Droit crypto/Niveau VI · Conduite sur les marchés/6.2 Initiés et rug pulls/Leçon 6

Hacks et exploits : le vol

Pourquoi l'argument « le code le permettait » n'a pas empêché les procureurs américains de qualifier les exploits de smart contracts d'escroquerie informatique, d'escroquerie par télécommunications et de blanchiment de capitaux, et où la jurisprudence a fait obstacle.

Ceci est une ressource éducative et non un conseil juridique, fiscal ou en investissement. Le droit des crypto-actifs varie d'un pays à l'autre et d'un État à l'autre, et évolue souvent. Avant d'agir, vérifiez les règles en vigueur là où vous vivez auprès d'un avocat ou d'un conseiller fiscal qualifié.

La voie la plus légère

La voie la moins chère, la moins imposée, la plus simple et la plus discrète que permet la loi, de la meilleure à la moins bonne. Chaque étape indique la règle sur laquelle elle repose et la condition qui la maintient dans la légalité.

Développeurs : la protection juridique la plus économique est un plan d'incident rédigé avant le lancement, précisant qui conserve les journaux et les empreintes, enregistre les adresses des attaquants et contacte l'IC3, les émetteurs de stablecoins et les plateformes d'échange. Le signalement ne coûte rien ; le retard fait perdre les opportunités de gel.
Un protocole victime peut intenter une action civile au titre du 18 U.S.C. §1030(g) en réparation des dommages-intérêts et en obtention d'une injonction, parallèlement à toute procédure pénale. À noter : elle doit être déposée dans un délai de 2 ans à compter de l'acte ou de la découverte du dommage.
Aucune voie légale peu coûteuse n'existe pour conserver des fonds issus d'un exploit : « le code le permettait » n'a pas empêché la condamnation d'Ahmed en 2024 à trois ans et à une confiscation d'environ 12,3 millions de dollars. L'alternative licite consiste à signaler la faille dans le cadre d'un programme de récompense pour signalement de bugs (bug bounty) publié.
Ne recevez ni ne transferez jamais de fonds traçables jusqu'à un exploit ou des acteurs soumis à sanctions, tels que ceux que le FBI a liés au vol chez Bybit en février 2025. Le filtrage par rapport à la liste gratuite des sanctions de l'OFAC ne coûte rien ; les pénalités civiles pour violation des sanctions relèvent généralement d'une responsabilité stricte.

Matériel18 U.S.C. §1030, le Computer Fraud and Abuse Act (sur law.cornell.edu)Le communiqué du procureur fédéral d'avril 2024 sur la peine prononcée à l'encontre de Shakeeb Ahmed et celui de février 2025 sur l'acte d'accusation visant MedjedovicL'avertissement au public du FBI du 26 février 2025 concernant le vol chez BybitLeçons 6.1.4 (front-running et MEV) et 6.1.5 (l'affaire Mango Markets)

Curiosité

Si un contrat intelligent me permet de retirer des fonds, comment ce retrait peut-il être qualifié de vol ?
Quelles lois fédérales les procureurs mobilisent-ils contre les auteurs d'exploits DeFi ?
Que peuvent faire un protocole ou ses utilisateurs après un exploit, en dehors de porter plainte auprès de la police ?

Explorer

Certains auteurs d'exploits soutiennent qu'un smart contract constitue l'intégralité du contrat, si bien que tout ce que son code autorise est permis. Les procureurs américains ont rejeté cette thèse. Ils qualifient les exploits au titre du Computer Fraud and Abuse Act, 18 U.S.C. §1030, qui punit notamment le fait d'accéder sciemment à un ordinateur protégé sans autorisation, ou de dépasser l'étendue de l'accès autorisé, dans l'intention de tromper ; au titre de la loi sur l'escroquerie par télécommunications, 18 U.S.C. §1343, lorsque l'exploit repose sur une tromperie telle que des prix fictifs ou des données manipulées ; et au titre des lois sur le blanchiment de capitaux lorsque les produits sont transférés via des passerelles (bridges), mélangés ou échangés pour en dissimuler la provenance. Les tribunaux examinent encore où se situent ces frontières.
La première condamnation pour piratage d'un smart contract a été prononcée par le tribunal fédéral du district sud de New York. Shakeeb Ahmed, ingénieur en sécurité senior dont le curriculum vitae mentionnait l'ingénierie inverse de smart contracts et les audits de chaînes de blocs, a utilisé des données de prix fictives en juillet 2022 pour générer environ 9 millions de dollars de frais gonflés sur un échange décentralisé. Quelques semaines plus tard, il a exploité Nirvana Finance, s'emparant d'environ 3,6 millions de dollars, soit l'essentiel de ses fonds ; Nirvana a cessé son activité peu après. Il a blanchi les produits via des passerelles (bridges), du Monero et des mélangeurs (mixers). Il a plaidé coupable à un chef d'accusation pour escroquerie informatique en décembre 2023.
Le 12 avril 2024, le juge Victor Marrero a condamné Ahmed à trois ans de réclusion et à trois ans de mise sous surveillance, ordonné la confiscation d'environ 12,3 millions de dollars et d'une quantité importante de crypto-actifs, ainsi que le versement d'une indemnisation supérieure à 5 millions de dollars aux deux victimes. En février 2025, les procureurs du district est de New York ont déclassifié un acte d'accusation visant Andean Medjedovic, un Canadien, pour escroquerie par télécommunications, piratage informatique, tentative d'extorsion et blanchiment de capitaux. Ils l'accusent d'avoir utilisé des fonds empruntés pour créer des prix artificiels et de avoir vidé environ 65 millions de dollars des pools de KyberSwap et Indexed Finance. Il était en fuite au moment du dépôt de l'acte d'accusation.
Toutes les poursuites n'ont pas abouti. Les condamnations pour fraude et manipulation d'Avraham Eisenberg dans le cas de Mango Markets ont été annulées par le juge du tribunal de première instance en mai 2025, notamment parce que la preuve ne démontrait pas l'existence d'une déclaration fausse ; l'appel formé par le gouvernement est traité dans la leçon 6.1.5. L'affaire d'Anton et James Peraire-Bueno, accusés d'avoir retiré environ 25 millions de dollars en 12 secondes via le processus de construction de blocs d'Ethereum, s'est soldée par une nullité de procédure (mistrial) en novembre 2025 (leçon 6.1.4). Pour les développeurs, le message est mitigé : les exploits font l'objet de poursuites systématiques, mais la portée du droit des fraudes à l'égard d'un trading « manipulatif » face au code reste encore à trancher.
Le droit pénal n'est qu'une voie parmi d'autres. Le Computer Fraud and Abuse Act permet à une personne ayant subi un dommage ou une perte admissible d'intenter une action civile en réparation des dommages-intérêts et en obtention d'une injonction, 18 U.S.C. §1030(g). Les émetteurs de stablecoins et les plateformes d'échange peuvent geler les actifs qu'ils contrôlent. L'implication d'acteurs étatiques soulève des questions de sanctions : le 26 février 2025, le FBI a imputé le vol d'environ 1,5 milliard de dollars sur la plateforme d'échange Bybit, survenu vers le 21 février 2025, à la Corée du Nord, qu'il désigne sous le nom de « TraderTraitor », et a exhorté les services à bloquer les adresses associées. Quiconque manipule de tels fonds s'expose aux sanctions (leçon 5.2.5).
Un plan de réponse opérationnel pour les développeurs mérite d'être rédigé avant le lancement. Il doit préciser qui conserve les journaux et les empreintes de transaction, qui enregistre les adresses des attaquants, et qui contacte l'IC3 du FBI, les émetteurs de stablecoins concernés et les principales plateformes d'échange. Il doit également indiquer qui est habilité à communiquer avec l'attaquant et ce qui peut lui être proposé (leçon 6.2.7). Ne promettez à personne une immunité contre des poursuites ; un protocole privé ne saurait en accorder. Les utilisateurs doivent savoir que le fait de recevoir ou de transférer sciemment des fonds volés peut, en soi, être qualifié de blanchiment de capitaux, indépendamment de ce qu'un auteur d'exploit affirme au sujet du code.

Faits clés

Le 18 U.S.C. §1030(a)(4) punit le fait d'accéder sciemment à un ordinateur protégé sans autorisation, ou de dépasser l'étendue de l'accès autorisé, dans l'intention de tromper et d'obtenir ainsi quelque chose ayant une valeur.
Shakeeb Ahmed a plaidé coupable à un chef d'accusation pour escroquerie informatique en décembre 2023, ce que les procureurs ont qualifié de première condamnation pour piratage d'un smart contract.
Le 12 avril 2024, Ahmed a été condamné à trois ans de réclusion et ordonné de confisquer environ 12,3 millions de dollars et de verser plus de 5 millions de dollars au titre de l'indemnisation.
En février 2025, les procureurs du district est de New York ont inculpé Andean Medjedovic d'escroquerie par télécommunications, de piratage informatique, de tentative d'extorsion et de blanchiment de capitaux pour environ 65 millions de dollars retirés de KyberSwap et Indexed Finance.
Le 18 U.S.C. §1030(g) permet à une personne ayant subi un dommage ou une perte admissible résultant d'une infraction d'intenter une action en réparation des dommages-intérêts et en obtention d'un recours par injonction.
Le 26 février 2025, le FBI a imputé le vol d'environ 1,5 milliard de dollars sur la plateforme d'échange Bybit à des acteurs nord-coréens qu'il désigne sous le nom de « TraderTraitor ».

Exercice neuf, six, trois, un

9RassemblerListez jusqu'à 9 arguments qu'une personne pourrait avancer pour justifier le retrait de fonds via un bug d'un smart contract (certaines listes sont plus courtes), tels que « le code le permettait », « c'était de l'arbitrage » ou « je comptais les rendre ».

6RegrouperClassez-les en 6 catégories : arguments relatifs à l'autorisation, à la tromperie, à l'intention de restituer, à l'équité du marché, à l'identité de la victime, et arguments qui ne sont que des prétextes.

3DistillerRéduisez ces 6 catégories en 3 groupes : les arguments pris au sérieux par les tribunaux, ceux rejetés par les procureurs, et ceux encore en cours d'examen.

1CristalliserUn smart contract qui autorise une transaction ne détermine pas en lui-même si cette transaction était légale.

Vérification des faits

Les dates, les chiffres et les affirmations ont été vérifiés à l’aide des sources publiées listées ci-dessous.

Ouvrir dans l'académie interactive →

EN PT ES ZH JA KO RU DE MS