique, vérification des agréments CASP : ces 4 pratiques couvrent l’essentiel du risque pour un particulier. Surveillez les nouvelles obligations MiCA qui renforcent progressivement la protection des fonds clients.
Sources
-
HACKS & SÉCURITÉ1inch : un exploit TrustedVolumes vide 5,9 M$ en ETH et BTC
