Changpeng Zhao, le cofondateur de Binance largement connu sous le nom de CZ, s'est opposé à l'inquiétude croissante selon laquelle le piratage assisté par intelligence artificielle représenterait un danger démesuré pour les réseaux crypto. Il estime que ces craintes sont exagérées, soulignant qu'Internet et la banque traditionnelle fonctionnent sur des fondations cryptographiques comparativement plus faibles que celles qui sécurisent la plupart des blockchains modernes. Ses déclarations interviennent dans un débat plus large sur la question de savoir si les outils d'IA modifient substantiellement l'équilibre entre attaquants et défenseurs dans la finance numérique. Zhao, qui a fondé Binance en 2017 et quitté son poste de directeur général en novembre 2023, demeure l'un des commentateurs publics les plus suivis de la crypto.

L'argument de CZ : des craintes exagérées

La position centrale de CZ est que le modèle de menace appliqué à la crypto est strict de manière incohérente. Il a fait valoir que l'économie numérique au sens large, y compris l'infrastructure HTTP et TLS d'Internet public et les normes de chiffrement héritées utilisées dans les systèmes de règlement de détail et interbancaires, repose sur des hypothèses de sécurité qui ne sont pas plus robustes, et dans de nombreux cas plus faibles, que la cryptographie à courbes elliptiques et les fonctions de hachage qui sécurisent Bitcoin et les réseaux comparables à preuve de travail et à preuve d'enjeu.

L'argument suit une logique comparative : si des adversaires assistés par l'IA étaient capables de casser les primitives cryptographiques protégeant les portefeuilles crypto et les transactions on-chain, ces mêmes capacités compromettraient d'abord la banque en ligne, les réseaux de cartes de paiement et les couches d'authentification qui protègent l'infrastructure du e-commerce, ces systèmes portant une valeur globale plus importante et ayant historiquement fait l'objet d'une moindre surveillance adversariale de la part de la communauté de recherche.

Ce que l'affirmation ne prouve pas

Le cadrage de CZ est une réponse à une perception, pas un audit technique. Souligner que l'infrastructure bancaire héritée présente une exposition théorique comparable ou supérieure ne signifie pas que la crypto soit immunisée contre les menaces augmentées par l'IA ; cela signifie que la menace n'est pas concentrée de manière unique dans la crypto. Cette distinction compte pour la manière dont les utilisateurs et les protocoles doivent calibrer leur propre évaluation des risques.

L'affirmation ne traite pas non plus les vulnérabilités de la couche applicative propres à la DeFi : les exploits de smart contracts, la manipulation des oracles et les attaques de gouvernance ne sont pas déjoués par une cryptographie on-chain solide. Comme'illustre l'affaire de l'exploitant de Drift suivie par Chainalysis — l'attaque de 2024 contre Drift Protocol, une plateforme de perpetuals basée sur Solana — le déplacement des fonds et l'exploitation des protocoles impliquent régulièrement de l'ingénierie sociale, une mauvaise gestion des clés ou des erreurs de logique contractuelle plutôt que la cryptographie à courbes elliptiques directement.

Pourquoi CZ compare la crypto à la sécurité d'Internet et des banques

La comparaison établie par CZ s'appuie sur la structure de la cryptographie à clé publique. La courbe secp256k1 et le hachage SHA-256 de Bitcoin, l'implémentation keccak-256 d'Ethereum, et les schémas de signature de la couche de consensus utilisés par les principaux validateurs à preuve d'enjeu reposent tous sur des problèmes mathématiques — logarithme discret à courbes elliptiques et résistance aux préimages — qui ne sont pas significativement plus faciles à casser pour les systèmes d'IA actuels ou à court terme que les normes RSA-2048 et AES-128 qui sous-tendent la plupart des flux d'authentification sur Internet et dans les banques.

C'est dans le discours sur la menace quantique que cette comparaison a le plus de poids. Le processus de normalisation post-quantique du NIST, finalisé en août 2024, cible les mêmes primitives cryptographiques utilisées à la fois dans la crypto et la finance conventionnelle. Si un ordinateur quantique suffisamment puissant menaçait un jour secp256k1, il menacerait simultanément les négociations TLS qui protègent chaque session bancaire HTTPS. Le point de CZ est que présenter la crypto comme unique­ment fragile dénature la nature partagée du risque sous-jacent.

Pourquoi une comparaison n'est pas une garantie de sécurité

L'argument « les banques utilisent la même cryptographie » fonctionne comme une affirmation relative, mais pas comme une assurance absolue. La finance traditionnelle bénéficie de la réversibilité, de filets de sécurité réglementaires et d'une infrastructure de récupération des fraudes que le règlement on-chain ne fournit pas. Une attaque réussie contre une clé privée crypto entraîne une perte irréversible, tandis que le même type d'échec cryptographique dans un contexte bancaire déclenche généralement des couches de détection de fraude et d'éventuels rétrofacturations. La comparaison des surfaces d'attaque est valide ; la comparaison des conséquences n'est pas symétrique.

La sécurité au niveau du protocole diffère également fortement de la sécurité de la conservation des clés. Le hashrate du réseau Bitcoin et l'ensemble des validateurs d'Ethereum constituent des défenses robustes au niveau du consensus, mais la majorité des vols subis par les utilisateurs de crypto se produit au niveau de la conservation : attaques de phishing, phrases seed compromises, extensions de navigateur malveillantes et violations au niveau des plateformes d'échange. Environ 1,5 milliard de dollars dérobés à l'échange Bybit en février 2025 — attribué par les enquêteurs à des hackers liés à la Corée du Nord ayant compromis une interface de signature de portefeuille plutôt que la cryptographie sous-jacente — a illustré ce schéma à grande échelle : les mathématiques des signatures ont tenu, et le flux de travail de conservation a échoué. Les outils d'IA ont déjà réduit le coût de production de contenus de phishing très convaincants et d'ingénierie sociale par deepfake, une expansion réelle et démontrable de la surface d'attaque qui ne nécessite de casser aucune primitive cryptographique.

Ce que ce débat implique pour les attentes en matière de sécurité crypto

Pris ensemble, l'argument soutient que les craintes de piratage crypto piloté par l'IA sont disproportionnées parce que les infrastructures d'Internet et des banques reposent sur des fondations cryptographiques comparables ou plus faibles ; que cette comparaison est valide au niveau cryptographique du protocole mais ne s'étend pas aux risques de la couche applicative propres à la DeFi, comme les exploits de smart contracts et les défaillances de conservation ; et que la menace à court terme de l'IA pour la crypto se concentre sur l'ingénierie sociale et le phishing plutôt que sur la cassure des primitives à courbes elliptiques ou de hachage, qui restent computationnellement inattaquables avec le matériel actuel.

Perception du risque contre démontrés

La majorité des pertes crypto massives documentées attribuées à des attaquants sophistiqués ont impliqué des clés privées compromises, des accès internes ou des erreurs de logique de smart contract plutôt qu'une quelconque forme de force brute cryptographique. Chainalysis estime qu'environ 2,2 milliards de dollars ont été dérobés lors de piratages crypto sur l'ensemble de 2024, un total constitué de compromissions de clés, d'exploitation de code et de défaillances opérationnelles plutôt que de chiffrement cassé. Les capacités d'IA disponibles aujourd'hui accélèrent sensiblement la composante d'ingénierie sociale de ces attaques, produisant des e-mails de spear phishing plus convaincants et de fausses interactions avec le support, mais elles ne modifient pas la sécurité mathématique sous-jacente de la signature des transactions on-chain.

Cette distinction est opérationnellement importante pour les protocoles DeFi gérant des positions de liquidité concentrées, des multisigs de gouvernance et des allocations de trésorerie détenues par les protocoles. Le modèle de menace pour un multisig Gnosis Safe détenant des réserves de protocole concerne principalement l'hygiène des clés des signataires et l'intégrité des processus de gouvernance, et non les mathématiques à courbes elliptiques qui protègent les signatures elles-mêmes. Le cadrage de CZ est correct à un niveau de la pile et moins pertinent aux niveaux où se produisent la plupart des pertes DeFi.

Ce qu'il faut surveiller ensuite

Le développement à court terme le plus conséquent en matière d'IA et de sécurité crypto n'est pas une cassure cryptographique mais l'accélération des outils d'attaque autonomes : des agents d'IA capables d'identifier et de sonder à grande échelle les déploiements de smart contracts vulnérables, ou d'automatiser les étapes d'ingénierie sociale nécessaires pour compromettre la gouvernance ou la sécurité opérationnelle d'un protocole. Ces vecteurs ne nécessitent pas de vaincre SHA-256 ; ils requièrent seulement que des opérateurs humains restent dans la boucle de la gestion des clés et des décisions de gouvernance, ce qui est précisément là où les protocoles DeFi restent les plus exposés. Le contrepoids à surveiller est de savoir si les outils défensifs absorbent la même automatisation à un rythme comparable — les plateformes de surveillance on-chain et d'audit de sécurité appliquent déjà l'apprentissage automatique à la détection d'anomalies et à la revue de contrats.

Pour les utilisateurs évaluant leur exposition de portefeuille, la question pertinente n'est pas de savoir si l'IA peut casser la cryptographie de Bitcoin, ce qui n'est pas une menace crédible à court terme, mais si les protocoles et dépositaires détenant leurs actifs ont renforcé leur sécurité opérationnelle contre le phishing, l'usurpation d'identité et le scan automatisé de vulnérabilités que les outils d'IA ont rendus nettement moins coûteux et plus rapides à exécuter.