Perp DEX : 42 millions envolés en huit jours, qui détient les clés ?

En huit jours, au mois de juillet, deux places perpétuelles décentralisées ont été vidées sur Arbitrum : Ostium le 15 juillet, AFX Trade le 22 juillet. Au total, les attaquants ont emporté environ 42 millions de dollars.

Dans les deux cas, la porte d’entrée n’a pas été le contrat intelligent, mais une clé privée conservée par des personnes. C’est le point où la principale promesse commerciale du secteur se fissure. « Décentralisé » signifiait jusqu’ici que personne ne peut vous prendre votre argent, parce que personne ne le détient. Chez de nombreux prestataires, cela veut en réalité dire que le dépôt se trouve derrière un pont dont les clés de signature sont conservées sur des serveurs dont les utilisateurs ignorent tout.

Les deux cas en détail

Ostium, 15 juillet

Sur la perp DEX Arbitrum Ostium, la clé privée d’un oracle de prix a été compromise. Elle permettait de signer de faux relevés de prix, datés dans le futur, et de les injecter via l’infrastructure PriceUpKeep propre au protocole. L’attaquant a ouvert une position sur un cours du bitcoin fictif de 5 000 dollars et l’a refermée au cours réel, d’environ 60 000. La différence a été supportée par les fournisseurs de liquidité : de 18 à 23,75 millions de dollars selon les relevés. Les échanges ont été suspendus.

Un détail du programme de bug bounty mérite l’attention : le composant même par lequel l’attaque est passée en était expressément exclu. Les chercheurs en sécurité n’avaient donc aucune incitation à y chercher quoi que ce soit. La société de sécurité Halborn a reconstitué le déroulé technique étape par étape.

AFX Trade, 22 juillet

Une semaine plus tard, c’est AFX Trade qui a été touché, également sur Arbitrum. L’attaquant a pris le contrôle des clés de signature des validateurs du pont de conservation USDC, exploité par le protocole lui-même, par lequel sont autorisés les retraits entre chaînes. Ce sont 24,15 millions d’USDC qui sont partis. Les fonds ont été déplacés vers Ethereum, puis convertis en 12 467 ETH environ ; la valeur totale immobilisée de la plateforme était ensuite pratiquement nulle.

AFX a proposé à l’attaquant de conserver 30 % de la somme au titre d’une prime dite white hat, soit environ 7,2 millions de dollars, s’il rendait le reste. Aucune restitution n’est confirmée à ce jour. L’exploitation du pont a été arrêtée, l’infrastructure reconstruite et les identifiants renouvelés. Le 3 août, le projet a annoncé un plan de dédommagement commercial pour les personnes concernées. Notre article sur l’incident : le piratage d’AFX Trade, une perp DEX sur Arbitrum qui perd 24 millions d’USDC.

Le schéma commun

Les deux attaques suivent la même logique. La négociation elle-même se déroule on-chain, de façon vérifiable et sans dépositaire. Cette chaîne doit toutefois quitter la blockchain à deux endroits :

• Au niveau du prix. Un perpétuel a besoin d’un cours externe. Qui détient la clé de l’oracle décide de ce que le protocole tient pour la réalité.
• Au niveau des fonds. Les dépôts venus d’autres chaînes transitent par un pont. Qui en détient les clés de signature peut procéder aux retraits.

Dans les deux cas, il s’agit de clés conservées hors chaîne et détenues par un petit groupe. Ni l’audit du contrat intelligent ni la décentralisation du carnet d’ordres n’en disent quoi que ce soit. Une perp DEX est en fin de compte aussi décentralisée que sa gestion des clés, laquelle se résume chez beaucoup de prestataires à une société dotée de serveurs.

Pour situer : la DeFi a déjà perdu plus de 840 millions de dollars en piratages en 2026. Les deux cas de juillet n’y font pas figure d’exception.

Le segment se contracte de toute façon

Cela représente un recul de plus de 50 % sur cinq mois consécutifs, sans mouvement inverse notable. En parallèle, le marché s’est réorganisé : Hyperliquid représentait encore environ 71 % du volume perpétuel on-chain en mai 2025 et se situe désormais autour d’un tiers. La raison tient moins à un départ des utilisateurs qu’au partage d’un marché global devenu plus étroit, avec Aster et ses programmes d’incitation, et Lighter et son modèle sans frais.

Pour les utilisateurs, cela signifie des carnets d’ordres plus minces, un dérapage plus important et des risques de liquidation croissants. S’y ajoute un effet secondaire plus difficile à repérer : les prestataires sous pression sur les coûts font des économies, et l’architecture de sécurité est l’endroit où ces économies restent le plus longtemps invisibles.

Qui se cache derrière ?

Sur une plateforme réglementée, les mentions légales indiquent qui est responsable. Sur une perp DEX, on y trouve au mieux un pseudonyme Discord. Ce n’est pas un reproche, cela fait partie de la construction. Mais cela emporte une conséquence rarement évoquée dans la communication : dès lors que les clés sont entre les mains de personnes, savoir qui sont ces personnes devient une question de sécurité.

Sept points peuvent être éclaircis avant le premier dépôt, et ils en disent plus long qu’un certificat d’audit :

1. Qui détient les clés du pont ? Un signataire unique, un multisig ou un ensemble de validateurs distribué ? Combien de signatures faut-il pour un retrait, et qui signe ?
2. D’où vient le prix ? Un oracle unique doté d’une seule clé constitue un point de défaillance unique ; plusieurs sources indépendantes assorties d’un contrôle de vraisemblance, non.
3. Qu’est-ce qui est exclu du périmètre du bug bounty ? Le cas Ostium montre que les exceptions sont le passage le plus instructif du programme.
4. Existe-t-il un fonds d’assurance, et est-il consultable on-chain ? Un engagement pris sur un blog n’est pas un fonds.
5. Qui porte le projet ? Les équipes anonymes ne sont pas automatiquement douteuses, mais on ne peut pas les poursuivre. Mieux vaut le savoir avant de déposer des fonds.
6. Comment la communication s’est-elle faite lors d’incidents précédents ? Y a-t-il eu un post-mortem technique avec chronologie, ou une simple annonce sans chiffres ?
7. Vers où les utilisateurs sont-ils orientés après un incident ? Lorsque les mêmes canaux qui ont fait la promotion d’une plateforme redirigent ensuite de façon concertée vers une place centralisée précise, il s’agit d’un partenariat commercial et cela doit être signalé comme tel.

Précision de la rédaction

Autour de l’incident AFX circulent, dans des groupes germanophones, des captures d’écran et des affirmations sur des liens entre l’entourage du projet et certaines places centralisées. Nous n’avons pas pu vérifier ces éléments de façon indépendante et ne citons donc aucun nom. Une capture d’écran n’est pas une preuve, et un soupçon que l’on ne peut pas vérifier n’a pas sa place dans un titre. Toute personne disposant d’éléments solides peut s’adresser à notre rédaction.

Ce que nous pouvons dire de notre propre expérience : nous évaluons aussi les plateformes de négociation à la manière dont elles répondent aux sollicitations de la rédaction. Avec Phemex, cette expérience a été insatisfaisante à plusieurs reprises, raison pour laquelle cette place n’apparaît dans aucune de nos recommandations. Il s’agit d’une appréciation de nos propres échanges, et non de l’imputation d’un manquement envers les utilisateurs.

Ce qu ’il faut retenir

Le constat le plus inconfortable de cet été se formule à contrecœur dans le milieu : les places centralisées et réglementées ont de nouveau un argument.

Non parce qu’elles seraient techniquement supérieures, mais parce qu’elles apportent ce qu’une perp DEX anonyme ne peut pas offrir par construction : une adresse où l’on peut être assigné, une autorité de tutelle, un bilan, et quelqu’un qui répond quand des clés disparaissent. Depuis l’expiration du dernier délai transitoire MiCA, le 1er juillet 2026, il est en outre possible de consulter en Europe qui dispose de l’agrément correspondant.

Ce n’est expressément pas une invitation à confier durablement ses avoirs à une plateforme ; le principe « not your keys, not your coins » reste valable. C’est une invitation à calculer honnêtement le prix du confort. Sur une place réglementée, on paie en frais et en KYC. Sur une perp DEX anonyme, on paie avec le risque qu’un mardi matin quelconque, une clé de validateur change de propriétaire.

Trois mesures en découlent :

1. Séparer les avoirs. Sur une plateforme de négociation se trouve la marge de trading, rien de plus. Le reste relève de votre propre conservation. Les utilisateurs d’AFX qui y avaient garé des capitaux attendent un plan de dédommagement depuis le 22 juillet. Quel portefeuille matériel convient pour cela ? La réponse est dans notre comparatif des portefeuilles matériels.
2. Passer en revue les sept questions avant le prochain dépôt. Cela prend quelques minutes. Qui ne sait pas y répondre a déjà la réponse. Les prestataires comparés directement, frais, liquidité, architecture des clés et historique des incidents, figurent dans notre comparatif des perp DEX.
3. Chiffrer au moins la voie réglementée. Qui n’a pas besoin d’effet de levier paie quelques points de base de plus sur une plateforme réglementée et dispose en échange d’un interlocuteur. Sur un marché dont le volume a été divisé par deux, ce n’est que rarement la moins bonne affaire.

La question à se poser désormais est moins « est-ce décentralisé ? » que « qui détient les clés, et que se passe-t-il si cette personne passe une mauvaise journée ? ». La décentralisation n’est pas une propriété que promet un logo, c’est une propriété qui se compte.

(Au 5 août 2026. Cet article ne constitue pas un conseil en investissement, ni une recommandation de plateformes de négociation particulières. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat. Les montants des préjudices reprennent les analyses disponibles à la clôture de la rédaction et sont susceptibles d’évoluer.)