Où stocker ses cryptos en 2026 : plateforme ou portefeuille physique ?

Réponse courte : pour un trader actif, ne gardez sur l'exchange que la marge des positions ouvertes, une réserve pour encaisser les mouvements de prix et les cryptos que vous comptez trader prochainement. Gardez tout le reste dans un portefeuille que vous contrôlez, idéalement un portefeuille physique (hardware wallet) acheté directement auprès du fabricant. Aucune des deux options n'est exempte de risque, mais ce ne sont pas les mêmes risques. Quand un grand exchange a été piraté, les utilisateurs ont été intégralement couverts et ont attendu de zéro à 18 jours. Quand un exchange a fait faillite, le premier versement est arrivé au bout de 11 à 27 mois, et certains clients n'ont rien reçu. L'auto-conservation (self-custody) fait peser le risque sur vous : en 2025, des voleurs ont pris 713 millions de dollars sur des portefeuilles personnels lors de 158 000 incidents, et en octobre 2026, Ledger a confirmé que des portefeuilles physiques équipés d'implants cachés avaient été vendus par un revendeur.

Ce guide s'adresse aux traders spot et futures qui se posent la même question depuis le piratage de Binance du 29 octobre 2026. Il comprend notre propre tableau de 15 défaillances d'exchanges depuis 2022, avec ce que chacune a signifié pour les personnes qui y avaient de l'argent. Il ne classe ni les exchanges ni les fabricants de portefeuilles.

Faits au 4 novembre 2026. Ceci n'est pas un conseil en investissement.

Où stocker ses cryptos en sécurité en 2026 ?

Il n'existe pas d'endroit le plus sûr dans l'absolu, car chaque option a ses propres points faibles. Le tableau montre contre quoi chacune protège et ce qui a mal tourné en 2025 et 2026.

Ce qui décide où vos cryptos doivent se trouver, c'est la vitesse à laquelle vous en avez besoin. Un trader de futures a besoin de sa marge sur l'exchange en quelques minutes. Un investisseur de long terme peut attendre un transfert plusieurs jours. La suite de ce guide montre à quoi chaque risque a ressemblé dans les faits.

Que devient l'argent des utilisateurs après le piratage ou la faillite d'un exchange ?

Nous avons recensé 33 cas d'exchanges et de plateformes de prêt crypto piratés, gelés ou en faillite entre 2022 et le 4 novembre 2026, et représenté sur un graphique les 15 dont l'issue est connue. La tendance est nette : le piratage d'un grand exchange a coûté du temps aux utilisateurs, une faillite leur a coûté de l'argent.

Quand un exchange est piraté et reste solvable, il indemnise les utilisateurs sur ses propres fonds et rouvre les retraits. Bybit a perdu environ 1,5 milliard de dollars en février 2025 sans jamais suspendre les retraits : il a traité plus de 350 000 demandes dans les 10 premières heures et rétabli une couverture complète en 72 heures grâce à des prêts et à des achats (Bybit). Binance a perdu environ 6,4 milliards de dollars le 29 octobre 2026 et a rouvert les retraits environ deux jours et demi plus tard. Bitget a perdu 387,5 millions de dollars en septembre 2026 ; les retraits de bitcoins ont repris après environ quatre jours, et ceux de tous les actifs après environ huit (Reuters). Dans chaque cas, les soldes sont restés intacts.

Quand un exchange plus petit est piraté, la perte peut retomber sur les utilisateurs. En Inde, WazirX a perdu 234,9 millions de dollars en juillet 2024, a gardé les retraits gelés pendant environ 15 mois et a restitué environ 85 % des soldes, plus des jetons de récupération (recovery tokens), dans le cadre d'un plan approuvé par un tribunal de Singapour (Outlook Money). Au Japon, DMM Bitcoin a couvert l'intégralité de sa perte de 4 502,9 BTC, mais les restrictions ont duré jusqu'au transfert des comptes vers un autre exchange, neuf mois plus tard. Lykke a cessé ses activités de trading après un piratage de 22,4 millions de dollars, puis a fait faillite.

Quand un exchange fait faillite, vous attendez des années et vous êtes payé en dollars, au cours du jour de l'effondrement. FTX a effectué son premier versement 27 mois après avoir bloqué les retraits. Il a payé 105 % des créances, mais celles-ci ont été figées aux prix de novembre 2022, quand le bitcoin s'échangeait autour de 16 871 $. Au cours actuel, cela représente environ 22 % des bitcoins que détenait un client (notre calcul). Celsius a versé 64,9 % à ce jour et Voyager environ 70 %. Les clients d'AAX, comme ceux de JPEX à Hong Kong, n'ont rien reçu.

Deux cas plus récents restent ouverts : l'exchange brésilien Mercado Bitcoin a été piraté pour 40 à 49 millions de dollars le 2 novembre 2026 et a promis de couvrir les utilisateurs, tandis qu'AscendEX a fermé en juillet 2026 sans s'engager sur les retraits.

La leçon pour un trader n'est ni « les exchanges sont sûrs », ni « les exchanges sont dangereux ». C'est que la taille et la solvabilité de l'exchange déterminent si un mauvais jour vous coûte une semaine d'accès ou la majeure partie de votre solde. Un exchange peut aussi quitter un pays avec quelques jours de préavis, comme nous l'avons montré dans notre analyse des départs de Bitget et de MEXC.

Peut-on laisser ses cryptos sur Binance après le piratage ?

Voici les faits ; la décision dépend du montant que vous y gardez et de la raison pour laquelle vous le gardez. Le 29 octobre 2026, des attaquants liés à la Corée du Nord ont pris environ 6,3 à 6,4 milliards de dollars dans les portefeuilles chauds (hot wallets) de Binance après avoir compromis l'ordinateur portable d'un ingénieur. Binance a indiqué que les soldes des utilisateurs ne seraient pas réduits. Au 31 octobre, l'exchange avait reconstitué 90 % des actifs volés grâce à son fonds SAFU (converti en 15 000 BTC plus tôt en 2026), à une partie de son fonds d'assurance des futures et à sa propre trésorerie (Reuters) ; au 2 novembre, il annonçait 95 %. Les retraits ont rouvert le 1er novembre à 06 h 00 UTC, et d'autres réseaux ont été ajoutés à partir du 3 novembre. Le 2 novembre, Binance a publié un instantané d'urgence de sa preuve de réserves, qui revendique au moins 100 % pour 10 actifs (The Block).

Deux détails comptent pour les traders de futures. D'abord, une partie du fonds d'assurance des futures a servi à couvrir le piratage ; ce fonds est la réserve qui absorbe les positions en faillite avant qu'un exchange ne commence à réduire d'office les positions des traders gagnants (auto-deleveraging). Ensuite, environ 1,55 milliard de dollars de positions ont été liquidées sur l'ensemble du marché dans les 24 heures qui ont suivi le piratage (The Block), et pendant les deux jours et demi suivants, quiconque voulait transférer son collatéral de Binance vers un autre exchange ne le pouvait pas.

Nous expliquons ce qui s'est passé dans notre article sur le piratage et où est parti l'argent volé dans notre article de suivi.

À quelle fréquence les exchanges crypto sont-ils piratés ?

Rarement, mais quand cela arrive, les sommes sont énormes. Dans la base de données des piratages et exploits de DefiLlama, les exchanges centralisés représentent 1,5 % des incidents de 2026 à ce jour, mais 77,7 % de la valeur volée. En 2025, ils représentaient 8,1 % des incidents et 69,6 % de la valeur.

Les portefeuilles personnels montrent le schéma inverse : beaucoup de petits vols. Chainalysis a compté 158 000 compromissions de portefeuilles personnels en 2025, avec au moins 80 000 victimes et 713 millions de dollars volés, soit environ 20 % de toutes les cryptos volées cette année-là (The Block). DefiLlama n'inclut pas ces cas, si bien que les deux sources ne peuvent pas être additionnées.

La plupart des grands piratages d'exchanges de 2024 à 2026 ont visé les portefeuilles chauds ou les systèmes qui signent les transactions, pas le stockage à froid (cold storage). Selon Chainalysis, des groupes nord-coréens sont à l'origine d'environ 89 % des pertes déclarées dues à des piratages en 2026 (crypto.news).

Un portefeuille physique peut-il être piraté ?

La puce qu'il contient est difficile à casser. En 2025–2026, les attaquants l'ont donc contournée : ils ont trafiqué l'appareil avant qu'il n'arrive chez l'acheteur, poussé les propriétaires à valider des transactions qu'ils ne pouvaient pas lire, ou tout simplement demandé la phrase de récupération.

• Appareils trafiqués. Le 10 octobre 2026, Ledger a confirmé qu'un appareil vendu par CryptoBilis, un revendeur basé en Malaisie, contenait un implant caché. Des chercheurs ont trouvé une carte électronique supplémentaire, avec un modem LTE et une eSIM, qui lisait l'écran et les boutons pendant la configuration, en déduisait la phrase de récupération et l'envoyait aux attaquants. Le Genuine Check de Ledger ne peut pas détecter un tel implant si la puce sécurisée d'origine est intacte (BleepingComputer). Ledger a demandé aux revendeurs de sept marchés asiatiques de suspendre les ventes, et la police de Singapour a relié environ 3,5 millions de S$ de pertes à des appareils trafiqués achetés dans des boutiques locales. Le 30 octobre, Trezor a signalé un implant présumé dans un Safe 5 vendu par le même revendeur, appareil qu'il n'avait pas encore examiné (Trezor).
• Signature à l'aveugle (blind signing). Lors du piratage de Bybit, des signataires ont validé un transfert de 1,5 milliard de dollars sur des portefeuilles physiques, parce qu'une page web compromise leur affichait une transaction anodine (The Hacker News). Un portefeuille physique signe ce que vous validez ; il ne peut pas vous dire que l'écran de votre ordinateur vous a menti.
• Phishing visant la phrase de récupération. En 2025, de fausses applications Ledger Live sur macOS demandaient la phrase de récupération après une fausse « erreur critique », et des lettres papier se faisant passer pour Ledger demandaient aux propriétaires de saisir leurs 24 mots sur un site web (The Block).
• Menaces physiques. La liste publique des agressions physiques contre des détenteurs de cryptos tenue par Jameson Lopp compte 168 entrées pour 2025 et 144 pour 2026 jusqu'au 24 octobre (notre décompte). Chainalysis a recensé 46 attaques violentes au premier semestre 2026, pour plus de 30 millions de dollars dérobés (Decrypt).

Ce qui vous protège : achetez uniquement sur le site du fabricant ou chez un revendeur listé sur ce site, jamais d'occasion ni à prix cassé. Générez vous-même une nouvelle phrase de récupération et n'utilisez jamais celle qui serait fournie avec l'appareil. Vérifiez chaque adresse et chaque montant sur l'écran de l'appareil lui-même. Et ne dites à personne combien de cryptos vous détenez.

Comment les portefeuilles chauds se font-ils vider ?

Le plus souvent, parce que le propriétaire a validé quelque chose. Scam Sniffer a compté 83,85 millions de dollars perdus par 106 106 victimes de phishing par signature en 2025, avec une perte moyenne de 790 $ (Scam Sniffer). Les plus grosses pertes individuelles sont venues de ruses qui ne demandaient aucun piratage :

• Empoisonnement d'adresse (address poisoning). En décembre 2025, un trader a envoyé environ 50 millions de dollars en USDT à une adresse ressemblante, copiée depuis son propre historique de transactions, où les attaquants l'avaient glissée grâce à un transfert minuscule (The Block).
• Mises à jour malveillantes. La version 2.68.0 de l'extension de navigateur Trust Wallet, publiée le 24 décembre 2025, envoyait les données du portefeuille aux attaquants ; au moins 7 millions de dollars ont été volés avant un correctif (BleepingComputer).
• Signatures « mettez à niveau votre compte ». Depuis la mise à jour d'Ethereum de 2025, une seule signature peut confier le contrôle d'un portefeuille à un autre contrat. Wintermute a constaté que plus de 80 % de ces délégations pointaient vers des contrats copiés-collés qui vident les portefeuilles automatiquement (The Block). Le même mécanisme a été utilisé contre le portefeuille chaud de Binance en octobre 2026.

Un portefeuille chaud convient pour de petites sommes utilisées dans des applications. Ce n'est pas l'endroit où garder son épargne.

Je trade des futures : combien garder sur l'exchange ?

Gardez la marge dont vos positions ouvertes ont besoin, une réserve pour encaisser les mouvements défavorables et les cryptos que vous comptez trader prochainement. Nous n'avons trouvé aucun régulateur ni chercheur indépendant qui donne un pourcentage ; les répartitions « 90 % à froid, 10 % à chaud » qu'on lit en ligne viennent du marketing des sociétés de conservation. Ce qui fixe votre montant, c'est la vitesse à laquelle vous auriez besoin d'ajouter de la marge, et la question de savoir si vous le pourriez en cas de transferts lents ou de gel de l'exchange.

Trois faits aident à fixer ce montant :

• Les dépôts prennent du temps. Un exchange crédite un dépôt après un nombre de confirmations réseau qui lui est propre, qui varie selon la crypto et qui figure sur sa page de dépôt.
• Le gel d'un exchange bloque les deux sens. Pendant la pause de Binance, vous ne pouviez pas sortir votre collatéral vers une autre plateforme, et certains exchanges ont aussi brièvement suspendu les dépôts.
• Vos propres verrous de sécurité ne ralentissent que les retraits. Un verrou sur les nouvelles adresses ou un délai de retrait ne vous empêche jamais d'ajouter de la marge : les activer ne gêne donc pas votre trading.

Retirer régulièrement vos gains maintient le solde exposé au plus près de ce que vous tradez réellement. Répartir vos fonds sur deux exchanges limite les dégâts si l'un d'eux gèle les retraits. Le prop trading change la donne : sur un compte financé auprès d'une société comme Binam, vous tradez le capital de la société, et vos propres cryptos n'ont donc pas besoin de rester sur un exchange comme marge.

Une liste blanche de retrait protège-t-elle si l'exchange est piraté ?

Non. Les paramètres de sécurité d'un exchange protègent votre compte, pas les portefeuilles de l'exchange. Il est utile de distinguer trois niveaux de risque :

1. Votre compte : quelqu'un se connecte à votre place. Une liste blanche (whitelist), un verrou sur les nouvelles adresses, une clé d'accès (passkey) et un code anti-phishing sont efficaces ici.
2. La plateforme : l'exchange lui-même est piraté ou fait faillite. Rien dans vos paramètres ne vous aide ; seul compte le montant que vous y laissez.
3. Votre appareil : un logiciel malveillant ou un portefeuille trafiqué. Seule une bonne hygiène d'auto-conservation aide : acheter en direct, vérifier les adresses, lire ce que l'on signe.

Un détail surprend beaucoup de traders : sur Bybit, ainsi que sur Binance quand le retrait en une étape (one-step withdrawal) est activé, les adresses de la liste blanche font l'objet de moins de vérifications, pas de plus. La liste blanche n'est alors pas plus solide que votre connexion : associez-la à une limite quotidienne et à un verrou sur les nouvelles adresses.

Comment sécuriser ses cryptos sur Binance, Bybit, OKX et Bitget

Les quatre plus grands exchanges proposent les mêmes outils sous des noms différents. Vérifiez le menu exact dans votre application, car les noms changent selon les versions et les régions.

Sources : Binance, Bybit, OKX, Bitget.

Configuration minimale pour un trader : une passkey ou une clé matérielle à la place des codes SMS, un code anti-phishing, une liste blanche avec verrou sur les nouvelles adresses, et des clés API de trading sans droit de retrait, limitées à une liste blanche d'IP. Si vous connectez des bots ou des outils d'IA, notre guide des outils de trading par IA détaille les permissions des clés. Évitez de modifier vos paramètres de sécurité quand le marché est agité : le gel automatique de 24 à 48 heures qui suit ne peut pas être levé plus tôt.

Ce que montre la preuve de réserves, et ce qu'elle ne montre pas

Binance, OKX, Bybit et Bitget publient tous une preuve de réserves mensuelle, et les quatre affichent au moins 100 % pour les principales cryptos. Le rapport de Bitget publié après son piratage de septembre 2026 indique 142 % pour le BTC, 110 % pour l'ETH et 107 % pour l'USDT (Bitget). Le rapport de septembre de Bybit indique 104 % pour le BTC (Crypto Briefing).

Une preuve de réserves montre que les cryptos déposées par les clients existaient onchain au moment de l'instantané. Elle ne montre pas :

• que l'exchange n'a pas d'autres dettes ;
• que la liste des soldes clients est complète (chaque utilisateur ne peut vérifier que sa propre ligne) ;
• que les clés sont en sécurité. Binance et Bitget étaient tous deux au-dessus de 100 % peu avant leurs piratages de 2026.

Le cabinet comptable Mazars a cessé de préparer ces rapports pour les exchanges crypto en décembre 2022, en invoquant des inquiétudes sur la façon dont le public les comprenait (Accounting Today). Lisez une preuve de réserves comme une vérification mensuelle que les cryptos sont bien là, pas comme un audit.

Comment transférer ses cryptos d'un exchange vers son propre portefeuille en sécurité

1. Achetez le portefeuille physique sur le site du fabricant ou chez un revendeur qui y est listé.
2. Configurez-le vous-même et notez hors ligne une nouvelle phrase de récupération. Ne la saisissez jamais sur un ordinateur ou un téléphone.
3. Récupérez l'adresse de réception depuis l'appareil et vérifiez-la sur son écran.
4. Sur l'exchange, ajoutez cette adresse à votre liste blanche. Choisissez le bon réseau : le format de l'adresse ne suffit pas à vous empêcher d'envoyer sur le mauvais.
5. Envoyez d'abord un petit montant de test, puis le reste.
6. Ne copiez jamais une adresse depuis votre historique de transactions : c'est ainsi que fonctionne l'empoisonnement d'adresse.

Où stocker ses USDT et autres stablecoins ?

Les mêmes règles s'appliquent, à une différence près : l'émetteur peut geler les tokens. Après le piratage de Binance, Tether a gelé le principal portefeuille USDT des attaquants en 37 minutes, et Circle a gelé 823 millions d'USDC avant qu'ils puissent être échangés (notre article). Ce pouvoir protège les victimes, mais il s'applique aussi à toute adresse que l'émetteur signale, y compris une adresse qui a reçu des fonds d'une adresse signalée. Vérifiez la provenance de vos stablecoins avant de les transférer, et gardez en tête le réseau sur lequel ils se trouvent, car les frais et les règles de gel diffèrent.

Questions fréquentes

Est-il sûr de laisser ses cryptos sur un exchange ?

C'est raisonnable pour l'argent que vous tradez, risqué pour votre épargne. Entre 2022 et 2026, les grands exchanges piratés ont couvert les utilisateurs en quelques jours, tandis que les exchanges en faillite ont mis 11 à 27 mois à effectuer un premier versement, et certains n'ont rien payé.

Binance est-il sûr après le piratage ?

Binance affirme que les soldes des utilisateurs n'ont pas été réduits, que 95 % des actifs volés avaient été reconstitués au 2 novembre 2026 et que les retraits ont rouvert le 1er novembre. Ses réserves dépassaient déjà 100 % avant le piratage : c'est pourquoi la preuve de réserves ne suffit pas, à elle seule, à répondre à la question.

Un portefeuille froid (cold wallet) peut-il être piraté ?

La puce sécurisée est rarement cassée. Les pertes viennent d'appareils trafiqués achetés chez des revendeurs, de transactions validées sans avoir été lues et de phrases de récupération livrées à une fausse application ou à une fausse lettre. En octobre 2026, Ledger a confirmé la présence d'implants dans des appareils vendus par le revendeur CryptoBilis.

Que deviennent mes cryptos si un exchange est piraté ?

Si l'exchange reste solvable, il couvre généralement la perte, et vous attendez de quelques heures à quelques semaines pour pouvoir retirer. S'il ne peut pas couvrir la perte, vous récupérerez peut-être une partie de votre solde après des mois ou des années, comme chez WazirX (environ 85 % après 15 mois).

Combien de cryptos garder sur un exchange ?

Aucun régulateur ni chercheur ne donne de pourcentage. Pour un trader de futures, le minimum est la marge des positions ouvertes plus une réserve ; le reste peut être placé en auto-conservation.

Où conserver sa phrase de récupération (seed phrase) ?

Hors ligne, sur papier ou sur métal, dans un endroit auquel vous seul avez accès. Jamais dans une photo, une note dans le cloud, un e-mail ou une conversation. Aucun vrai service client ne vous la demandera jamais.

Comment nous avons collecté les données

Nous avons rassemblé les piratages, gels et faillites d'exchanges de 2022 au 4 novembre 2026 à partir des déclarations des exchanges, de documents judiciaires et des bases de données de DefiLlama et de SlowMist, puis vérifié chaque cas dans les articles de Reuters, The Block, CoinDesk et d'autres médias. Pour les piratages, nous avons mesuré le délai jusqu'à la réouverture des retraits crypto pour tous les utilisateurs ; pour les faillites, le délai jusqu'au premier versement. Le chiffre de FTX exprimé en bitcoins est notre calcul, à partir du prix de créance de 16 871 $ par BTC. La part des exchanges dans les piratages est notre calcul à partir de la base de données des piratages de DefiLlama, téléchargée le 4 novembre 2026. Les décomptes de la liste de Lopp sont les nôtres, sur la liste publique à cette même date. Nous ne notons ni les exchanges ni les fabricants de portefeuilles.

Par où commencer

Activez dès aujourd'hui les protections du tableau ci-dessus : cela prend dix minutes. Avant de dimensionner votre prochaine position, vérifiez à quel point votre prix de liquidation est vraiment proche. Binam est une société de prop trading crypto : vous tradez des futures crypto avec le capital de la société après avoir réussi un challenge, si bien que votre propre épargne n'a pas à rester sur un exchange comme marge.

Le trading de cryptomonnaies comporte des risques. Cet article est fourni à titre informatif et ne constitue pas un conseil en investissement.