Alerte : Bybit révèle que 16 blockchains peuvent geler les fonds des utilisateurs

Une étude du Lazarus Security Lab de Bybit crée l’inquiétude dans l’écosystème. Les chercheurs ont analysé 166 blockchains publiques. Ils ont identifié 16 réseaux capables de geler les fonds des utilisateurs directement au niveau du protocole.
De plus, 19 autres blockchains pourraient activer ce type de fonction avec des modifications relativement simples. Cette révélation relance une question clé : qui contrôle vraiment vos cryptos sur certains réseaux présentés comme décentralisés ?

Ce que révèle l’étude de Bybit sur 166 blockchains

Bybit just revealed that 16 major blockchains contain hidden code capable of freezing user funds.

– Findings came from a recent internal audit
– Affected chains include several top-20 networks by market cap
– Code allows validators or core devs to halt transactions at will

If… pic.twitter.com/wJjyq0Sorp

— 0xMarioNawfal (@RoundtableSpace) November 12, 2025

Bybit a publié un rapport inquiétant. L’équipe de recherche a cherché l’existence de “kill switches”, des mécanismes qui permettent de bloquer des adresses ou des solde précis. Les développeurs présentent souvent ces outils comme une réponse aux hacks, aux vols ou aux failles critiques. En cas d’attaque, ils peuvent stopper une fuite de fonds.

Toutefois, l’étude montre aussi la face cachée de ces dispositifs. Dans plusieurs cas, le pouvoir de gel se situe au cœur du protocole, et non dans une application ou un simple service. La décision revient alors à une fondation, à un groupe de validateurs ou à un multisig très restreint.

Certains réseaux déjà cités utilisent ce type de mécanisme. Des blockchains comme BNB Chain, VeChain, Chiliz, Viction ou XDC disposent de fonctions permettant de geler une adresse ou un montant. D’autres, comme Aptos, Sui ou EOS, reposent plutôt sur des fichiers de configuration pour appliquer des blocages ciblés.

Dans le passé, ces fonctions ont servi à limiter des dégâts. VeChain a par exemple gelé des jetons issus d’un hack, tout comme BNB Chain lors d’un exploit sur un pont. Les victimes ont vu une partie des fonds protégés. Mais ces épisodes ont aussi prouvé qu’un centre de décision peut intervenir à tout moment sur les soldes des utilisateurs.

Comment ces blockchains peuvent geler les fonds des utilisateurs

Bybit distingue trois grandes familles de mécanismes. Premièrement, le gel “hardcoded”. Ici, la logique de blocage figure directement dans le code source du protocole. Une mise à jour peut ajouter une adresse à une liste de blocage ou déclencher un gel sur un ensemble de comptes. Ce modèle permet d’agir vite, mais il renforce la centralisation du pouvoir.

Deuxièmement, le gel par configuration. Dans ce cas, le réseau utilise des fichiers de paramètres pour appliquer des restrictions. Les opérateurs de nœuds modifient ces fichiers, puis redémarrent ou mettent à jour leur client. L’avantage réside dans la souplesse et l’adaptation rapide. Le problème vient du manque de visibilité pour l’utilisateur, qui ne voit pas forcément ces changements.

Troisièmement, le gel via smart contract. Certaines blockchains délèguent cette compétence à un contrat d’administration. Celui-ci gère des listes d’adresses bloquées ou des règles de transfert. Une équipe de développement ou une DAO détient alors les droits d’administration. Cette approche semble plus transparente, car les règles sont on-chain. Pourtant, elle donne toujours un pouvoir considérable à quelques clés privées.

Au final, ces trois mécanismes montrent que la notion de décentralisation absolue reste souvent théorique. En pratique, des acteurs spécifiques gardent la main sur des interrupteurs critiques.

Risques pour les utilisateurs et enjeux de décentralisation

Pour les utilisateurs, le principal risque tient à la confiance aveugle. Beaucoup ignorent que leur blockchain favorite peut geler leurs fonds sur décision d’un groupe restreint. Ils découvrent ce pouvoir seulement après un incident. C’est déjà trop tard.
Pourtant, ces mécanismes ne sont pas forcément illégitimes. Ils peuvent protéger les utilisateurs lors de piratages massifs, de bugs critiques ou de fautes graves dans un bridge. La question n’est donc pas “faut-il un gel oui ou non ?”, mais plutôt “qui décide, comment, et selon quelles règles ?”.

Pour réduire le risque d’abus, plusieurs bonnes pratiques s’imposent. Il devient essentiel de :

• Lire la documentation de la blockchain utilisée, notamment la partie sécurité et gouvernance.
• Identifier les acteurs capables d’activer un gel : fondation, multisig, comité technique ou DAO.
• Diversifier ses expositions, en évitant de concentrer tous ses fonds sur un seul réseau très centralisé.
• Maîtriser la self-custody, afin de garder le contrôle de ses clés, même si le protocole contient des garde-fous.

Enfin, cette étude met la pression sur les équipes projet. Elles devront expliquer clairement leurs mécanismes de sécurité, publier des procédures d’activation et rendre des comptes en cas de gel. À terme, des standards pourraient émerger : votes on-chain obligatoires, délais minimum avant application, journaux publics des décisions. Ce mouvement irait dans le bon sens. Il permettrait de concilier protection des utilisateurs et esprit de la décentralisation, sans que les détenteurs de cryptos découvrent trop tard que quelqu’un possède un bouton “pause” sur leurs fonds.