Voir la table des matières Ne plus voir la table des matières
Bybit a publié le 19 août un bilan chiffré de ses défenses automatisées, et le chiffre mis en avant a de quoi retenir l’attention : plus de 700 millions de dollars de retraits bloqués en cinq mois et demi. La plateforme parle d’audit assisté par intelligence artificielle, une pratique qui consiste à faire passer des modèles sur son propre code et sur ses flux de retraits pour repérer les anomalies avant un attaquant.
L’exercice n’est pas anodin venant de cette maison. En février 2025, Bybit avait perdu environ 1,46 milliard de dollars dans le plus gros vol de l’histoire du secteur, attribué au groupe nord-coréen Lazarus. Depuis, la question de savoir qui, de l’attaquant ou du défenseur, profite le plus de l’IA agite les développeurs autant que les plateformes. Ces chiffres sont les premiers à y répondre avec des ordres de grandeur. Que valent-ils vraiment ?
Ce que la plateforme met sur la table
Le communiqué transmis à CoinDesk couvre la période du 1er janvier au 15 juin 2026 et aligne une série de compteurs :
- plus de 30 000 demandes de retrait suspectes arrêtées, protégeant près de 20 000 utilisateurs ;
- plus de 700 millions de dollars de pertes potentielles évitées sur ces seuls retraits ;
- 4,7 minutes en moyenne pour la première revue d’un retrait signalé ;
- 1 489 actifs exposés sur Internet passés au crible, et plus de 100 failles jugées critiques remontées ;
- plus de 100 000 alertes de sécurité traitées avec l’appui de modèles ;
- 212 millions de dollars de fonds rattachés à des fraudes et plus de 10 000 adresses mises sur liste noire.
Aucun de ces compteurs n’est vérifiable de l’extérieur, et la plateforme le reconnaît elle-même. Ils décrivent une activité interne, pas un résultat audité par un tiers.
Leur intérêt tient ailleurs : c’est la première fois qu’un acteur centralisé de cette taille met des ordres de grandeur sur une pratique dont tout le monde parlait sans jamais la chiffrer.
Cinq fois plus de failles critiques que la revue manuelle
Le volet le plus concret concerne l’audit de code. Bybit affirme que la relecture assistée par IA fait remonter jusqu’à cinq fois plus de vulnérabilités de gravité élevée qu’une revue conduite à la main, sur le même périmètre.
Le gain porte surtout sur le temps. Le délai entre l’évaluation d’un système et son test effectif est passé d’environ deux semaines à deux heures, et celui entre la découverte d’un actif exposé et sa mise à l’épreuve est repassé sous les vingt-quatre heures. Dans un métier où une faille publiée se transforme en exploitation en quelques heures, ce raccourcissement change la nature du problème plus sûrement qu’un budget doublé.
Pourquoi ces chiffres arrivent maintenant
La plateforme n’a pas choisi ce calendrier par hasard. Elle sort tout juste d’une année et demie de reconstruction après le vol de février 2025, engage des poursuites contre la Corée du Nord et contre le groupe Lazarus, et doit convaincre des utilisateurs qui n’ont pas oublié. Publier des compteurs est une manière de reprendre la parole sur le terrain où elle avait été le plus durement prise en défaut.
Le discours officiel assume la dimension défensive de l’exercice, tout en gardant une prudence remarquée sur le rôle laissé aux machines.
La course à l’armement en cybersécurité est entrée dans l’ère de la minute. Utiliser l’IA pour renforcer nos capacités de sécurité et de contrôle du risque, tout en sécurisant les systèmes d’IA eux-mêmes, est notre priorité absolue, le jugement humain restant au centre des décisions de sécurité critiques.
David Zong, responsable du contrôle des risques et de la sécurité du groupe Bybit, dans un communiqué transmis à CoinDesk le 19 août 2026
La formule sur le jugement humain n’est pas de la figure de style. Un système qui bloque 30 000 retraits en cinq mois et demi produit forcément des faux positifs, et chaque faux positif est un client dont l’argent est immobilisé le temps d’une vérification.
Des données que personne ne peut recouper
La notion de pertes potentielles mérite qu’on s’y arrête. Il ne s’agit pas de vols avérés interrompus en cours de route, mais de retraits que la plateforme a jugés suspects et suspendus. Une partie d’entre eux relevait sans doute d’attaques réelles, une autre de comptes légitimes mal notés par le modèle, et rien dans les données publiées ne permet de faire la part des deux.
Un observateur extérieur ne dispose d’aucun moyen de recouper ces chiffres avec la blockchain, puisque les transactions bloquées n’ont jamais eu lieu. La prudence s’impose donc sur l’ampleur annoncée, sans invalider pour autant la tendance que ces données décrivent.
Le reste du secteur court après les mêmes outils
Bybit n’est pas seule à retourner ces modèles contre les attaquants, mais elle est la seule à avoir les moyens de se construire son propre outillage. BTCPay Server, dont les nœuds Lightning de commerçants ont été vidés au début du mois d’août, décrit le même basculement dans le rapport de force entre attaquants et défenseurs.
Une lettre ouverte signée le 13 août par des dizaines d’entreprises du secteur, dont Coinbase et Block, demande aux laboratoires d’IA un accès anticipé à leurs modèles les plus puissants. L’argument est simple : les défenseurs travaillent avec des outils plus faibles que leurs assaillants, notamment quand ceux-ci sont adossés à un État. Un collectif bénévole baptisé Bitcoin Red Team a de son côté passé le mois à pointer des modèles sur les bases de code bitcoin, avec des milliers de signalements déposés sur des centaines de projets, le tout sur du temps de calcul offert.
Ce contraste éclaire la portée réelle de l’annonce. Les chiffres de Bybit décrivent ce que produit un outillage financé sur fonds propres, quand les mêmes techniques appliquées au code d’Ethereum reposaient, elles, sur des ressources mendiées.
L’attaquant dispose des mêmes modèles
La symétrie est le point aveugle de tous ces communiqués. Les modèles qui accélèrent la recherche de failles dans un code servent aussi bien à celui qui veut les exploiter, et un attaquant n’a besoin de réussir qu’une fois quand un défenseur doit tenir tous les jours. L’avantage structurel reste du côté de l’offensive, et aucun compteur publié par une plateforme ne renverse cette asymétrie.
L’été 2026 en fournit l’illustration côté matériel, avec la faille qui a coûté 114 millions de dollars aux porteurs de Coldcard. Les défenses s’améliorent, les attaques aussi, et la fenêtre entre les deux se resserre sans jamais se refermer.
Là où l’argent dort vraiment
Une plateforme qui investit dans sa sécurité vaut mieux qu’une plateforme qui n’y investit pas, et les 4,7 minutes de délai moyen de réaction sont un progrès mesurable. Cela ne modifie pourtant pas le point de départ : des jetons laissés sur un compte d’échange appartiennent juridiquement à la plateforme, qui les doit à son client. La qualité de sa défense est un facteur de risque, pas une garantie.
Le partage entre ce qu’on laisse sur une plateforme pour opérer et ce qu’on met en auto-conservation reste l’arbitrage central d’un patrimoine crypto. Les données de marché montrent d’ailleurs que les particuliers détiennent hors plateformes trois fois plus de bitcoins que les fonds cotés de Wall Street.
La vraie information de ce communiqué n’est peut-être pas le montant affiché. Elle tient plutôt dans le délai : deux heures entre l’évaluation d’un système et son test, contre deux semaines auparavant. Ce chiffre-là dit à quelle vitesse le secteur devra désormais réagir, et il vaut pour tout le monde, plateformes comme détenteurs.
