Community Trust ScoreVérifié
Coinbase est submergé de déchets. La plateforme d’échange de cryptomonnaies a déclaré que les soumissions de primes de bugs sont en passe de tripler en 2026 par rapport à l’année précédente, et le coupable est à peu près ce que l’on attendait : des outils d’IA bon marché qui permettent à quiconque d’envoyer des centaines de rapports de sécurité automatisés avec un minimum d’effort.
Les chiffres sont approximatifs. Au cours du premier semestre 2026, seulement 4 % des rapports soumis via HackerOne ont été jugés valides et effectivement rémunérés. C’est une chute brutale par rapport à 14 % en 2024 — et le volume des soumissions avait déjà doublé sur cette même période. Donc plus de bruit, beaucoup moins de signal. Coinbase n’a pas précisé combien de ces rapports étaient générés par l’IA, mais le schéma est assez clair.
Parmi les rapports HackerOne clôturés au cours du premier semestre, 44 % étaient des doublons. Un autre 37 % contenait des informations qui n’étaient pas exploitables. Et 15 % étaient tout simplement invalides. Cela laisse les examinateurs humains à trier une pile de soumissions principalement inutiles pour trouver celles qui comptent réellement.
Coinbase renforce les règles de primes
Coinbase a réagi rapidement. Le 29 juillet, la plateforme a restreint son programme de primes de bugs Web2 pour se concentrer uniquement sur les vulnérabilités élevées, critiques et extrêmes. Les problèmes de moindre gravité sont désormais essentiellement exclus. La récompense maximale reste à 1 million de dollars pour quiconque trouve une vulnérabilité extrême — ce chiffre n’a pas changé. Et Coinbase gère un programme séparé appelé Cantina spécifiquement pour les problèmes de blockchain et de contrats intelligents, donc le resserrement du Web2 ne touche pas cet aspect des choses.
La restructuration des critères de primes est une réponse directe à l’afflux de soumissions d’IA. Lorsque votre file d’attente d’examen est dominée par des rapports automatisés de faible qualité, la solution n’est pas d’embaucher plus d’examinateurs — c’est de relever la barre de ce qui est examiné. Si cela fonctionne à long terme n’est pas clair, mais c’est la décision que Coinbase a prise.
De vraies vulnérabilités trouvées parmi le bruit
Tout ce qui arrive n’est pas du déchet, cependant. Les chercheurs externes Joe Almeida et Anh Nguyen en ont trouvé une vraie. Ils ont identifié une vulnérabilité dans le processus de réconciliation des retraits Stellar de Coinbase. En raison du fonctionnement du mécanisme de majoration des frais de Stellar, un ensemble spécifique de conditions pourrait amener Coinbase à compter une seule transaction deux fois en interne. C’est un problème de double comptage — pas trivial. Coinbase a suspendu le processus affecté, a mis en place une correction et a confirmé la correction avant de reprendre les opérations normales. Les fonds des clients n’ont jamais été en danger, et il n’y a aucune preuve que quelqu’un l’ait exploité au-delà des tests internes.
Par ailleurs, un audit assisté par IA de la sécurité du Bitcoin a signalé 4 962 problèmes potentiels à travers 390 dépôts en moins de 28 heures. C’est un chiffre impressionnant. Mais seulement un cinquième de ceux-ci ont été vérifiés de manière indépendante. Le reste nécessite encore une validation humaine pour confirmer s’il s’agit de véritables vulnérabilités ou de plus de bruit. Donc, même lorsque l’IA trouve quelque chose, les humains doivent encore nettoyer derrière.
L’IA à la fois outil et menace
L’ironie ici est que l’IA crée le problème et est également utilisée pour rechercher des solutions. Du côté des menaces, le FBI a averti que l’IA générative permet aux criminels de produire des messages de phishing convaincants plus rapidement et d’automatiser des activités malveillantes à grande échelle. Ce n’est plus théorique. Les enquêteurs ont découvert que le groupe Kimsuky lié à la Corée du Nord utilisait des plateformes d’IA pour générer des matériaux de phishing ciblant les actifs virtuels, les investissements financiers et les cibles de développement logiciel. La sophistication de ces campagnes augmente.
Et les chiffres globaux sont mauvais. Une évaluation complète de la sécurité onchain a trouvé 212 exploits au premier semestre 2026, avec des pertes atteignant 1,1 milliard de dollars dans le secteur des actifs numériques. C’est l’environnement dans lequel Coinbase opère — un environnement où les enjeux financiers pour manquer un vrai bug sont énormes, et le coût de l’examen des faux mange des ressources importantes.
L’approche de Coinbase tente de trouver un équilibre. Les outils d’IA recherchent des problèmes potentiels à grande échelle. Les chercheurs spécialisés s’occupent du travail plus approfondi — les règles de protocole, la comptabilité interne, les choses qui nécessitent un véritable jugement. Ce n’est pas un système parfait, mais c’est probablement le seul qui ait du sens en ce moment.
La plateforme réduit également environ 700 emplois dans le cadre d’une restructuration plus large visant à améliorer l’efficacité, en s’appuyant en partie davantage sur la productivité pilotée par l’IA. Ainsi, Coinbase combat simultanément les soumissions de déchets générées par l’IA et parie sur l’IA pour rendre ses propres opérations plus efficaces.
Le taux de validité de 4 % au premier semestre 2026 est le chiffre qui reste.
Questions Fréquentes
Quel pourcentage des rapports de primes de bugs de Coinbase étaient valides au premier semestre 2026 ?
Seuls 4 % des soumissions HackerOne à Coinbase ont été considérées comme valides et payées au cours du premier semestre 2026, contre 14 % en 2024.
Qui a trouvé la vulnérabilité de retrait Stellar chez Coinbase ?
Les chercheurs externes Joe Almeida et Anh Nguyen ont identifié la vulnérabilité impliquant le processus de réconciliation des retraits Stellar de Coinbase ; Coinbase a suspendu le processus, l’a corrigé et a confirmé que les fonds des clients n’étaient pas affectés.
