Pourquoi c'est important maintenant
Les hacks-manchettes ne sont pas que des curiosités historiques. Chacun a été un moment où des milliers ou des millions de gens qui se croyaient en sécurité ont découvert qu'ils ne l'étaient pas, et les schémas se répètent. Comprendre les plus gros cas est la voie la plus rapide pour développer un vrai sens du risque de garde — et reconnaître la forme du prochain avant d'en faire partie. Ceci est éducatif, pas un conseil financier.
Mt. Gox — la leçon originale (2014)
Mt. Gox, à son pic en 2013, traitait environ 70 % de tout le trading BTC mondial. Début 2014, il a suspendu les retraits, déposé le bilan et environ 850 000 BTC ont été déclarés manquants — une somme valant des centaines de millions de dollars à l'époque et des dizaines de milliards une décennie plus tard. Des années d'enquête ont pointé un drainage lent sur plusieurs années, mêlant mauvaise gestion interne, sécurité faible et vol externe.
Mt. Gox est l'histoire d'origine de la phrase "pas vos clés, pas vos pièces". Les créanciers ont attendu plus d'une décennie pour un plan de remboursement partiel. La leçon que le reste du crypto a absorbée était simple et brutale : garder des avoirs sérieux sur un exchange est un pari sur l'exchange lui-même, pas seulement sur le marché.
Coincheck — la leçon du cold storage (2018)
Coincheck, alors un gros exchange japonais, a perdu environ 530 millions de dollars de NEM dans une seule attaque en janvier 2018. La cause racine technique était que les fonds visés étaient dans un hot wallet — connecté à internet pour la commodité opérationnelle — plutôt qu'en cold storage. Coincheck a fini par indemniser les utilisateurs depuis son bilan, mais le cas a verrouillé un standard durable : les fonds clients sérieux appartiennent au cold storage, avec seulement la liquidité opérationnelle en hot wallets.
Poly Network — l'étrange (2021)
En août 2021, le protocole cross-chain Poly Network a été drainé d'environ 610 millions de dollars sur plusieurs chaînes. Puis l'attaquant a fait quelque chose d'inhabituel : il a rendu presque tout, a déclaré n'avoir voulu qu'exposer la vulnérabilité et est parti avec une offre de "chef sécurité" du projet. Quelle qu'ait été la motivation, le cas a montré clairement que les smart contracts cross-chain étaient fragiles d'une manière que le marché avait sérieusement sous-estimée — un avertissement qui résonnerait en 2022.
Ronin Network — le réveil des ponts (2022)
En mars 2022, des attaquants ont volé environ 625 millions de dollars d'ETH et de stablecoins sur Ronin, le pont du jeu Axie Infinity. L'attaque a marché parce que cinq des neuf clés de validateur sécurisant le pont avaient été compromises, en partie via une attaque d'ingénierie sociale sur un développeur. Les enquêteurs ont plus tard attribué le vol à un groupe lié à un État.
Ronin a marqué le moment où l'industrie a cessé de traiter les ponts comme de la plomberie et a commencé à les traiter comme le composant le plus risqué du crypto multi-chain. Les leçons étaient à la fois techniques (la décentralisation des validateurs compte, les seuils multisig comptent) et humaines (un seul email de phishing peut coûter des centaines de millions).
Wormhole — la leçon smart contract (2022)
Un mois avant Ronin, en février 2022, le pont Wormhole entre Solana et d'autres chaînes a été exploité pour environ 325 millions de dollars. Celui-ci était du pur risque smart contract : un bug de vérification de signature a permis à un attaquant de mint de l'ETH wrapped sur Solana sans bloquer de vrai ETH de l'autre côté. L'exploit a été patché et Jump Crypto est intervenu pour remplacer les fonds — un filet que la plupart des projets n'ont pas.
Le cas est devenu un exemple manuel de pourquoi le code cross-chain est si dangereux : un seul bug peut mint des actifs fantômes à volonté et la récupération dépend entièrement de la disponibilité d'un autre acteur à absorber la perte.
FTX — quand l'effondrement n'est pas techniquement un hack (2022)
FTX n'était pas un hack au sens protocolaire. C'était un effondrement de fonds clients. En novembre 2022, le deuxième plus gros exchange crypto au monde s'est défait en quelques jours quand il est apparu que les soldes clients avaient servi à soutenir la société de trading affiliée Alameda Research. Des milliards de fonds utilisateurs étaient introuvables ; le fondateur Sam Bankman-Fried a ensuite été condamné pour fraude.
Le cas FTX est inclus aux côtés des hacks techniques parce que pour les utilisateurs le résultat était identique : soldes disparus, pas de récupération. La leçon a renforcé l'originale Mt. Gox avec une clarté brutale. Marketing, sponsorings et façade publique sympathique ne sont pas de la garde. Un nom respectable à l'entrée n'est pas la même chose que la solvabilité sous le capot.
Autres noms à connaître
- Bitfinex (2016). Environ 120 000 BTC volés. L'histoire de récupération s'est étirée sur près d'une décennie et s'est terminée par la saisie par les autorités US d'une grande partie du butin chez les blanchisseurs, un rare cas de restitution partielle.
- Coincheck à nouveau, Cryptopia, Kucoin, Binance (2019). Une série de hacks d'exchange de taille moyenne tout au long de 2019, principalement compensés par les exchanges, a renforcé le message que même les plateformes bien gérées se font percer.
- Pont Nomad (2022). Environ 190 millions drainés dans un free-for-all chaotique après une mise à jour de contrat ayant introduit une faille de vérification — des exploits copier-coller d'utilisateurs lambda ont vidé le pont.
- Celsius et Voyager (2022). Prêteurs centralisés effondrés dans le sillage de la débâcle générale de 2022, bloquant les actifs des clients et révélant l'opacité des pratiques de prêt sous-jacentes.
- Bybit (2025). L'un des plus gros vols individuels jamais enregistrés — environ 1,4 milliard de dollars d'ETH siphonnés via une attaque cold-wallet sophistiquée. L'exchange a couvert les pertes clients depuis son bilan mais le cas a redéfini les hypothèses sur la sécurité opérationnelle du cold storage.
Les leçons récurrentes
Histoires différentes, la même poignée de conclusions :
- La garde est le risque fondamental. Le fil qui relie Mt. Gox à FTX n'est pas la technologie, c'est la garde. Si un tiers peut bouger vos pièces, vos pièces sont exposées à la compétence et à l'honnêteté de ce tiers.
- Les ponts et le code cross-chain sont la couche la plus risquée. Ronin, Wormhole et Nomad sont arrivés la même année. Traitez les actifs pontés comme un seau séparé, plus risqué.
- Les hot wallets concentrent le risque opérationnel. Coincheck et beaucoup de hacks d'exchange ultérieurs ont visé des hot wallets — le standard est désormais le cold storage pour la grande majorité des fonds clients.
- La taille n'est pas la sécurité. Les deux plus grosses pertes de l'histoire du crypto (Mt. Gox à l'époque, FTX et Bybit depuis) ont frappé des firmes qui étaient, à leur moment, leaders de marché. "Grand" n'est pas la même chose que "sûr".
- La récupération est rare. Certains fonds finissent par être rendus — créanciers Mt. Gox, Bitfinex via application US, Wormhole via filet Jump — mais pour la grande majorité des cas, perdu est perdu.
Quoi en faire
- Sortez les avoirs importants des exchanges. La plus grosse défense contre le prochain gros hack est de ne pas figurer sur la liste clients du prochain gros hack. Voir comment stocker la crypto en sécurité pour le setup pratique.
- Traitez les exchanges comme des services, pas des coffres. Utilisez-les pour trader, retirez vite et évitez d'y laisser des soldes long terme.
- Limitez l'exposition aux ponts. Si vous avez besoin d'actifs pontés, traitez-les comme une position plus risquée et dimensionnez en conséquence.
- Surveillez l'actualité. Les premiers signes d'un exchange en difficulté — retards de retraits, silence sur les réseaux, virages marketing soudains — apparaissent souvent des heures ou des jours avant que le pire ne devienne public.
- Diversifiez le risque de contrepartie. Répartir les avoirs entre auto-garde et plus d'un exchange réputé signifie qu'aucune défaillance unique ne vous efface.
Captez les signaux faibles
La plupart des grands effondrements d'exchange envoient des signaux d'alerte avant le communiqué officiel — pauses de retraits, mouvements on-chain inhabituels, défensivité sur les réseaux, exchanges qui colmatent des trous. Zippfeed suit les manchettes sécurité crypto et exchange sur de nombreuses sources avec scoring sentiment et importance, pour que les premiers signaux arrivent dans votre feed avec leur contexte. Plus tôt vous voyez la fumée, plus vous avez le temps de bouger les fonds avant que le feu ne les atteigne.
