Guide de récupération
Que faire si votre exchange crypto est piraté: mesures immédiates, gestion des dommages et options de récupération
Lorsqu'un exchange crypto est piraté, le compte à rebours commence immédiatement. Les attaquants commencent à blanchir les fonds en quelques heures, les preuves forensiques disparaissent des interfaces des exchanges, et une vague de services frauduleux de récupération cible les victimes avant même que les forces de l'ordre n'ouvrent un dossier. Selon Chainalysis, les pirates ont volé 3,4 milliards de dollars aux services crypto en 2025 seulement, la seule violation de Bybit représentant 1,5 milliard de ce total. Si votre exchange vient d'annoncer un piratage ou si vous avez constaté des retraits non autorisés sur votre compte, ce guide vous indique exactement quoi faire, dans le bon ordre, et avec des attentes réalistes sur ce que la récupération implique réellement.
Ce guide ne contient pas de vagues conseils sur le fait de rester calme. Il couvre les étapes forensiques pratiques, les voies de signalement spécifiques via le FBI, Europol et la SEC, ce que les entreprises d'analyse blockchain peuvent et ne peuvent pas faire, et comment évaluer si une option de récupération est légitime ou s'il s'agit d'une arnaque secondaire conçue pour vous victimiser une deuxième fois.
Table des matières
- Ce qui se passe réellement lors d'un piratage d'exchange crypto
- Mesures immédiates à prendre dans les 24 premières heures
- Comment préserver les preuves forensiques pour la récupération et les recours légaux
- Comment signaler le piratage: FBI IC3, Europol, SEC et autorités locales
- Quelles sont les obligations légales et contractuelles de votre exchange
- Analyse forensique blockchain: comment les enquêteurs tracent les fonds volés
- Options de récupération réalistes: ce qui fonctionne et ce qui est une arnaque
- Comment protéger vos actifs sur les exchanges à l'avenir
Ce qui se passe réellement lors d'un piratage d'exchange crypto
Il existe deux scénarios fondamentalement différents. Le premier est une violation de l'infrastructure propre de l'exchange: ses portefeuilles chauds, ses systèmes de signature de portefeuilles froids, ou ses dépendances tierces. Le second est un attaquant accédant au compte d'un client spécifique, généralement par hameçonnage, échange de carte SIM ou bourrage d'identifiants.
Dans un piratage au niveau de l'infrastructure, comme la violation de Bybit en février 2025, les propres systèmes de signature de l'exchange sont compromis et le portefeuille chaud commun ou le contrat à signatures multiples est vidé. Chaque client ayant des actifs sur cet exchange devient une victime. Les 1,5 milliard de dollars volés à Bybit en une seule transaction représentaient 44% de l'ensemble des cryptomonnaies volées dans le secteur en 2025, selon les recherches de Chainalysis.
Dans une compromission au niveau du compte, l'attaquant vous cible spécifiquement. Vos identifiants de connexion, codes 2FA ou jetons de session sont volés, et des retraits sont effectués depuis votre compte.
La violation de Bybit du 21 février 2025 illustre la sophistication que déploient les pirates modernes d'exchanges. Le groupe Lazarus, opérant pour la Corée du Nord sous le nom de campagne TraderTraitor désigné par le FBI, a compromis Safe{Wallet}, l'interface de portefeuille à signatures multiples populaire utilisée par Bybit pour gérer son stockage froid. Les attaquants ont conduit les signataires de Bybit à approuver des transactions qui ont transféré le contrôle d'environ 1,5 milliard de dollars en ETH vers des adresses contrôlées par les attaquants. Le FBI a officiellement attribué l'attaque à la Corée du Nord en mars 2025.
L'analyse forensique de TRM Labs a montré que les fonds ont été immédiatement distribués sur des centaines de portefeuilles et déplacés via des ponts, des mixeurs et des exchanges décentralisés. L'opération de blanchiment utilisait des tranches inférieures à 500 000 dollars pour éviter de déclencher des alertes automatiques.
Les pirates nord-coréens dominent les attaques d'infrastructure
Les groupes liés à la Corée du Nord ont volé 2,02 milliards de dollars en cryptomonnaies en 2025, une augmentation de 51% d'une année sur l'autre, et sont responsables de 76% de la valeur attribuée aux événements de compromission de services. Leur total cumulé depuis 2022 dépasse 6,75 milliards de dollars, selon Chainalysis.
Les exchanges centralisés détiennent les actifs des clients dans un modèle de garde: l'exchange contrôle les clés privées, et vous détenez une créance sur ces actifs. La portion conservée dans les portefeuilles chauds pour la liquidité constitue la principale surface d'attaque. Même le stockage froid n'est pas à l'abri lorsque le logiciel ou le matériel de signature est compromis.
Le blanchiment post-piratage suit des schémas prévisibles. En quelques heures, les fonds volés sont répartis sur des dizaines à des centaines de portefeuilles. Au cours des 24 à 72 heures suivantes, les fonds transitent par des mixeurs, des ponts inter-chaînes et des courtiers OTC. Entre le 3e et le 7e jour, la conversion en monnaies fiduciaires ou en actifs stables commence. Cette chronologie définit votre fenêtre de réponse.
Mesures immédiates à prendre dans les 24 premières heures
Critique: n'envoyez pas de fonds supplémentaires
L'un des préjudices secondaires les plus courants est que les victimes envoient des cryptomonnaies supplémentaires à un exchange compromis pour couvrir des frais ou débloquer des actifs affectés. Aucun exchange légitime ne vous demandera jamais d'envoyer des fonds pour récupérer des fonds. Arrêtez tous les dépôts immédiatement.
Étape 1: Arrêtez toute activité et évaluez la situation. Fermez tous les onglets de l'exchange, arrêtez les ordres en attente, et faites le point sur les actifs que vous possédez et ceux qui manquent.
Étape 2: Retirez les actifs accessibles immédiatement vers un portefeuille matériel (Ledger, Trezor) que vous contrôlez. Si les retraits sont suspendus, enregistrez l'horodatage exact de votre tentative de retrait échouée.
Étape 3: Sécurisez votre compte depuis un appareil propre. Changez votre mot de passe. Activez la 2FA basée sur du matériel (YubiKey). Activez la liste blanche des adresses de retrait. Vérifiez si votre email a été compromis.
Étape 4: Révoquez les autorisations de jetons des portefeuilles connectés en utilisant Revoke.cash, l'onglet Approbations de jetons d'Etherscan, ou l'équivalent blockchain.
Étape 5: Prenez des captures d'écran complètes avant que quoi que ce soit ne disparaisse: solde du compte, historique complet des transactions (TXIDs), notifications d'incident, alertes de transactions non autorisées.
Étape 6: Contactez le support de l'exchange et créez un ticket formel avec tous les détails des transactions non autorisées. Demandez un accusé de réception écrit.
Étape 7: Déposez un signalement auprès du FBI IC3 (ic3.gov) dans les premières 24 heures. Le FBI IC3 a signalé plus de 11 milliards de dollars de pertes totales liées aux cryptomonnaies en 2025, plus de 180 000 plaintes individuelles. Si vous avez plus de 60 ans, contactez également la Ligne nationale contre la fraude aux personnes âgées au 1-833-372-8311.
Comment préserver les preuves forensiques pour la récupération et les recours légaux
La préservation des preuves est l'étape que la plupart des victimes négligent. Le Guide de récupération d'actifs du GAFI de novembre 2025 souligne que la rapidité et l'intégration de l'analyse blockchain à la collecte de preuves sont les facteurs clés du succès.
Preuves de transactions on-chain: Collectez pour chaque transaction non autorisée: l'identifiant de transaction (TXID), l'adresse du portefeuille source, les adresses du ou des portefeuilles de destination, les montants exacts et types d'actifs, les horodatages de bloc et numéros de bloc, ainsi que les étapes intermédiaires des portefeuilles via les explorateurs de blocs (Etherscan, Blockchain.com, BscScan). Enregistrez les pages en PDF avec des captures d'écran horodatées montrant la barre d'URL.
Historique du compte et enregistrements hors chaîne: Téléchargez: l'historique des transactions (CSV ou PDF), les enregistrements de dépôts et de retraits, les relevés de compte, la documentation KYC et les messages internes de l'exchange. Collectez également: les emails de hameçonnage reçus avant l'incident, les alertes de sécurité et les notifications 2FA que vous n'avez pas initialisées.
Communications de l'exchange: Sauvegardez toutes les communications de l'exchange relatives au piratage: réponses du support, annonces par email, articles de blog et publications sur les réseaux sociaux. Archivez les pages web en utilisant web.archive.org/save/ ou une imprimante PDF.
Organisez votre dossier de preuves: Créez un dossier unique sauvegardé à au moins deux emplacements (cloud et local) contenant: une chronologie horodatée, tous les enregistrements de transactions, toutes les captures d'écran, tous les fichiers de compte téléchargés, et un résumé narratif rédigé.
Avis de conservation légale
Si vous envisagez d'engager un contentieux civil, ne supprimez aucun email, message texte ou journal d'appareil lié à l'exchange.
Comment signaler le piratage: FBI IC3, Europol, SEC et autorités locales
Déposer des signalements auprès de plusieurs autorités est stratégiquement nécessaire. Chaque agence dispose de compétences juridictionnelles et d'outils d'exécution différents.
FBI IC3 (ic3.gov): Le principal portail de signalement américain. Le rapport annuel IC3 2025 a documenté plus de 11 milliards de dollars de pertes totales liées aux cryptos et plus de 180 000 plaintes individuelles. L'IC3 alimente l'Opération Level Up avec ses plaintes, qui aurait permis d'éviter plus de 500 millions de dollars de pertes supplémentaires. Incluez: le nom de l'exchange, la date de l'incident, l'email du compte, tous les TXIDs et adresses de portefeuilles non autorisés, le montant total perdu et un récit clair.
Europol et unités nationales de cybercriminalité: Le portail d'Europol sur europol.europa.eu achemine les plaintes vers l'unité nationale de cybercriminalité compétente. Les opérations 2025 d'Europol ont inclus le démantèlement d'un réseau de fraude aux cryptomonnaies blanchissant plus de 700 millions d'euros. Royaume-Uni: Action Fraud. Canada: Centre antifraude du Canada. Australie: ReportCyber.
SEC (sec.gov/tcr): Si votre exchange était une entité enregistrée aux États-Unis ou proposait des produits que la SEC considère comme des valeurs mobilières. Le groupe de travail Crypto de la SEC a restitué 262 millions de dollars aux investisseurs lésés au cours de l'exercice fiscal 2025.
Forces de l'ordre locales: Un rapport de police local crée un enregistrement officiel requis pour les demandes d'assurance, les avocats civils et les tribunaux civils.
Ce qu'il faut inclure dans chaque plainte
Nom et URL de l'exchange, email du compte, date et heure des transactions non autorisées, tous les TXIDs, adresses des portefeuilles d'envoi et de réception, types d'actifs et montants, valeur approximative en USD au moment du vol, et tout identifiant connu de l'attaquant.
Quelles sont les obligations légales et contractuelles de votre exchange
La plupart des victimes supposent que l'exchange est légalement obligé de les indemniser. La réalité est considérablement moins favorable.
Clauses des Conditions d'utilisation: Pratiquement toutes les Conditions d'utilisation des exchanges crypto centralisés: (1) déclinent la responsabilité pour les pertes dues à des failles de sécurité; (2) invoquent la force majeure; (3) exigent un arbitrage obligatoire et renoncent aux droits d'action collective; (4) plafonnent la responsabilité maximale de l'exchange. Ces conditions sont largement exécutoires.
Les cryptomonnaies ne sont pas assurées par la FDIC ou la SIPC: La FDIC assure les dépôts bancaires jusqu'à 250 000 dollars. La SIPC protège les valeurs mobilières jusqu'à 500 000 dollars. Aucune des deux ne s'étend aux cryptomonnaies sur les exchanges crypto. La FTC a émis une alerte spécifique aux consommateurs après que plusieurs exchanges ont prétendu de manière trompeuse bénéficier de la protection FDIC.
Assurance privée contre les délits: Certains exchanges comme Coinbase et Kraken maintiennent des polices d'assurance privée contre les délits couvrant une partie des pertes des portefeuilles chauds. Ces polices sont généralement plafonnées à une fraction du total des actifs sous gestion. La décision de Bybit de couvrir volontairement toutes les pertes des clients après sa violation de 2025 était exceptionnelle.
Obligations réglementaires en vertu du MiCA et du GAFI: Le règlement MiCA de l'UE impose des exigences de protection accrue des consommateurs aux prestataires de services sur actifs cryptographiques. L'analyse 2026 d'Elliptic note une expansion significative de la surveillance réglementaire américaine. Les exchanges relevant de ces régimes font face à une norme juridique plus élevée.
Ce qu'il faut exiger de votre exchange par écrit: Un rapport complet sur l'incident; la confirmation des actifs perdus sur votre compte; un calendrier de détection et de réponse; une déclaration sur la couverture d'assurance; et les coordonnées du responsable de liaison avec les forces de l'ordre de l'exchange.
Analyse forensique blockchain: comment les enquêteurs tracent les fonds volés
La blockchain publique est un registre permanent et immuable. Chaque transaction est enregistrée et le flux des fonds est traçable.
Ce que font les entreprises d'analyse blockchain: Chainalysis, TRM Labs et Elliptic construisent des bases de données d'attribution associant des adresses de portefeuilles à des entités connues: exchanges, mixeurs, marchés darknet, adresses sanctionnées et acteurs de menaces identifiés. Forensics de TRM Labs couvre plus de 40 blockchains, utilise le clustering comportemental et applique la reconnaissance de schémas pour détecter les techniques de chaîne d'épluchage. Le traçage inter-chaînes de Chainalysis a suivi 1,5 milliard de dollars en ETH à travers des ponts, des DEX et des services de mixage.
Réseau TRM Beacon: TRM Labs exploite le réseau Beacon, un réseau en temps réel qui alerte les exchanges membres lorsque des fonds illicites se dirigent vers leurs adresses de dépôt. Les exchanges membres peuvent bloquer les fonds avant que l'attaquant n'initie un retrait.
La rapidité est la principale variable du succès forensique
Le Guide de récupération d'actifs 2025 du GAFI identifie la rapidité de réponse et la collaboration public-privé comme les deux facteurs les plus critiques. Faire appel à une entreprise forensique dans les 24 à 48 heures améliore matériellement les résultats.
Demandes de gel auprès des exchanges: Le processus implique: (1) l'entreprise forensique générant un rapport identifiant l'exchange et l'adresse de dépôt; (2) les forces de l'ordre envoyant une demande juridique formelle; (3) l'exchange plaçant un blocage; (4) une ordonnance du tribunal sécurisant les fonds.
Capacités de saisie du DOJ et du FBI: Le DOJ et le FBI ont saisi des actifs cryptographiques substantiels dans plusieurs affaires. Dans le piratage de Bitfinex, les enquêteurs ont récupéré 3,6 milliards de dollars en Bitcoin des années après le vol. Les saisies vont au gouvernement américain et sont distribuées via le processus de remise du DOJ. L'affaire OneCoin d'avril 2026 a rendu 40 millions de dollars disponibles pour les victimes.
Coordination transfrontière d'Europol: Le J-CAT d'Europol coordonne les enquêtes blockchain dans les États membres de l'UE. Son démantèlement en 2025 d'un réseau blanchissant plus de 700 millions d'euros a impliqué des arrestations dans neuf pays.
Options de récupération réalistes: ce qui fonctionne et ce qui est une arnaque
La récupération est possible dans environ 25 à 40% des cas qui aboutissent à une action en justice accompagnée d'un rapport forensique professionnel. Pour la plupart des victimes de détail, les taux de récupération directe sont inférieurs à 5%.
Voie 1 (indemnisation volontaire par l'exchange): Le résultat le plus favorable est qu'un exchange compense volontairement les pertes, comme Bybit l'a fait après sa violation de 2025 en couvrant l'intégralité des 1,5 milliard de dollars. Bybit a également offert une prime de 10% pour le retour des fonds volés. Ce modèle est exceptionnel.
Voie 2 (analyse forensique blockchain et gel de l'exchange): Faire appel à une entreprise forensique blockchain dans les 24 à 48 heures, produire un rapport forensique professionnel, et l'utiliser pour soutenir les demandes de gel des forces de l'ordre. TRM Labs, Chainalysis et Elliptic proposent tous des services d'intervention sur incident.
Voie 3 (contentieux civil): Disponible lorsque vous pouvez établir que la négligence de l'exchange a causé votre perte. Les recours collectifs modifient considérablement l'économie du litige. Des actions collectives notables liées aux piratages crypto ont abouti à des règlements.
Voie 4 (confiscation gouvernementale et remise): Lorsque le DOJ, le FBI ou l'IRS saisit des actifs cryptographiques, les victimes peuvent enregistrer des créances via le Programme de confiscation d'actifs du DOJ. Le processus OneCoin d'avril 2026 a rendu 40 millions de dollars disponibles; la SEC a restitué 262 millions de dollars via son mécanisme de fonds équitable.
Avertissement: les arnaques de récupération sont le deuxième crime
Les fraudeurs surveillent activement les réseaux sociaux et les forums pour des mentions de piratages crypto. Ils contactent les victimes en quelques heures en se faisant passer pour des spécialistes de la récupération. La récupération crypto garantie contre des frais anticipés n'existe pas.
Signaux d'alarme d'une arnaque à la récupération:
- Paiement anticipé requis en cryptomonnaie
- Affirmations de succès garanti
- Demande de clés privées ou de phrases de récupération
- Usurpation d'identité du FBI, d'Europol ou de la SEC (ces agences n'offrent pas de services de récupération payants)
- Pas de crédentiels vérifiables, de site web public ou de personnel nommé
- Tactiques de pression conçues pour vous empêcher de vérifier les crédentiels
Le rapport 2025 du FBI IC3 souligne spécifiquement la fraude à la récupération comme une catégorie secondaire significative et croissante de la criminalité crypto.
Comment protéger vos actifs sur les exchanges à l'avenir
Ne conservez que ce dont vous avez besoin sur l'exchange: ne gardez pas plus de cryptomonnaies sur un exchange que ce dont vous avez besoin pour le trading actif. Les avoirs à long terme appartiennent au stockage froid que vous contrôlez (Ledger, Trezor, Coldcard).
Utilisez la 2FA basée sur du matériel: La 2FA par SMS est vulnérable aux attaques par échange de carte SIM. YubiKey et les clés de sécurité matérielles similaires génèrent une authentification cryptographique qui ne peut pas être interceptée. Chaque exchange prenant en charge la 2FA matérielle devrait l'avoir activée.
Activez les listes blanches d'adresses de retrait: Pré-approuvez les adresses de retrait. Si un attaquant compromet votre compte, il ne peut pas retirer vers une adresse non approuvée. La modification de la liste blanche nécessite généralement 24 à 48 heures et une confirmation par email.
Utilisez des identifiants uniques et un gestionnaire de mots de passe: Utilisez un mot de passe unique généré aléatoirement pour chaque exchange, stocké dans un gestionnaire de mots de passe réputé (1Password, Bitwarden).
Surveillez l'exchange que vous utilisez: Vérifiez: (1) les attestations de preuve de réserves; (2) les audits de sécurité tiers; (3) la couverture d'assurance; (4) l'historique des incidents.
Diversifiez entre les exchanges: Ne concentrez pas tous les actifs détenus sur exchange sur une seule plateforme. Traitez chaque exchange comme une contrepartie avec une limite de crédit.
Points clés à retenir:
- Les pirates ont volé 3,4 milliards de dollars aux services crypto en 2025; les piratages au niveau des exchanges ne peuvent souvent pas être évités par les victimes individuelles
- Votre réponse dans les premières 24 heures est le principal déterminant des perspectives de récupération
- Les cryptomonnaies ne sont pas assurées par la FDIC ou la SIPC; les promesses d'assurance des exchanges sont volontaires
- L'analyse forensique blockchain peut traçer les fonds même à travers les mixeurs et les ponts, mais la rapidité est critique
- Une récupération significative nécessite une analyse forensique professionnelle plus une coordination avec les forces de l'ordre; les offres de récupération garantie sont des arnaques
- La protection la plus efficace est structurelle: portefeuilles matériels, 2FA matérielle, listes blanches de retraits
Guides associés:
Vous avez perdu des fonds lors d'un piratage d'exchange?
Recoveris mène des enquêtes professionnelles on-chain pour tracer les cryptomonnaies volées, constituer des dossiers de preuves forensiques et soutenir la coordination avec les forces de l'ordre. Contactez-nous pour une évaluation confidentielle.
Parler à un enquêteurTestez votre préparation à la récupération
Posez-vous ces questions:
- Avez-vous conservé tous les identifiants de transaction et adresses de portefeuille?
- Avez-vous déposé un signalement auprès du FBI IC3 ou de votre unité nationale de cybercriminalité?
- Avez-vous contacté l'exchange par écrit?
- Avez-vous évité d'envoyer des fonds supplémentaires ou de contacter des services de récupération non sollicités?
Références
- 1Chainalysis. Rapport sur la criminalité crypto 2026 : piratage. Chainalysis, janvier 2026. https://www.chainalysis.com/blog/crypto-hacking-stolen-funds-2026/
- 2Bureau fédéral d'enquête. La Corée du Nord responsable du piratage de Bybit à 1,5 milliard de dollars. Alerte de la Division cybernétique du FBI, mars 2025. https://www.fbi.gov/investigate/cyber/alerts/2025/north-korea-responsible-for-1-5-billion-bybit-hack
- 3Centre de plaintes pour les crimes sur Internet du FBI. Rapport annuel sur la criminalité sur Internet 2025. IC3, 2026. https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf
- 4Groupe d'action financière. Orientations sur la récupération d'actifs et meilleures pratiques. GAFI, novembre 2025. https://www.fatf-gafi.org/en/publications/Methodsandtrends/asset-recovery-guidance-best-practices-2025.html
- 5TRM Labs. Le piratage de Bybit : suivre le plus grand exploit nord-coréen. Blog TRM Labs, mars 2025. https://www.trmlabs.com/resources/blog/the-bybit-hack-following-north-koreas-largest-exploit
- 6TRM Labs. Réponse aux incidents crypto. TRM Labs, 2025. https://www.trmlabs.com/incident-response
- 7Europol. Signaler un cybercrime en ligne. Europol, 2024. https://www.europol.europa.eu/report-a-crime/report-cybercrime-online
- 8Europol. Démantèlement international d'un réseau de fraude aux cryptomonnaies blanchissant plus de 700 millions d'euros. Communiqué de presse Europol, 2025. https://www.europol.europa.eu/media-press/newsroom/news/international-takedown-of-cryptocurrency-fraud-network-laundering-over-eur-700-million
- 9Commission des valeurs mobilières des États-Unis. Groupe de travail sur les actifs cryptographiques. SEC, 2025. https://www.sec.gov/securities-topics/crypto-task-force
- 10Chainalysis. Piratage de Bybit février 2025 : analyse de sécurité crypto RPDC. Chainalysis, février 2025. https://www.chainalysis.com/blog/bybit-exchange-hack-february-2025-crypto-security-dprk/
- 11Elliptic. Comment la réglementation crypto américaine est réécrite en 2026. Elliptic Insights, 2026. https://www.elliptic.co/insights/how-us-crypto-regulation-is-being-rewritten-in-2026/
- 12Département de justice des États-Unis. Le Département de justice annonce le processus d'indemnisation pour les victimes de la fraude OneCoin. Communiqué de presse DOJ, avril 2026. https://www.justice.gov/opa/pr/justice-department-announces-compensation-process-onecoin-fraud-victims-funds-recovered
- 13Groupe d'action financière. Mise à jour ciblée sur la mise en œuvre des normes du GAFI pour les actifs virtuels. GAFI, 2026. https://www.fatf-gafi.org/en/publications/Fatfrecommendations/targeted-updated-virtualassets-vasps-2026.html
- 14Commission fédérale du commerce. Des sociétés crypto affirmant bénéficier de l'assurance FDIC ? Pas si vite. Alerte consommateur FTC, octobre 2023. https://consumer.ftc.gov/consumer-alerts/2023/10/crypto-companies-touting-fdic-insurance-not-so-fast
- 15TRM Labs. Réseau Beacon : réponse en temps réel aux crimes crypto. TRM Labs, 2025. https://www.trmlabs.com/beacon-network