Un pont cross-chain piraté deux fois avec exactement la même faille, en l’espace de deux mois. Un second protocole vidé de 1,65 million de dollars via un prêt flash sur Solana. Voilà le bilan de l’été 2026 pour les utilisateurs de bridges crypto, ces passerelles qui permettent de faire transiter des jetons d’une blockchain à une autre. Face à cette actualité, une question revient sans cesse chez les investisseurs français et européens : quel bridge cross-chain reste vraiment sûr pour déplacer des fonds entre Ethereum, Solana ou les principaux layer 2 ? Ce comparatif passe au crible quatre acteurs majeurs, à savoir Wormhole, Across Protocol, Stargate (bâti sur LayerZero) et Allbridge, sur leur architecture de sécurité, leurs audits, leurs frais et leur historique d’incidents.
Pourquoi la sécurité des bridges cross-chain redevient un sujet brûlant en 2026
Un bridge crypto sert à transférer de la valeur d’une blockchain vers une autre, par exemple pour faire passer des USDC d’Ethereum vers Solana ou de l’ETH d’un layer 2 vers le layer 1. Techniquement, aucune blockchain ne peut lire l’état d’une autre : le bridge doit donc verrouiller, brûler ou déplacer des actifs d’un côté, puis en émettre l’équivalent de l’autre, souvent via un réseau de validateurs, un relayeur ou une simple logique de pool de liquidité. C’est précisément ce point de jonction qui concentre le risque, puisqu’il agit comme un coffre-fort centralisé même quand le reste de la finance décentralisée se veut distribué.
Le 19 juillet 2026, Allbridge Core a perdu environ 1,65 million de dollars sur Solana suite à un prêt flash de 1,12 million de USDC emprunté sur le protocole Kamino. Cinq jours plus tard, le bridge Verus-Ethereum était vidé pour la deuxième fois en deux mois, avec des pertes supplémentaires de 7,53 millions de dollars confirmées par la société d’audit CertiK, après un premier exploit de 11,5 millions de dollars en mai. Ces deux affaires, documentées indépendamment par les rapports BlockSec et CertiK, relancent un débat que les investisseurs européens connaissent bien depuis 2021 : faut-il faire confiance à un bridge qui promet la rapidité, ou préférer une architecture plus lente mais mieux vérifiée ?
Pour un lecteur en France ou ailleurs en zone euro, l’enjeu dépasse la simple curiosité technique. Le règlement MiCA impose des standards de robustesse aux acteurs qui manipulent des actifs numériques, et un bridge compromis peut geler des fonds pendant des semaines, comme cela a été le cas pour Allbridge Core après sa mise en pause protocolaire du 19 juillet. Ce comparatif s’appuie uniquement sur des données publiées par des cabinets d’audit, des rapports de sécurité on-chain et la documentation officielle des quatre protocoles étudiés.
Wormhole, Across, Stargate et Allbridge : quatre philosophies différentes
Ces quatre bridges n’ont pas été construits sur la même logique et ne visent pas le même usage, ce qui rend la comparaison brute des chiffres parfois trompeuse.
Wormhole, lancé en 2021 dans l’écosystème Solana avant de devenir un standard multi-chaînes sous la marque Portal, repose sur un réseau de « guardians » : un ensemble de validateurs indépendants qui observent chaque chaîne connectée et signent collectivement les messages autorisant un transfert. Le protocole revendique aujourd’hui le support de plus de 30 réseaux et affiche, selon les données publiées sur son site officiel, un total de 29 audits de sécurité menés par des cabinets comme Trail of Bits, OtterSec, Kudelski, CertiK, Hacken, Zellic, Coinspect, Cantina et Halborn au 7 août 2026.
Across Protocol, opérationnel depuis 2021 et adossé à l’écosystème UMA, fonctionne selon un modèle dit « intent-based » : l’utilisateur exprime une intention de transfert, un relayeur avance immédiatement la liquidité sur la chaîne de destination, puis se fait rembourser via un mécanisme de règlement optimiste. Sa documentation technique, mise à jour en septembre 2026, annonce la prise en charge de 23 chaînes principales, dont Arbitrum, Optimism, Base, Polygon et Solana. Le protocole a été audité avant son lancement mainnet par OpenZeppelin, Mixbytes et via un concours Code4rena.
Stargate, construit sur l’infrastructure de messagerie LayerZero et lancé en mars 2022, combine un système d’oracles et de relayeurs indépendants pour valider les messages cross-chain, avant de les router vers des pools de liquidité unifiés. Le protocole couvre une quinzaine de chaînes EVM majeures. La sécurité de Stargate dépend étroitement de la configuration choisie par chaque application déployée au-dessus de LayerZero, ce qui rend l’évaluation plus complexe qu’un simple score global.
Allbridge, en service depuis 2021, cible en priorité le transfert de stablecoins entre chaînes via des pools de liquidité de type AMM (market maker automatisé). Sa filiale Allbridge Core, spécialisée dans le routage de stablecoins entre une dizaine de réseaux dont Solana et Tron, a subi deux exploits de type prêt flash, ce qui a conduit CoinMarketCap Academy à qualifier l’incident de juillet 2026 de second exploit de type prêt flash sur ce protocole.
Tableau comparatif : les caractéristiques techniques des quatre bridges
Voici une synthèse des spécifications techniques et de sécurité de chaque protocole, à partir de leur documentation officielle et des rapports d’audit publiés à l’été 2026. Les montants de TVL (valeur totale verrouillée) sont des ordres de grandeur rapportés mi-2026, les chiffres exacts fluctuant en continu selon les flux de capitaux.
| Critère | Wormhole (Portal) | Across Protocol | Stargate (LayerZero) | Allbridge Core |
|---|---|---|---|---|
| Année de lancement | 2021 | 2021 (usage large en 2022) | Mars 2022 | 2021 |
| Modèle de sécurité | Réseau de guardians signataires | Bridge optimiste, intent-based | Oracles + relayeurs indépendants | Pools de liquidité AMM |
| Chaînes supportées | Plus de 30 | 23 chaînes principales | Environ 10 à 15 chaînes EVM | Environ 10 à 15 chaînes |
| Audits publiés | 29 audits (Trail of Bits, OtterSec, CertiK, etc.) | OpenZeppelin, Mixbytes, Code4rena | Audits liés à l’infrastructure LayerZero, décompte non consolidé publiquement | Communication publique limitée sur le nombre d’audits |
| TVL approximative mi-2026 | Environ 2 à 2,5 Md$ | Environ 0,2 à 0,7 Md$ | Environ 1,5 à 3 Md$ | Environ 50 à 150 M$ |
| Frais typiques | Frais protocole quasi nul, plus gas | Frais LP + frais relayeur, environ 0,2 % | Environ 0,06 à 0,2 % (variable selon pool) | Environ 0,3 % à plat |
| Actifs pris en charge | Jetons natifs et wrappés multi-chaînes | Actifs natifs (ETH, stablecoins) | Stablecoins et actifs natifs via pools | Principalement stablecoins |
| Code source | Applications ouvertes, cœur partiellement fermé | Open source | Infrastructure LayerZero partiellement ouverte | Contrats partiellement publiés |
| Incidents recensés en 2026 | Aucun exploit direct rapporté sur la période | Aucun exploit rapporté sur la période | Aucun exploit direct sur Stargate lui-même | Un exploit le 19 juillet 2026 (1,65 M$) |
| Fonds d’assurance dédié | Pas de fonds formel, soutien historique de l’investisseur Jump Crypto en 2022 | Aucun fonds d’assurance dédié communiqué | Aucun fonds d’assurance dédié communiqué | Aucun fonds d’assurance dédié communiqué |
| Gouvernance des réseaux supportés | Dépréciation active de réseaux jugés risqués (Scroll retiré en avril 2026) | Ajouts réguliers de nouvelles chaînes | Dépend des choix de chaque application déployée | Périmètre stable, peu d’ajouts récents |
| Vitesse de finalité typique | Quelques minutes | Quelques secondes à quelques minutes | Quelques minutes | Quelques minutes |
Guardians, relayeurs ou pools de liquidité : comment fonctionne réellement chaque architecture
Comprendre où se trouve le risque suppose de comprendre qui détient réellement les clés d’un transfert au moment critique.
Le modèle guardian de Wormhole
Chez Wormhole, un ensemble de validateurs appelés guardians observe en continu chaque blockchain connectée. Lorsqu’un utilisateur verrouille des jetons sur la chaîne source, une majorité de guardians doit signer un message attestant de cette opération avant que l’équivalent ne soit émis sur la chaîne cible. La documentation de sécurité du protocole insiste sur la robustesse cryptographique du quorum de signatures plutôt que sur un simple contrat multisig on-chain classique. Ce choix distribue la confiance entre plusieurs opérateurs indépendants, mais reste dépendant de la qualité et de l’indépendance réelle de ce réseau de validateurs.
Le pari optimiste d’Across et les oracles de Stargate
Across ne repose pas sur un multisig de garde centralisé. Un relayeur avance ses propres fonds pour exécuter le transfert instantanément, puis se fait rembourser via un mécanisme de règlement qui laisse une fenêtre de contestation en cas de fraude, un peu à la manière des rollups optimistes. Stargate, de son côté, s’appuie sur l’infrastructure LayerZero, qui combine un oracle et un relayeur indépendants : les deux doivent s’accorder sur la validité d’un message pour qu’il soit exécuté, ce qui s’apparente à une forme de validation croisée hors chaîne plutôt qu’à un contrat multisig traditionnel. Dans les deux cas, la sécurité dépend fortement de la configuration retenue par chaque application déployée au-dessus de cette infrastructure.
La fragilité des pools AMM chez Allbridge
Allbridge Core fonctionne différemment : les utilisateurs déposent des stablecoins dans des pools de liquidité répliqués sur plusieurs chaînes, et un mécanisme de type StableSwap calcule les taux de change internes. C’est précisément cette logique de calcul qui a été exploitée le 19 juillet 2026. Selon le rapport BlockSec Weekly, l’attaquant a utilisé un prêt flash de 1,12 million de USDC emprunté sur Kamino pour effectuer cinq auto-échanges successifs, faussant l’état du pool jusqu’à convertir une faible somme en environ 2,24 millions de USDC apparents. La cause racine identifiée par BlockSec est l’absence de distinction stricte entre le pool d’envoi et le pool de réception dans la logique de swap, un défaut de conception plutôt qu’une faille cryptographique. Ce type d’erreur, où le contrat traite par erreur le même pool comme source et destination d’une opération, n’a rien d’exotique : la société de sécurité on-chain SlowMist recense régulièrement ce schéma dans son registre public d’incidents comme l’une des causes les plus fréquentes d’exploits sur les protocoles de routage de stablecoins, aux côtés des erreurs de contrôle d’accès et des oracles de prix manipulables.
Les audits, un totem qui ne suffit plus à lui seul
Le nombre d’audits publiés reste l’indicateur le plus visible pour juger de la maturité sécuritaire d’un protocole, mais l’affaire Verus-Ethereum rappelle ses limites. Ce bridge a été exploité une première fois en mai 2026 pour environ 11,5 millions de dollars, puis une seconde fois entre le 23 et le 24 juillet 2026 pour 7,53 millions de dollars supplémentaires, confirmés indépendamment par CertiK. Dans les deux cas, la vulnérabilité provenait exactement du même point d’entrée de contrat, ce qui signifie que le correctif appliqué après le premier incident n’a pas suffi à fermer la brèche.
Cette répétition illustre un point que les analystes en sécurité blockchain répètent depuis les grandes vagues de piratages de 2022, à savoir qu’un audit ponctuel photographie un état du code à un instant donné et ne garantit rien sur les versions publiées ensuite. Wormhole a choisi une stratégie inverse en cumulant 29 audits successifs menés par des cabinets différents sur plusieurs années, une densité rarement atteinte ailleurs dans l’écosystème des bridges. Across a opté pour une combinaison d’audits classiques (OpenZeppelin, Mixbytes) et d’un concours ouvert Code4rena, qui rémunère des chercheurs indépendants pour trouver des failles avant le lancement en production. Allbridge, en comparaison, communique beaucoup moins publiquement sur son historique d’audit, ce qui ne prouve pas l’absence de vérification mais complique l’évaluation pour un utilisateur externe.
Pour un investisseur basé en France, ce constat rejoint les orientations du cadre MiCA porté par l’ESMA, qui pousse les prestataires de services sur crypto-actifs vers une documentation continue de leurs contrôles de sécurité plutôt qu’un audit unique affiché comme un totem marketing. La comparaison entre LayerZero et Across, déjà traitée dans un précédent comparatif sur ce site à propos du piratage de Kelp DAO, montre que même une infrastructure solide n’empêche pas un exploit sur l’application construite par-dessus.
L’été noir des bridges 2026 : chronologie des attaques
Trois semaines ont suffi, en juillet 2026, pour rappeler à l’écosystème que la sécurité des bridges reste un chantier permanent.
- 19 juillet 2026, vers 17h51 UTC : Allbridge Core est vidé de 1,65 million de dollars sur Solana via un prêt flash de 1,12 million de USDC emprunté sur Kamino. L’adresse identifiée comme responsable de l’attaque, FhffBraZsGn4H2LxLNToEcaHWEfWwT2UcSz4oRHb7Qdc, transfère ensuite environ 1,63 million de dollars vers Ethereum avant de recourir à des outils de confidentialité pour brouiller la trace des fonds. Allbridge met immédiatement son protocole Core en pause et recommande aux fournisseurs de liquidité de retirer leurs positions.
- 23-24 juillet 2026 : le bridge Verus-Ethereum subit un second exploit de 7,53 millions de dollars, incluant environ 3 916 ETH convertis et acheminés vers des outils de mixage. CertiK confirme le montant de façon indépendante. La vulnérabilité correspond exactement au chemin de code déjà exploité en mai 2026 pour 11,5 millions de dollars, révélant que le correctif initial n’a pas neutralisé la faille de fond.
- Fin juillet 2026 : plusieurs autres incidents plus modestes touchent des protocoles connexes au cours de la même période, renforçant l’impression d’une fenêtre de vulnérabilité généralisée sur les infrastructures cross-chain cet été-là.
Ce que révèlent ces deux dossiers documentés, c’est que le point de défaillance n’est presque jamais l’infrastructure de messagerie sous-jacente (LayerZero n’a subi aucun exploit direct sur la période), mais la logique métier construite par-dessus, qu’il s’agisse d’un calcul de prix dans un pool ou d’une vérification de contrat mal reconduite après un premier correctif.
Le cabinet Chainalysis classe depuis plusieurs années les bridges cross-chain parmi les cibles les plus rentables pour les groupes spécialisés dans le vol de cryptoactifs, aux côtés des échanges centralisés compromis et des portefeuilles personnels mal sécurisés. La raison tient à la concentration de valeur : contrairement à un portefeuille individuel, un bridge regroupe dans un même contrat ou un même ensemble de pools la liquidité de milliers d’utilisateurs différents, ce qui transforme la moindre faille de logique en un gain potentiel disproportionné pour l’attaquant. C’est ce ratio risque-récompense qui explique pourquoi les bridges concentrent une part disproportionnée des vols documentés dans l’écosystème crypto depuis 2021, malgré des efforts d’audit croissants d’une année sur l’autre.
Le classement des plus gros piratages de bridges depuis 2021
Pour resituer les incidents de 2026 dans leur contexte, voici les principaux piratages de bridges cross-chain documentés depuis 2021, classés par ordre chronologique et sourcés à partir de rapports post-mortem publics.
| Date | Bridge | Montant volé | Cause principale | Remboursement |
|---|---|---|---|---|
| 10 août 2021 | Poly Network | Environ 610 à 612 M$ | Faille de contrat cross-chain | Fonds restitués par l’attaquant en 13 jours |
| 2 février 2022 | Wormhole | Environ 320 à 326 M$ (120 000 wETH) | Contournement de la vérification de signature | Jump Crypto renfloue intégralement les 120 000 ETH |
| 23 mars 2022 | Ronin Network (Axie Infinity) | Environ 620 à 625 M$ | 5 des 9 clés de validateurs compromises | Sky Mavis rembourse via levée de fonds et trésorerie |
| 23-24 juin 2022 | Harmony Horizon Bridge | Environ 100 M$ | Compromission de clés multisig | Récupération très partielle, environ 40 M$ |
| 1er août 2022 | Nomad Bridge | Environ 190 M$ | Erreur de configuration du contrat de vérification | Bounty de 10 %, environ 36 à 40 M$ restitués |
| 6-7 octobre 2022 | BNB Chain / Token Hub | Environ 566 à 586 M$ mintés, ~100 M$ effectivement sortis | Faille de preuve cryptographique sur le pont | Gel d’environ 430 M$ par les validateurs |
| 6-7 juillet 2023 | Multichain | Environ 125 à 130 M$ | Sorties anormales, cause jamais officiellement clarifiée | Aucune restitution, protocole à l’arrêt |
| Mai 2026 | Verus-Ethereum Bridge (1er exploit) | Environ 11,5 M$ | Faille de contrat de pont | Non communiqué |
| 19 juillet 2026 | Allbridge Core | Environ 1,65 M$ | Prêt flash et manipulation de pool AMM | Protocole mis en pause, pas de remboursement communiqué |
| 23-24 juillet 2026 | Verus-Ethereum Bridge (2e exploit) | Environ 7,53 M$ | Même vulnérabilité que l’exploit de mai | Non communiqué |
Ce tableau confirme une tendance de fond décrite dans nos comparatifs précédents, comme celui consacré à deBridge face à Wormhole : les plus grosses pertes historiques (Poly Network, Wormhole, Ronin, BNB Chain) dépassent toutes les 500 millions de dollars, alors que la génération 2026 de piratages se chiffre plutôt en dizaines de millions. Cela peut s’expliquer par une meilleure segmentation des risques et des protocoles de pause d’urgence plus réactifs, mais aussi par une TVL globale des bridges aujourd’hui plus dispersée entre de multiples acteurs plus petits.
Benchmarks : vitesse, finalité et coût réel d’un transfert
Au-delà de la sécurité, la rapidité d’exécution reste le critère qui pousse la majorité des utilisateurs à choisir un bridge plutôt qu’un autre. Selon une analyse comparative publiée par l’agrégateur LI.FI, un transfert d’1 ETH via Across depuis un layer 2 vers Ethereum implique typiquement trois composantes de frais distinctes : une commission versée aux fournisseurs de liquidité d’environ 0,000939 ETH, une option de relais lent facturée autour de 0,001 ETH, et une option de relais rapide plus coûteuse, de l’ordre de 0,01 ETH pour une exécution quasi instantanée.
Un comparatif de bridges de stablecoins publié en 2026 chiffre le coût total d’un transfert de 1 000 dollars à moins d’un centime de frais protocolaires plus le gas pour Wormhole, contre environ 2 dollars pour Across sur une route standard. Ces écarts s’expliquent par la structure même des deux protocoles : Wormhole facture surtout le coût du réseau sous-jacent, tandis qu’Across rémunère directement les relayeurs qui avancent la liquidité pour accélérer l’exécution. Pour Stargate, les données publiques disponibles évoquent une fourchette de 0,06 % à 0,2 % du montant transféré selon le pool utilisé, tandis qu’Allbridge applique généralement un taux fixe autour de 0,3 %.
En matière de finalité, c’est-à-dire le temps réel avant que les fonds soient disponibles et non réversibles sur la chaîne cible, les quatre bridges se situent dans une fourchette assez proche, de quelques secondes pour les options rapides d’Across à quelques minutes pour les transferts standards des trois autres protocoles. Le rapport 2026 de CoinMarketCap Academy sur l’écosystème des bridges de stablecoins souligne que la variable la plus déterminante n’est pas le protocole en tant que tel, mais la congestion du réseau source au moment du transfert, un facteur qui échappe largement au contrôle du bridge lui-même.
Tableau des frais et tarifs par bridge
| Bridge | Frais protocole | Frais additionnels | Coût estimé sur 1 000 $ | Modèle de tarification |
|---|---|---|---|---|
| Wormhole (Portal) | Quasi nul (moins de 0,01 $) | Gas de la chaîne source et cible | Moins de 1 $ hors gas | Frais protocole minime, coût dominé par le gas |
| Across Protocol | Frais LP proportionnels | Relais lent ou rapide au choix | Environ 2 $ (route standard) | Frais LP + relais, avec option vitesse |
| Stargate (LayerZero) | Environ 0,06 % à 0,2 % | Gas source et cible | Environ 0,60 $ à 2 $ | Pourcentage variable selon le pool |
| Allbridge Core | Environ 0,3 % à plat | Gas source et cible | Environ 3 $ | Taux fixe proportionnel au montant |
Cinq cas d’usage réels et le bridge qu’ils ont choisi
Au-delà des chiffres théoriques, la pratique montre que le choix d’un bridge dépend surtout du contexte d’usage.
Le protocole de restaking Kelp DAO, déjà documenté dans notre analyse du piratage à 292 millions de dollars lié à un pont LayerZero, illustre le risque d’une dépendance mal maîtrisée à une infrastructure de bridge tierce intégrée dans un produit DeFi complexe : le problème ne venait pas de LayerZero en tant que tel, mais de la configuration de sécurité choisie par l’application qui l’utilisait. Cet épisode a poussé plusieurs protocoles de restaking à revoir leurs propres seuils de validation plutôt que de se reposer uniquement sur les garanties par défaut du bridge sous-jacent.
Dans l’affaire Bybit, déjà traitée dans notre comparatif MPC contre multisig, la question centrale n’était pas un bridge cross-chain classique mais illustre le même principe : la sécurité d’un transfert de fonds dépend avant tout de qui contrôle réellement les clés de signature au moment critique, qu’il s’agisse d’un cold wallet institutionnel ou d’un guardian de bridge. Les utilisateurs institutionnels qui déplacent des volumes importants entre chaînes tendent à privilégier des protocoles comme Wormhole ou Across, dont l’historique d’audit est documenté de façon continue, plutôt que des bridges plus jeunes et moins vérifiés publiquement.
Les plateformes d’assurance DeFi, couvertes dans notre comparatif des protocoles d’assurance, proposent aujourd’hui des polices spécifiquement dédiées au risque de piratage de bridge, un signe que le marché considère ce risque comme suffisamment fréquent et coûteux pour justifier un produit financier à part entière. Un utilisateur qui bridge régulièrement des montants supérieurs à plusieurs dizaines de milliers d’euros a désormais la possibilité de souscrire une couverture avant de transférer ses fonds, plutôt que de compter uniquement sur la robustesse du protocole choisi.
Les fournisseurs de liquidité d’Allbridge Core, eux, ont vécu de près les conséquences d’un exploit direct : après l’annonce de la pause du protocole le 19 juillet 2026, plusieurs LP ont dû attendre l’audit post-incident avant de savoir si leurs fonds restants dans le pool affecté seraient récupérables, une situation qui illustre le risque spécifique de fournir de la liquidité à un bridge basé sur des pools AMM plutôt que sur un simple mécanisme de verrouillage et d’émission.
Enfin, les équipes de développement qui construisent des applications multi-chaînes s’appuyant sur Stargate ou l’infrastructure LayerZero doivent elles-mêmes configurer leurs propres seuils de sécurité (nombre d’oracles, choix des relayeurs), ce qui signifie que deux applications construites sur la même infrastructure peuvent présenter des niveaux de risque très différents selon les choix effectués par leurs équipes techniques respectives.
Avantages et inconvénients de chaque bridge
Wormhole
- Avantage : la densité d’audits la plus élevée du secteur, avec 29 rapports publics cumulés
- Avantage : support de plus de 30 chaînes, le plus large des quatre protocoles étudiés
- Avantage : gouvernance active, avec retrait de réseaux jugés risqués comme Scroll en avril 2026
- Inconvénient : le modèle guardian reste une forme de confiance déléguée à un ensemble de validateurs off-chain
- Inconvénient : passif historique lourd avec l’exploit de 2022, même si le remboursement a été intégral
Across Protocol
- Avantage : modèle optimiste sans garde centralisée classique, code entièrement open source
- Avantage : aucun exploit documenté sur le protocole depuis son lancement
- Avantage : audits multiples avant mainnet, incluant un concours ouvert Code4rena
- Inconvénient : TVL plus modeste que Wormhole ou Stargate, ce qui peut limiter la liquidité disponible sur certaines routes
- Inconvénient : structure de frais à plusieurs composantes, moins lisible qu’un taux fixe unique
Stargate (LayerZero)
- Avantage : liquidité importante et large adoption par les applications DeFi tierces
- Avantage : aucun exploit direct rapporté sur Stargate lui-même durant la période étudiée
- Inconvénient : la sécurité varie selon la configuration choisie par chaque application déployée dessus, ce qui complique l’évaluation pour un utilisateur final
- Inconvénient : décompte d’audits moins consolidé publiquement que chez Wormhole ou Across
Allbridge Core
- Avantage : frais prévisibles à taux fixe et spécialisation sur les stablecoins
- Avantage : réaction rapide avec mise en pause du protocole dès la détection de l’exploit
- Inconvénient : deux exploits de type prêt flash déjà recensés sur ce protocole selon CoinMarketCap Academy
- Inconvénient : TVL nettement plus faible que les trois autres bridges, ce qui limite la profondeur de liquidité sur certaines routes
- Inconvénient : communication publique limitée sur le détail des audits menés
Guide de migration : changer de bridge sans perdre de fonds
Après un incident comme celui d’Allbridge Core ou de Verus-Ethereum, de nombreux utilisateurs cherchent à migrer leurs fonds vers un bridge jugé plus robuste. Voici une démarche prudente pour effectuer cette transition sans exposer de capital inutilement.
- Vérifiez d’abord l’état du bridge que vous utilisez actuellement sur son compte officiel ou son statut on-chain avant toute opération, en particulier après l’annonce d’un incident.
- Si le protocole a annoncé une pause, comme Allbridge Core le 19 juillet 2026, ne tentez aucun retrait via une interface tierce non officielle qui prétendrait contourner la pause.
- Comparez le nouveau bridge cible sur au moins trois critères vérifiables : nombre d’audits publiés, historique d’incidents et chaînes réellement supportées pour votre paire d’actifs.
- Testez systématiquement le nouveau bridge avec un petit montant, de l’ordre de 20 à 50 dollars, avant de transférer une somme significative.
- Vérifiez que l’adresse de contrat du bridge correspond bien à celle indiquée sur la documentation officielle, en la comparant caractère par caractère plutôt qu’en vous fiant uniquement à un lien reçu par message ou email.
- Privilégiez les heures de faible congestion réseau pour réduire les frais de gas et limiter le risque d’échec de transaction partielle.
- Conservez une capture d’écran ou une trace de l’identifiant de transaction (hash) à chaque étape, utile en cas de réclamation ultérieure auprès du support du protocole.
- Attendez la confirmation complète sur la chaîne de destination avant de considérer le transfert comme terminé, en particulier sur les bridges à modèle optimiste où une fenêtre de contestation existe.
Voici une check-list synthétique à conserver avant chaque transfert important entre deux chaînes :
Avant de bridger des fonds :
[ ] Le protocole n'est pas en pause ou sous investigation
[ ] L'adresse de contrat correspond a la documentation officielle
[ ] Un test a faible montant a ete effectue avec succes
[ ] Les frais estimes ont ete compares sur au moins deux bridges
[ ] La transaction source est bien finalisee avant de fermer l'onglet
[ ] Le hash de transaction a ete sauvegarde
[ ] Les fonds recus sur la chaine cible ont ete verifies dans un wallet independantQuel bridge choisir selon votre profil
Le choix d’un bridge cross-chain dépend avant tout du montant transféré, de la fréquence des opérations et de la tolérance au risque de chaque utilisateur.
- Investisseur particulier transférant occasionnellement moins de 5 000 euros : Wormhole offre le meilleur compromis entre densité d’audits, largeur de couverture des chaînes et coût quasi nul hors gas réseau.
- Trader actif recherchant la vitesse d’exécution entre layer 2 : Across, avec son option de relais rapide, convient mieux aux allers-retours fréquents entre Arbitrum, Optimism et Base.
- Développeur intégrant un bridge dans une application DeFi : Stargate et l’infrastructure LayerZero offrent une flexibilité de configuration, à condition d’investir sérieusement dans le paramétrage des seuils de sécurité plutôt que de se contenter des réglages par défaut.
- Utilisateur transférant principalement des stablecoins pour des paiements transfrontaliers en zone euro : Allbridge reste envisageable pour de petits montants réguliers, mais l’historique récent d’exploits invite à limiter l’exposition et à ne jamais y laisser de liquidité dormante en tant que fournisseur.
- Institution ou fonds soumis aux exigences MiCA : la traçabilité documentaire des audits, plus complète chez Wormhole et Across, facilite la justification des contrôles de sécurité exigés par le régulateur.
- Fournisseur de liquidité cherchant un rendement sur des pools de bridge : la prudence recommande d’éviter les pools des protocoles ayant déjà subi plusieurs exploits similaires, comme l’illustre le cas d’Allbridge Core avec son second incident de type prêt flash.
Le verdict : ce que disent les chiffres
Sur la base des données disponibles à l’été 2026, aucun des quatre bridges étudiés n’offre une sécurité absolue, mais des différences nettes se dégagent. Wormhole se distingue par la profondeur de son historique d’audit et par une gouvernance qui n’hésite pas à retirer des réseaux jugés fragiles, ce qui en fait un choix par défaut solide pour la majorité des utilisateurs. Across affiche, à ce jour, un dossier de sécurité vierge d’exploit documenté, avec une architecture qui limite structurellement la garde centralisée des fonds, un atout réel pour les utilisateurs les plus prudents.
Stargate reste un choix pertinent pour sa liquidité, à condition de ne pas confondre la robustesse de l’infrastructure LayerZero avec celle de chaque application spécifique construite dessus, comme l’a montré l’exploit indirect de Kelp DAO. Allbridge Core, avec deux exploits de type prêt flash recensés selon CoinMarketCap Academy et une TVL nettement plus faible que ses trois concurrents, apparaît aujourd’hui comme l’option la plus risquée du comparatif pour des montants significatifs, même si ses frais fixes restent attractifs pour de petits transferts occasionnels.
Le message qui ressort de l’ensemble des incidents 2026, comme des grands piratages historiques de Poly Network, Wormhole ou Ronin, tient en une phrase : le risque ne se situe presque jamais dans l’infrastructure de messagerie cross-chain elle-même, mais dans la logique métier ajoutée par-dessus, qu’il s’agisse d’un calcul de pool ou d’une vérification de contrat mal reconduite après un premier correctif. Choisir un bridge revient donc moins à choisir une marque qu’à choisir un niveau de transparence sur ces détails d’implémentation.
Questions fréquentes sur la sécurité des bridges cross-chain
Qu’est-ce qu’un bridge cross-chain exactement ?
Un bridge cross-chain est un protocole qui permet de transférer de la valeur d’une blockchain vers une autre, par exemple d’Ethereum vers Solana, en verrouillant ou en brûlant des actifs d’un côté pour en émettre l’équivalent de l’autre.
Wormhole est-il sûr après le piratage de 2022 ?
Le protocole a subi un exploit de 320 à 326 millions de dollars en février 2022, intégralement remboursé par l’investisseur Jump Crypto. Depuis, Wormhole a cumulé 29 audits publics et n’a rapporté aucun exploit direct en 2025-2026 selon les données disponibles.
Pourquoi Allbridge Core a-t-il été piraté deux fois ?
CoinMarketCap Academy qualifie l’exploit de juillet 2026 de second exploit de type prêt flash sur ce protocole, ce qui indique une vulnérabilité récurrente liée à la logique de calcul des pools de liquidité plutôt qu’un incident isolé.
Quel est le bridge le moins cher pour transférer des fonds ?
Wormhole affiche les frais protocolaires les plus bas, quasiment nuls hors gas réseau, tandis qu’Allbridge applique un taux fixe d’environ 0,3 % et qu’Across facture des frais combinés de fournisseur de liquidité et de relais.
Un bridge cross-chain peut-il être assuré contre le piratage ?
Oui, plusieurs protocoles d’assurance DeFi proposent désormais des polices spécifiques au risque de piratage de bridge, une offre qui s’est développée en réponse à la fréquence de ces incidents depuis 2021.
Le règlement MiCA impose-t-il des règles spécifiques aux bridges ?
MiCA encadre principalement les émetteurs de crypto-actifs et les prestataires de services, mais pousse indirectement l’ensemble de l’écosystème, bridges compris, vers davantage de transparence documentaire sur les contrôles de sécurité mis en place.
Faut-il éviter complètement les bridges basés sur des pools de liquidité comme Allbridge ?
Pas nécessairement pour de petits montants ponctuels, mais l’historique récent invite à la prudence pour les sommes importantes ou pour toute position de fournisseur de liquidité laissée sans surveillance.
Comment vérifier qu’un bridge n’est pas actuellement en pause avant de transférer des fonds ?
Il faut consulter les canaux de communication officiels du protocole (site, documentation, statut on-chain) juste avant l’opération, plutôt que de se fier à une capture d’écran ou à une information relayée par un tiers.
