Les systèmes de sécurité de Bybit ont bloqué plus de 700 millions de dollars de pertes potentielles pour les utilisateurs au cours du premier semestre 2026, l'exchange ayant étendu sa surveillance de la blockchain en temps réel et sa détection des menaces assistée par l'IA après son piratage de 1,46 milliard de dollars en 2025.
Le rapport sur les risques et la sécurité du premier semestre 2026 de Bybit, couvrant la période du 1er janvier au 15 juin, indique que l'exchange opère désormais trois principales couches de défense, englobant les comptes d'utilisateurs, la surveillance continue on-chain et les opérations de sécurité assistées par l'IA, avec des spécialistes humains conservant le contrôle des décisions critiques.
L'exchange a déclaré que plus de 30 000 demandes de retrait suspectes avaient été interceptées au cours de cette période, protégeant près de 20 000 utilisateurs. Les examens de risque initiaux ont pris en moyenne 4,7 minutes, tandis que 95 % ont été complétés en moins de 10 minutes.
Les équipes de sécurité ont également identifié environ 212 millions de dollars de fonds potentiellement liés à la fraude et ont mis sur liste noire plus de 10 000 adresses blockchain malveillantes. Bybit a précisé que l'analyse comportementale et la surveillance assistée par l'IA ont été utilisées pour détecter les modèles de transactions liés aux nouvelles campagnes de fraude.
L'exchange a reconstruit son architecture de sécurité depuis l'attaque du 21 février 2025 qui a drainé environ 1,46 milliard de dollars de son portefeuille froid Ethereum. Cette brèche est devenue le plus grand vol de cryptomonnaies enregistré en valeur et a ensuite été attribuée à des acteurs nord-coréens par les autorités américaines.
Bybit a déclaré que son système de surveillance couvre désormais 100 % de l'activité on-chain considérée comme pertinente pour ses activités, y compris les contrats de jetons listés, les contrats d'écosystème et les portefeuilles froids, tièdes et chauds de l'exchange.
Au cours du premier semestre, le système a identifié et géré 10 incidents de sécurité affectant des projets de jetons listés sur l'exchange, sans qu'aucun ne cause de pertes à Bybit, selon le rapport. Les équipes de sécurité ont mené des interventions d'urgence avant d'autres exchanges majeurs dans huit cas, tandis que deux incidents ont été détectés avant que les projets affectés n'aient eux-mêmes identifié les attaques.
La société a déclaré que le système permet à ses opérations de sécurité de surveiller à la fois l'activité au sein de la plateforme de trading et les transactions se produisant directement sur les blockchains prises en charge. Les comportements de contrat ou les mouvements de portefeuille suspects peuvent donc être examinés même lorsqu'un incident débute en dehors de l'infrastructure propre de Bybit.
La surveillance continue est également devenue un problème majeur dans l'ensemble du secteur crypto. Un rapport de sécurité de juillet, précédemment couvert par crypto.news, a révélé que les clés, les signataires et les infrastructures compromises représentaient 88,3 % des quelque 764 millions de dollars volés au cours du deuxième trimestre 2026. Hacken, qui a suivi 1 427 projets, n'a trouvé de preuves de surveillance par des tiers que pour 9 % d'entre eux et a déclaré que seulement 4 % combinaient la surveillance, un programme de primes aux bugs actif et un audit.
Hacken a également identifié 14 projets qui ont été exploités malgré la réalisation préalable d'audits de sécurité. Selon la firme, plusieurs attaques ont affecté des dispositifs de signature, des clés d'administrateur, des systèmes backend, des validateurs de ponts ou des contrats plus anciens plutôt que le code de smart contract examiné lors des audits conventionnels.
L'IA a également pris une place plus importante dans les systèmes de défense de Bybit, l'exchange déclarant que plus de 100 000 alertes de sécurité ont bénéficié d'une analyse assistée par l'IA au cours du premier semestre de l'année.
Selon le rapport du premier semestre, les audits de sécurité assistés par l'IA ont détecté des vulnérabilités de haute gravité à un rythme trois à cinq fois supérieur à celui obtenu par l examen manuel. L'automatisation a également réduit la période entre une évaluation de sécurité et les tests ultérieurs d'environ deux semaines à environ deux heures.
La plateforme automatisée de red team de l'exchange a évalué 1 489 actifs exposés au public et identifié plus de 100 vulnérabilités de haute gravité. Bybit a déclaré que le temps moyen entre la découverte d'un actif et le début des tests d'intrusion initiaux est tombé en dessous de 24 heures, par rapport aux processus manuels qui pouvaient nécessiter des semaines.
L'IA est principalement utilisée pour traiter les informations, trouver les vulnérabilités et accélérer les tests de sécurité, tandis que les spécialistes restent responsables des décisions plus complexes, a indiqué la société.
« La course aux armements en cybersécurité est entrée dans l'ère des minutes », a déclaré David Zong, responsable du contrôle des risques et de la sécurité du groupe Bybit.
Zong a déclaré que l'exchange considère l'utilisation de l'IA pour la sécurité et la protection des systèmes d'IA eux-mêmes comme une priorité, tandis que le « jugement humain » reste central lorsque des décisions de sécurité critiques sont prises.
Cette approche intervient alors que les attaquants utilisent également l'automatisation et l'IA pour accélérer la reconnaissance et la découverte de vulnérabilités. Bybit a déclaré que la réduction du temps entre la découverte d'une activité suspecte et l'action à prendre est donc devenue un élément central de sa stratégie de sécurité.
Les comptes d'utilisateurs ont constitué un autre axe du travail de sécurité de l'exchange au premier semestre, en particulier autour des retraits que ses systèmes ont classés comme suspects.
Plus de 30 000 demandes de retrait ont été interceptées, protégeant près de 20 000 utilisateurs contre des pertes potentielles, a déclaré la société. La valeur combinée impliquée dépassait les 700 millions de dollars, bien que le rapport ait décrit ce chiffre comme des pertes potentielles plutôt que des actifs confirmés comme ayant été ciblés avec succès par des attaquants.
Le filtrage on-chain a fonctionné parallèlement à ces contrôles de compte. Bybit a déclaré qu'environ 212 millions de dollars de fonds potentiellement liés à la fraude ont été identifiés au cours de la période, tandis que plus de 10 000 adresses ont été ajoutées à sa liste noire.
Ces chiffres font suite à un incident de sécurité au cours duquel des attaquants ont compromis le processus utilisé pour déplacer des fonds du portefeuille froid Ethereum de Bybit. La brèche de février 2025 a drainé plus de 400 000 ETH et d'Ether jalonné d'une valeur d'environ 1,46 milliard de dollars à l'époque, le PDG de Bybit, Ben Zhou, affirmant que l'exchange pouvait couvrir la perte et continuer à traiter les retraits des clients.
Les enquêteurs ont ensuite lié l'opération au groupe Lazarus de la Corée du Nord. Des estimations publiées en mai ont montré que des acteurs nord-coréens avaient volé environ 2,02 milliards de dollars en cryptomonnaies en 2025, le vol de Bybit représentant la majeure partie de ce total. Chainalysis a estimé que cette activité a poussé le vol cumulatif de cryptomonnaies lié à la Corée du Nord à environ 6,75 milliards de dollars.
La menace a continué en 2026. Deux attaques liées à Lazarus contre Drift Protocol et KelpDAO en avril auraient drainé un total de 577 millions de dollars, dont 285 millions de dollars de Drift et 292 millions de dollars de KelpDAO. Ces incidents reposaient sur l'ingénierie sociale, des dispositifs compromis et l'infrastructure de pont plutôt que sur des exploits de smart contract conventionnels.
Les contrôles techniques ont été accompagnés d'efforts pour tracer et récupérer les actifs volés lors de l'attaque de 2025, Bybit travaillant avec les organismes d'application de la loi, les sociétés de renseignement blockchain et d'autres acteurs de l'industrie.
Plus tôt ce mois-ci, l'exchange a intenté une action en justice américaine contre la Corée du Nord, son agence de renseignement du Bureau Général de Reconnaissance et le groupe Lazarus devant le tribunal de district des États-Unis pour le district de Columbia.
L'affaire concerne la brèche du 21 février et vise à récupérer les actifs liés au vol. Un juge fédéral a également émis une injonction préliminaire qui interdit à certains défendeurs non identifiés de transférer ou de céder des actifs couverts par l'ordonnance pendant que l'affaire progresse.
Bybit a déclaré que les procédures civiles sont distinctes des enquêtes criminelles américaines sur les activités de piratage nord-coréennes. Le FBI avait précédemment attribué l'attaque à des acteurs nord-coréens et avait demandé aux exchanges, validateurs et sociétés blockchain de bloquer les transactions liées aux adresses utilisées dans l'opération de blanchiment.
Le traçage des actifs volés est devenu de plus en plus difficile après l'attaque. En mars 2025, Bybit a déclaré que 88,87 % des fonds restaient traçables, tandis que 7,59 % étaient devenus introuvables et 3,54 % avaient été gelés. En avril, Zhou a déclaré que 27,6 % des fonds volés ne pouvaient plus être tracés après que les attaquants aient converti les actifs en Bitcoin et les aient dispersés via des milliers de portefeuilles, des services cross-chain et des mixeurs de cryptomonnaies.
Bybit a également utilisé un programme de primes et des gels volontaires par d'autres acteurs de l'industrie pendant le processus de récupération. Suite à l'attaque, l'exchange a couvert son déficit d'actifs par des achats d'Ether, des prêts et des dépôts de contreparties tout en continuant à traiter les retraits des clients.
Dans l'affaire civile américaine, Bybit a déclaré qu'il avait l'intention de demander une réparation supplémentaire à mesure que les procédures se poursuivent. Le tribunal n'a pas rendu de jugement définitif sur les réclamations de l'exchange contre la Corée du Nord, le Bureau Général de Reconnaissance ou le groupe Lazarus.
