White Hat, Grey Hat, Black Hat : les trois visages du hacking crypto
White Hat, Grey Hat, Black Hat : les trois visages du hacking crypto
Février 2022. Le protocole Wormhole perd 320 millions de dollars en une nuit.
Mai 2022. Le même protocole reçoit un message d'un inconnu. Il a trouvé une faille encore plus grave. Il n'a rien pris. Il veut juste prévenir.
Trois mois séparent ces deux événements. Le même code. La même vulnérabilité potentielle. Deux hommes aux compétences comparables.
L'un a volé. L'autre a été payé 10 millions de dollars pour ne pas voler.
Cette différence a un nom. Et comprendre ce nom pourrait un jour te sauver ton argent.
Trois chapeaux, trois mondes
Dans les westerns américains, les cowboys du camp du bien portaient des chapeaux blancs. Ceux du camp du mal portaient des chapeaux noirs. Les hackers ont repris cette image dans les années 1990 pour se classer entre eux, et le vocabulaire est resté.
Le white hat attaque avec permission. Il est payé pour trouver les failles avant les criminels, et il ne touche jamais aux fonds. C'est un chirurgien qui ouvre le patient pour le soigner, pas pour lui voler un rein.
Le black hat attaque pour voler. Point. Pas de nuance, pas de justification, pas de retour de fonds.
Le grey hat est celui qui rend l'affaire compliquée. Il attaque sans permission, mais il ne garde pas. Il expose la faille en la prenant en otage, puis rend les clés. Il est illégal et utile en même temps.
Trois affaires réelles vont te montrer exactement où passent ces frontières — et pourquoi elles sont parfois impossibles à tracer.
Le Black Hat : six jours de silence chez Axie Infinity
Mars 2022. Un ingénieur senior de Sky Mavis reçoit un message LinkedIn.
C'est une offre d'emploi. Excellente. Personnalisée. Le salaire est bien au-dessus de ce qu'il gagne. Le recruteur est professionnel, patient, connaît son parcours. Un faux entretien est organisé. Un document est envoyé. L'ingénieur l'ouvre.
Il vient d'ouvrir la porte au plus gros hack de l'histoire de la DeFi — la finance décentralisée, c'est-à-dire tous ces services financiers qui fonctionnent sur blockchain, sans banque ni intermédiaire.
Les attaquants sont maintenant à l'intérieur des systèmes de l'entreprise qui gère Axie Infinity, un jeu où des millions de joueurs asiatiques gagnent de vraies cryptomonnaies. Ce jeu tourne sur un réseau appelé Ronin, protégé par un système en apparence infaillible : neuf validateurs — neuf entités distinctes dont la signature numérique est nécessaire pour autoriser un transfert. Il en faut cinq pour qu'une transaction passe. Convaincre cinq gardiens différents en même temps devrait être impensable.
Les hackers en contrôlent déjà quatre grâce à leur intrusion. Il leur en manque un.
Ils le trouvent dans une backdoor — une porte d'accès oubliée, laissée ouverte dans le code des mois plus tôt et jamais refermée. Cinq signatures. Le seuil est atteint.
Le 23 mars 2022, ils vident le bridge du réseau — le pont technique qui permet de transférer des actifs entre deux blockchains. Deux transactions suffisent : 173 600 ETH et 25,5 millions d'USDC. Environ 624 millions de dollars.
Et personne ne s'en aperçoit.
Pendant six jours, Sky Mavis continue de fonctionner normalement. Les joueurs jouent. L'entreprise communique. Les coffres sont vides et personne ne le sait.
Le 29 mars, un utilisateur signale qu'il n'arrive pas à retirer 5 000 ETH. On vérifie. On comprend. Il est trop tard.
Le FBI attribuera l'attaque au Lazarus Group, une organisation cybercriminelle liée à l'État nord-coréen. Les fonds serviront à financer un programme d'armement. Aucun message. Aucune négociation. Aucun remords.
C'est ça, un black hat.
Le White Hat : celui qui a vu le trou et n'a pas sauté dedans
Retour à Wormhole. Mais cette fois, en février 2022, quelques jours seulement après que le protocole ait perdu 320 millions de dollars dans son premier hack.
Wormhole est un bridge — encore un pont entre blockchains, la catégorie d'infrastructure la plus attaquée de tout l'écosystème crypto. Après le désastre de février, l'équipe fait ce que font les projets sérieux : elle lance un programme de bug bounty via la plateforme Immunefi.
Un bug bounty, c'est une prime offerte à quiconque découvre une faille et la signale au lieu de l'exploiter. La logique est brutalement simple : payer un million de dollars à un chercheur coûte infiniment moins cher que de perdre cent millions dans un hack.
Le 24 février 2022, un hacker anonyme sous le pseudonyme satya0x trouve quelque chose.
Il analyse le contrat principal de Wormhole sur Ethereum. Il découvre une vulnérabilité critique qui pourrait geler définitivement les fonds des utilisateurs — c'est-à-dire les rendre inaccessibles pour toujours, sans possibilité de récupération.
Il a le code. Il a la compréhension. Il a l'opportunité.
Il ne touche à rien.
Il rédige un rapport détaillé et l'envoie à l'équipe Wormhole via Immunefi. L'équipe corrige la faille immédiatement. Aucun utilisateur ne perd un centime.
Wormhole lui verse 10 millions de dollars. C'est, à ce jour, l'une des plus grosses primes jamais payées à un hacker éthique dans l'histoire de la crypto.
Voilà la différence fondamentale. satya0x avait exactement le même pouvoir que les hackers qui avaient vidé Wormhole trois semaines plus tôt. Le même niveau technique. La même opportunité.
Il a choisi le rapport plutôt que le vol.
Ce n'est pas de la naïveté. C'est un calcul. Sur la plateforme Immunefi seule, plus de 65 millions de dollars ont été versés à des white hats depuis 2020, prévenant plus de 20 milliards de dollars de dommages potentiels. Les meilleurs chercheurs en sécurité blockchain gagnent aujourd'hui entre 100 000 et plus d'un million de dollars par an — légalement, sans jamais avoir à fuir un mandat d'arrêt.
Le Grey Hat : 610 millions volés, 610 millions rendus
Le 10 août 2021, quelqu'un vide Poly Network.
Poly Network permet d'échanger des tokens entre blockchains différentes. Son fonctionnement repose sur des smart contracts — des programmes autonomes inscrits sur la blockchain, qui s'exécutent automatiquement dès que certaines conditions sont remplies, sans qu'aucun humain n'intervienne.
Le hacker trouve une faille dans la façon dont ces contrats vérifient les autorisations. En manipulant l'ordre des opérations, il parvient à s'accorder lui-même le droit de transférer les fonds.
610 millions de dollars quittent la plateforme. Le plus gros hack de l'histoire de la DeFi à ce moment-là.
Poly Network fait alors quelque chose d'inhabituel. Au lieu d'appeler uniquement la police, l'entreprise publie un appel direct sur les réseaux sociaux. Elle s'adresse au voleur. Elle lui propose une prime de 500 000 dollars et promet publiquement de ne pas engager de poursuites s'il rend l'argent.
La réponse arrive dans les 24 heures. Mais pas par email.
Le hacker répond en inscrivant des messages directement dans des transactions Ethereum — visibles publiquement par n'importe qui, pour toujours. Le monde entier assiste à la négociation en direct.
Il dit avoir agi "pour s'amuser". Il dit avoir voulu exposer la faille avant qu'un acteur vraiment malveillant ne la trouve. Il affirme que rendre l'argent était le plan depuis le début.
Et il commence à rendre. D'abord quelques millions. Puis la moitié. Puis presque tout.
À la fin, la quasi-totalité des 610 millions est restituée. Seuls 33 millions échappent à l'opération — non pas parce que le hacker les garde, mais parce que Tether les avait gelés de son côté en activant une fonction intégrée dans son token qui permet de bloquer des transactions suspectes.
"Hacking for good, I did save the project", écrit-il dans son dernier message.
Poly Network lui proposera un poste de conseiller en sécurité en chef.
Alors pourquoi n'est-ce pas un white hat ?
Parce qu'un white hat ne prend jamais les fonds. satya0x avait exactement la même opportunité chez Wormhole. Il a écrit un rapport. Ce hacker a d'abord vidé les caisses, puis discuté.
Le résultat final est bon. La méthode ne l'est pas. C'est précisément la définition du grey hat : la bonne intention affichée, mais sans jamais avoir demandé la permission.
Et maintenant, l'affaire qui ne rentre dans aucune case
6 septembre 2026. Deux heures du matin.
Le portefeuille de la fédération Liquid Network, la sidechain Bitcoin développée par Blockstream — c'est-à-dire une blockchain secondaire connectée à Bitcoin, plus rapide et plus privée, utilisée par les grands exchanges pour régler leurs transactions entre eux — contient 4 200 Bitcoin.
En deux transactions, il n'en reste que 200.
3 996 Bitcoin viennent de partir. Environ 320 millions de dollars. 95% des réserves du réseau.
La faille n'était pas dans une clé volée. Elle était dans Elements, le logiciel open-source sur lequel tourne Liquid. Les attaquants ont trouvé comment créer des L-BTC — les tokens censés représenter un Bitcoin réel chacun — sans jamais déposer un seul vrai Bitcoin en garantie. Une imprimante à fausse monnaie, invisible pour le système.
Ils ont envoyé ces faux tokens vers SideSwap, la plateforme autorisée à traiter les peg-outs — les retraits de vrais Bitcoin contre des L-BTC. Le système, ne voyant aucune anomalie, a payé.
Puis ils ont écrit un message dans un bloc Bitcoin :
"We are whitehats. Contact us on chain."
Blockstream répond publiquement, sur la blockchain. La négociation se fait sous les yeux du monde entier.
Les hackers posent leurs conditions : corrigez le bug d'abord, assurez-vous que tous les nœuds sont patchés, et ensuite nous renverrons les fonds.
Trois jours plus tard, ils renvoient 3 400 Bitcoin.
Ils en gardent 598. Environ 47 millions de dollars.
Alors : white hats ou voleurs ?
Blockstream a tranché publiquement : ce sont des voleurs. L'entreprise a refusé de payer une rançon et a déclaré vouloir poursuivre la récupération par voie légale.
Le CTO de Ledger et plusieurs experts en sécurité ont refusé de leur accorder l'étiquette white hat. Leur argument est celui que tu connais maintenant : un white hat ne prend jamais les fonds.
Mais il existe un contre-argument que la communauté crypto connaît bien. Lors du hack Team Finance en 2022, l'attaquant avait rendu 13,4 millions sur 15,8 et gardé environ 10% en guise de prime. En 2023, lors du hack SafeMoon, l'attaquant avait restitué 80% des 9 millions dérobés et conservé 20%.
Ces arrangements existent. Ils sont même devenus une forme de norme informelle dans l'écosystème.
Sauf qu'ici, aucun accord de bug bounty n'avait été publiquement conclu. Les hackers ont décidé seuls du montant de leur "prime". Ils ont fixé le prix du sauvetage sans que personne ne l'accepte.
Cette affaire ne rentre dans aucune des trois cases. Et c'est exactement pour ça qu'elle est importante à comprendre.
Elle démontre qu'en 2026, se déclarer white hat ne suffit pas à l'être. Que la frontière entre un sauvetage et une prise d'otage tient parfois à un seul détail : avoir demandé la permission avant, ou avoir fixé le prix après.
Ce que ces quatre histoires t'apprennent vraiment
Regarde ce qui a causé chacun de ces désastres.
Chez Ronin, ce n'était pas le code. C'était un homme qui a cliqué sur un lien dans une offre d'emploi.
Chez Poly Network et Liquid, c'était une erreur dans un code que des milliers de personnes utilisaient en toute confiance sans jamais l'avoir lu.
Chez Wormhole, la même erreur existait — mais quelqu'un l'a trouvée avant les criminels et a choisi de le dire.
Le point commun n'est pas technique. C'est que dans chaque cas, des gens ont fait confiance à quelque chose qu'ils ne comprenaient pas.
C'est là que se situe ta protection réelle.
Ne partage jamais ta seed phrase — ces douze mots qui donnent accès total à ton portefeuille. Aucun projet légitime ne te la demandera, jamais, sous aucun prétexte.
Vérifie si un projet a été audité avant d'y mettre ton argent. Un audit signifie qu'une firme de sécurité indépendante a examiné le code ligne par ligne à la recherche de failles. Les projets sérieux publient ces rapports. Ceux qui refusent de le faire te disent quelque chose.
Et méfie-toi de tout ce qui arrive par message privé avec une pression temporelle. LinkedIn, WhatsApp, Telegram. C'est exactement par là qu'est entré le plus grand hack de l'histoire de la DeFi.
Le hacker qui a volé 624 millions chez Ronin et celui qui a été payé 10 millions chez Wormhole avaient le même niveau de compétence.
Ce qui les séparait, c'était un choix.
Ce qui te sépare d'une arnaque, c'est souvent juste une compréhension.
Sources
Informations basées sur les communications publiques de Blockstream et les rapports de CoinDesk, The Hacker News, DailyCoin et Bitquery entre le 7 et le 11 septembre 2026.
CoinDesk — White Hat Hackers Return Most of $320M Bitcoin Taken From Liquid Network
CoinDesk — Bitcoin Network Used by Exchanges Hit by $320 Million Exploit
The Hacker News — Liquid Hackers Return 3,400 Bitcoin Taken via Elements Bug
DailyCoin — Liquid Network's $47M White-Hat Question: Who Decided the Price of the Rescue?
Bitquery — Liquid Network Hack Explained: Blockstream Sidechain Loses 4,000 BTCTechXplore — Hacker dubbed 'Mr White Hat' to return entire stolen crypto fortune
Digit.fyi — Poly Network thanks 'Mr White Hat' hacker after remaining funds returned
SecurityWeek — Hacker Dubbed 'Mr White Hat' to Return Entire Stolen Crypto FortuneBeInCrypto — Wormhole Awards $10M to White-Hat Hacker in Bounty Program
Blockworks — $6M Bounty Paid to White Hat Hacker Likely Averts Sizable DeFi Hack
CryptoPotato — White Hat Hackers Crack the Code: Over $65M in Crypto Bug Bounties Since 2020Halborn Security — Explained: The Ronin Hack (March 2022)
The Record / Recorded Future News — Hackers return $12 million taken during Ronin network breach
Nordis Global — Ronin Network Hack: $625M Stolen from Axie Infinity Explained
