Le vol de 6,3 milliards de dollars chez Binance, présenté comme le plus grand cambriolage crypto au monde, a placé les mécanismes de l'assurance crypto sous les projecteurs. L'ampleur de la perte souligne à quel point la couverture des actifs numériques par les plateformes d'échange est inégale : ce qui est couvert dépend de la manière dont les actifs sont conservés, de la façon dont les attaquants s'introduisent dans les systèmes et des conditions inscrites dans chaque contrat.

Selon un rapport de Reuters, l'assurance des actifs numériques se compose d'un ensemble de polices destinées aux plateformes d'échange, aux dépositaires et aux autres entreprises exposées au vol, aux cyberattaques, aux défaillances technologiques et aux risques commerciaux associés. Ces polices peuvent couvrir les risques liés aux clés privées, à la sécurité des portefeuilles, aux smart contracts et aux systèmes de conservation.

Comment la couverture varie selon les types de polices

La souscription demeure un créneau de niche au sein du secteur de l'assurance, assurée principalement par des assureurs spécialisés présents sur le marché de Lloyd's et aux Bermudes. Le rapport note que la réglementation limitée et la volatilité des prix des cryptomonnaies maintiennent les assureurs prudents, alors même que la demande de protection augmente avec l'usage des cryptomonnaies et les demandes d'indemnisation liées aux vols. Face à une perte de l'ampleur de celle de Binance, cette prudence a des conséquences : le rapport décrit un écart entre les pertes que les entreprises d'actifs numériques pourraient subir et la capacité d'assurance disponible, ce qui explique pourquoi la couverture constitue une couche de protection parmi d'autres plutôt qu'un filet de sécurité complet contre un vol catastrophique.

La couverture d'une même entreprise peut combiner plusieurs formes d'assurance. Les polices criminalité peuvent répondre aux vols, à l'ingénierie sociale et aux escroqueries. La responsabilité cyber peut prendre en charge les intrusions, la réponse réglementaire et certains coûts associés. Les polices erreurs et omissions peuvent intervenir en cas de bugs logiciels ou de défaillances de smart contracts, tandis que la couverture responsabilité des dirigeants et administrateurs concerne les actions en justice contre les dirigeants. La responsabilité technologique peut s'appliquer aux fournisseurs d'infrastructure.

Cette combinaison importe, car les produits d'assurance standard n'ont jamais été conçus pour les cryptomonnaies volées. La plupart des polices criminalité traditionnelles ont été élaborées pour des biens physiques tels que les espèces, les titres et les métaux précieux, et les polices cyber classiques ne couvrent pas toujours les actifs numériques volés non plus.

Quand l'assurance ne suffit pas

Une fois le piratage survenu, une plateforme d'échange peut s'appuyer sur les indemnisations d'assurance, ses propres capitaux et des fonds d'urgence constitués pour les clients. Ce que l'assureur paie finalement dépend des plafonds de garantie, des franchises et des exclusions. Lorsque les pertes dépassent les montants assurés, l'entreprise doit se rabattre sur ses ressources financières ou sur d'autres dispositifs de récupération.

Binance a créé le Secure Asset Fund for Users, connu sous le nom de SAFU, en juillet 2018. La plateforme le décrit comme une réserve d'urgence pour les cas extrêmes, notamment les failles de sécurité ou les incidents au niveau de la plateforme. Début 2026, le fonds détenait environ 1 milliard de dollars d'actifs crypto, entièrement en bitcoin, selon le site web de Binance.

Le rapport indique que Binance n'a pas immédiatement répondu à la demande de commentaire de Reuters concernant sa couverture d'assurance. Il n'affirme pas que l'assurance a couvert la perte de 6,3 milliards de dollars, ni qu'il s'établit quelle part de la perte pourrait être récupérée via le fonds. Ces points non résolus — à savoir si une police s'applique au vol et combien le fonds pourrait contribuer — sont les divulgations qui permettraient de déterminer quelle part de la perte repose sur les propres ressources de la plateforme.

Les demandes d'indemnisation peuvent dépendre de la manière dont l'intrusion s'est produite, des systèmes qui ont été compromis et de l'adéquation de la perte avec la police concernée. Les assureurs peuvent examiner les contrôles relatifs aux clés privées, à l'accès aux portefeuilles et aux approbations de transactions. Qu'un pirate externe ait volé des identifiants ou qu'un employé ait délibérément transféré des actifs peut déterminer la police applicable.

Exclusions et contrôles de sécurité façonnent les résultats

Les polices peuvent exclure les fluctuations de valeur, les actes frauduleux de l'assuré ou la gestion de clés non sécurisée et négligente. De telles clauses peuvent réduire la protection et rendre la couverture plus difficile à obtenir. Le plafond indiqué d'une police ne dit donc rien, à lui seul, de ce qu'une entreprise recevrait réellement après un incident donné.

Jacqueline Quintal, responsable du secteur des institutions financières et des actifs numériques chez Marsh, a déclaré à Reuters que les entreprises d'actifs numériques et les clients institutionnels doivent comprendre ce qui est couvert, ainsi que les exclusions et sous-plafonds. Elle a ajouté que les contrôles technologiques et de sécurité, une gouvernance solide et la solidité financière sont également importants, compte tenu de l'écart entre les pertes possibles et la capacité d'assurance disponible.

Le rapport ne propose aucune formule de police unique garantissant un remboursement. Les plateformes d'échange doivent examiner la formulation exacte de leurs polices et déterminer si une perte donnée relève de la couverture, et l'examen des demandes d'indemnisation repose sur l'intrusion elle-même, les systèmes concernés et les contrôles en place.