Mois : septembre 2026

Dans ce monde, rien n’est certain, sauf la mort et les impôts. L’Illinois devient le premier État américain à taxer les transactions en actifs numériques. Peu importe que l’opération rapporte ou coûte de l’argent. Le gouverneur JB Pritzker a promulgué la loi en juin. Fin septembre 2026, le fisc de l’État a publié ses projets de règles d’application. La taxe s’appliquera à partir du 1er janvier 2027. Nous avions déjà raconté en juin cette idée américaine qui pourrait inspirer l’Europe.

Taxe crypto en Illinois : 0,2 % sur la valeur, gain ou perte

Le texte est déjà une loi. Le Digital Asset Tax Act forme l’article 3 de la loi de budget SB 3019 (Public Act 104-0468). JB Pritzker l’a promulgué à la mi-juin 2026, avec un budget d’environ 56 milliards de dollars.

Le taux atteint 0,2 % de la valeur des actifs numériques échangés, transférés ou conservés. Le chiffre vient du cabinet d’avocats Jones Day. La taxe frappe l’opération elle-même. Sur 10 000 dollars échangés, elle représente donc 20 dollars. Le trade peut finir en gain ou en perte, cela ne change rien. Selon le think tank Illinois Policy, l’impôt d’État de 4,95 % frappe en plus les plus-values. Jones Day note aussi que la loi ne définit pas la « valeur ». Enfin, des estimations relayées par CoinDesk tablent sur environ 60 millions de dollars de recettes par an. Il ne s’agit pas d’un chiffrage du fisc de l’État.

Qui paie la taxe crypto : les plateformes collectent, les clients supportent

La loi vise les « digital asset brokers ». Il s’agit de toute personne qui fournit régulièrement, contre rémunération, des services pour faire circuler des actifs numériques. Cela couvre les exchanges centralisés, les wallets de conservation et le stockage à froid. D’après le cabinet BDO, le courtier ajoute la taxe sur une ligne distincte de la facture client. Il la déclare ensuite chaque mois au fisc de l’État.

Le champ dépasse les frontières de l’Illinois. Une présence physique dans l’État suffit à entrer dans le dispositif. Il en va de même au-delà de 100 000 dollars de recettes sur douze mois. Selon Jones Day, l’enregistrement s’impose dès la première transaction avec un client de l’Illinois, avant même ce seuil. L’omission constitue un délit de classe 3 (felony).

La loi exclut les jetons de jeu et les NFT dotés d’une valeur ou d’une utilité substantielle. Le projet de règles du fisc précise le reste. Les stablecoins entrent dans le champ, les NFT en sortent. La finance décentralisée échappe en principe à la taxe. Seule exception : un protocole qui prélève des frais assimilables à une contrepartie (« consideration »). Les frais de réseau et la fourniture de liquidité restent hors taxe. Le texte tranche aussi le cas des transferts vers un portefeuille personnel (self-custody). Ils deviennent taxables si la plateforme facture l’opération.

Projet de règles et recours : ce qui est acté, ce qui ne l’est pas

Le 28 septembre, le département du Revenu de l’Illinois a mis en ligne ses projets de règles d’application. Bloomberg Tax les a relayés le 29. Le public peut les commenter jusqu’au 30 octobre 2026 à 17 h, selon le communiqué relayé par Riverbender. Ces règles restent provisoires. Le directeur David Harris veut des règles claires. Il invoque « la nouveauté de la taxe et la complexité du secteur des actifs numériques ». Bloomberg Government rapporte que Ji Hun Kim, patron du Crypto Council for Innovation, juge le processus précipité.

La loi, elle, affronte déjà la justice. La Digital Chamber a saisi les tribunaux en juillet. Le Crypto Council for Innovation et la Blockchain Association ont ensuite saisi le tribunal du comté de Sangamon. Elles invoquent la Constitution fédérale, celle de l’Illinois et l’Internet Tax Freedom Act. Selon CoinGeek, les deux associations ont demandé le 9 septembre une injonction préliminaire. Elles veulent bloquer l’application avant le 1er janvier.

Crypto en Illinois : le risque de fuite des entreprises, et le repère français

Les critiques dépassent le terrain juridique. Selon le Crypto Council for Innovation, la taxe chassera « l’innovation et les bâtisseurs » de l’État. La Digital Chamber redoute le départ des entreprises crypto déjà installées. Miles Jennings, d’a16z Crypto, rappelle un fait : aucun État ne taxe ainsi les transactions sur actions, obligations ou dérivés. La presse spécialisée cite Jump Crypto et Bitnomial, installées à Chicago. Mais les sources consultées ne mentionnent aucun départ ni exode de talents chiffré.

En France, la flat tax de 30 % ne s’applique qu’aux plus-values. Elle intervient lors du passage en euros ou d’un achat de bien. Les échanges d’une crypto contre une autre restent non imposables. Enfin, l’impôt ne s’applique qu’au-delà de 305 euros de cessions annuelles, d’après notre guide fiscal.

Notre guide fiscal crypto 2026 détaille le calcul de la flat tax pour situer le cas français. En Illinois, le public peut commenter les projets de règles jusqu’au 30 octobre 2026 à 17 h. L’entrée en vigueur suivra deux mois plus tard, le 1er janvier 2027.

L’article Fiscalité crypto : L’Illinois, premier État américain à taxer chaque transaction est apparu en premier sur Journal du Coin.

Bill Gates critique Bitcoin et les NFT depuis 2022, tout en distinguant la blockchain de la spéculation et de son coût énergétique.

OpenSea lance un espace dédié aux cartes à collectionner tokenisées, avec des cartes Pokémon, One Piece et de sport réunies sur une même interface. La plateforme espère ainsi profiter de l’essor des objets de collection physiques représentés sur la blockchain pour relancer son activité.

L’article OpenSea mise sur les cartes Pokémon tokenisées pour relancer les NFT est apparu en premier sur Cryptoast.

Alors que le marché des NFT reste très loin de ses sommets, certains collectionneurs continuent de miser sur les oeuvres numériques les plus anciennes. Les créations produites avant l’essor de l’IA générative pourraient, selon eux, gagner en rareté et en valeur à mesure que les contenus générés automatiquement se multiplient.

L’article Les NFT d’avant l’IA peuvent-ils être un bon investissement ? est apparu en premier sur Cryptoast.

Un exploit du Payment Processor de Limit Break a déplacé 23 155 NFT vers une garde sûre, tandis que 660 WETH seraient restés exposés.

Magic Eden désignée trop vite. Des milliers de NFT ont quitté leurs wallets par l’intermédiaire d’un ancien contrat autrefois intégré à sa marketplace EVM. La faille venait pourtant du Payment Processor V2 de Limit Break, qu’un attaquant avait déjà commencé à exploiter lorsque 0xQuit, vice-président blockchain de Yuga Labs, a lancé une opération de sauvetage.

Le white hat a sécurisé 23 155 NFT valorisés à plus de 5,7 millions de dollars. En revanche, environ 660 WETH, soit près de 1,7 million de dollars, n’ont pas pu être récupérés à ce stade. Voici ce que l’on sait.

Points clés

La vulnérabilité concernait le Payment Processor V2 de Limit Break, autrefois intégré par Magic Eden

0xQuit a sécurisé 23 155 NFT estimés à plus de 5,7 millions de dollars

Un attaquant avait déjà commencé à exploiter la faille et environ 660 WETH n’ont pas été récupérés

Les détenteurs concernés doivent révoquer leurs autorisations sur les contrats V2 d’Ethereum et V3 d’ApeChain

Magic Eden pointée du doigt, une ancienne faille chez Limit Break

Les premiers mouvements ont immédiatement attiré l’attention. Des milliers de NFT quittaient des centaines de wallets à travers des transactions affichées comme des ventes à 0 ETH, toujours en direction de la même adresse. Comme les explorateurs associaient ces opérations à Magic Eden, la place de marché s’est retrouvée au centre des soupçons.

Pourtant, la vulnérabilité appartenait au Payment Processor V2 de Limit Break, un protocole de vente de NFT autrefois intégré par Magic Eden afin de faire respecter les royalties des créateurs. La plateforme avait cessé d’utiliser cette version en octobre 2024, avant de fermer son marché EVM le 9 mars 2026. Les annonces, offres et enchères avaient alors disparu de son interface, sans supprimer les autorisations accordées directement sur les blockchains.

Un attaquant avait déjà utilisé la faille lorsque l’équipe de Yuga Labs a identifié le problème. Les premiers actifs dérobés comprenaient notamment des Meebits, Otherdeeds, World of Women et Desperate ApeWives.

0xQuit et Limit Break ont ensuite lancé une opération de sauvetage. Une première observation faisait état de 3 832 NFT déplacés, mais le bilan final atteint 23 155 NFT, évalués à plus de 5,7 millions de dollars. Ils ont été regroupés vers la même adresse suivante et 0xQuit assure qu’ils sont en sécurité et pourront être restitués après la révocation des autorisations vulnérables.

Léger vent de panique dans la communauté crypto, mais plus de peur que de mal chez Magic Eden – Source : Compte X

Limit Break : Les anciennes approbations exposaient NFT et WETH

Pour fonctionner, le Payment Processor devait obtenir l’autorisation de déplacer les NFT proposés à la vente. Or une approbation donnée à un smart contract reste généralement active jusqu’à sa révocation, même lorsque le service qui l’utilisait ferme ou change de protocole.

Cette faille du permettait à un attaquant de se présenter comme le détenteur d’un NFT toujours couvert par cette autorisation, puis de déclencher son transfert pour 0 ETH. Aucun listing encore visible sur Magic Eden n’était nécessaire : l’approbation laissée dans le wallet suffisait à maintenir l’exposition.

L’équipe a également découvert qu’une variante inversée pouvait viser le WETH, l’ether tokenisé notamment utilisé pour déposer des offres sur des NFT. Environ 660 WETH ont ainsi été exposés et n’ont pas pu être récupérés pendant l’opération de sauvetage. 0xQuit estime la perte à près de 1,7 million de dollars, mais aucune récupération ultérieure ne peut encore être exclue.

Le Payment Processor V3 déployé sur ApeChain présentait une faiblesse comparable. Limit Break a pu suspendre cette version, contrairement au contrat V2 d’Ethereum, resté accessible en raison de son fonctionnement décentralisé.

0xQuit recommande de supprimer les autorisations accordées aux deux adresses suivantes :

Ethereum V2 : 0x9A1D00bEd7CD04BCDA516d721A596eb22Aac6834

ApeChain V3 : 0x9a1D00000000fC540e2000560054812452eB5366

Cette opération peut passer par un outil comme revoke.cash. Elle ne ramène pas automatiquement les actifs déjà déplacés, mais empêche le contrat concerné d’en transférer de nouveaux.

L’incident ne provient donc pas d’une nouvelle compromission de Magic Eden. Il montre plutôt comment une autorisation accordée à un ancien contrat peut survivre plusieurs années à son utilisation et continuer d’exposer les actifs conservés dans un wallet. C’est bien la self-custody, mais c’est pas toujours simple de s’y retrouver.

L’article Magic Eden : Un white hat sauve 23 155 NFT d’une ancienne faille est apparu en premier sur Journal du Coin.

Suite à une faille de sécurité détectée sur la plateforme Magic Eden, un hacker white hat a opéré le sauvetage de plus de 23 000 NFT détenus dans plusieurs centaines de portefeuilles, pour une valeur estimée à 6 millions de dollars. Les détails de cette affaire…

L’article Ce hacker éthique sauve plus de 23 000 NFT d’un hack pour un total de 6 millions de dollars est apparu en premier sur Cryptoast.

La confiance, cet actif qu’aucun bilan ne comptabilise. Apple en a pourtant fait le cœur de sa valorisation pendant une décennie : refus de déverrouiller l’iPhone de San Bernardino en 2016, traçage publicitaire verrouillé en 2021, campagnes entières bâties sur la promesse que les données ne quittent pas la poche de l’utilisateur.

L’intelligence artificielle percute ce récit de plein fouet, parce qu’un assistant réellement utile doit lire les messages, les photos et l’agenda, puis sortir du téléphone pour calculer.

Le grand écart entre promesse et pratique inquiète les marchés. Ils exprimaient déjà leur malaise bien avant que la Silicon Valley ne se passionne pour le risque existentiel. La firme de Cupertino a répondu par un pari inhabituel pour une entreprise aussi fermée, soumettre ses propres serveurs à l’inspection publique. C’est exactement la méthode que Bitcoin et Ethereum appliquent depuis leur première ligne de code. Explications.

Points clés

Apple a construit un « trust premium » sur la vie privée, avec un coût de 10 milliards de dollars pour Meta après l’App Tracking Transparency

Private Cloud Compute inscrit chaque version logicielle dans un registre public à ajout seul, et l’iPhone refuse tout serveur non répertorié

Selon Bloomberg, Apple paierait environ un milliard de dollars par an à Google pour un modèle Gemini destiné à Siri

Les preuves à divulgation nulle de connaissance appliquées à l’IA appliquent à l’inférence la logique de vérification des nœuds Bitcoin

Apple : un « trust premium » bâti sur la vie privée

La position n’a jamais varié depuis dix ans, et elle tient en une phrase répétée par le patron d’Apple dans à peu près toutes ses interventions publiques et qu’il dit depuis des années.

« Nous croyons que la vie privée est un droit humain fondamental. »

Tim Cook, directeur général d’Apple

Cette ligne a un coût pour les autres. L’App Tracking Transparency, le panneau qui demande à l’utilisateur s’il accepte d’être suivi d’une application à l’autre, a fait basculer l’économie publicitaire mobile en 2021. Meta avait chiffré à 10 milliards de dollars le manque à gagner attendu sur la seule année suivante.

Le « trust premium » d’Apple, prime que les investisseurs accordent à une marque en qui les clients ont confiance, s’est construit là : sur du matériel vendu cher à des utilisateurs convaincus que leurs données ne servent de carburant à personne. Un pari qui semble fonctionner puisque la capitalisation a franchi les 4 000 milliards de dollars fin octobre 2025.

L’IA oblige Apple à publier ses serveurs plutôt qu’à promettre

Quand une requête dépasse les capacités de la puce du téléphone, elle part vers Private Cloud Compute, l’infrastructure conçue par Apple pour traiter les demandes lourdes. Les machines tournent sur silicium maison, ne conservent aucune donnée après traitement et n’offrent aucun accès administrateur distant, y compris aux ingénieurs d’Apple.

Le point décisif : chaque version logicielle déployée y est inscrite dans un registre public à ajout seul, un journal où l’on peut écrire mais jamais effacer ni modifier une entrée passée. L’iPhone refuse purement et simplement de dialoguer avec un serveur dont l’empreinte n’y figure pas. L’équipe sécurité d’Apple parle de « l’architecture de sécurité la plus avancée jamais déployée pour du calcul d’IA dans le cloud à grande échelle », et a ouvert son code à l’audit des chercheurs.

Le retard pris sur l’intelligence artificielle, lui, ne s’est pas dissous pour autant. La version personnalisée de Siri a été repoussée après son annonce, l’équipe IA a été réorganisée dans la foulée, et Apple verse désormais environ un milliard de dollars par an à Google pour faire tourner un modèle Gemini de 1 200 milliards de paramètres derrière son assistant, confirmant les informations rapportées par Bloomberg.

Vendre la confidentialité tout en louant le cerveau du premier collecteur de données de la planète. L’équation est inconfortable, et les investisseurs l’ont vue avant tout le monde.

Blockchain et crypto : la vérifiabilité comme produit fini

Le registre à ajout seul, le code ouvert, l’impossibilité pour l’opérateur de modifier discrètement les règles : le vocabulaire d’Apple recoupe celui que la crypto emploie depuis 2009. Un nœud Bitcoin ne fait confiance à personne, il recalcule.

Le principe s’étend désormais à l’IA. Des équipes comme EZKL ou Giza travaillent sur les preuves à divulgation nulle de connaissance appliquées à l’apprentissage automatique, autrement dit des preuves mathématiques qu’un modèle donné a bien produit un résultat donné, sans exposer ni les données de l’utilisateur ni les poids du modèle. Akash, Render et Bittensor poussent la même logique côté puissance de calcul.

Le rapport d’Apple à la crypto, lui, s’est détendu par la contrainte judiciaire. Après la décision rendue en avril 2025 dans l’affaire qui l’opposait à Epic Games, la marque a autorisé les applications américaines à renvoyer vers des paiements externes.

Les portefeuilles et les places de marché NFT, longtemps étranglés par la commission de 30 % prélevée sur les achats intégrés, ont récupéré une marge de manœuvre qu’aucune négociation n’avait réussi à leur obtenir. Depuis, la cour d’appel du 9e circuit a partiellement rétabli le droit d’Apple à prélever une commission sur ces liens externes, et l’affaire est aujourd’hui pendante devant la Cour suprême.

Sur le terrain de la confiance, Apple a fini par chiffrer sa promesse. Jusqu’à un million de dollars pour qui parviendra à extraire les données d’une requête traitée par Private Cloud Compute. La confiance a désormais un prix affiché et un registre public pour la contrôler.

L’article Crypto et IA : Apple joue son « trust premium » sur la vérifiabilité est apparu en premier sur Journal du Coin.

Un CV trop parfait, une caméra qui reste éteinte en plein entretien. Le Japon, les États-Unis, l’Australie et l’Allemagne ont publié jeudi, via sept organismes de police, de cybersécurité et de renseignement, une alerte conjointe sur le groupe de hackers nord-coréens WaterPlum, alias « Contagious Interview ».

Le mode opératoire n’a rien de neuf. Le Journal du Coin documentait déjà en 2025 comment de faux recruteurs ciblaient les chercheurs d’emploi de la crypto avec des méthodes similaires. Ce qui change ici, c’est l’ampleur du bilan : 30 000 appareils infectés, plus de 7 000 wallets vidés, et 10,71 millions de dollars envolés vers Pyongyang en huit mois à peine, de décembre 2025 à juillet 2026.

WaterPlum : un faux recruteur, un test de code, un wallet crypto vidé

Le scénario suit un script bien rodé, détaillé dans l’alerte conjointe publiée le 18 septembre par la police japonaise, le FBI et leurs homologues australiens et allemands. Les acteurs de WaterPlum se font passer pour des recruteurs d’entreprises d’intelligence artificielle, de crypto ou de NFT, et proposent à des développeurs freelances un entretien technique ou un test de code.

Pour le réussir, la victime doit télécharger et exécuter un paquet NPM (le gestionnaire de paquets par défaut de Node.js, utilisé par les développeurs pour partager du code) piégé avec l’un des malwares BeaverTail, InvisibleFerret, OtterCookie, OtterCandy ou StoatWaffle. Rien de sophistiqué. Une fois la porte dérobée ouverte, direction identifiants de wallets, clés privées, phrases de récupération et captures d’écran, aspirées vers un serveur de commande contrôlé par le groupe.

Le document liste aussi des détails plus cocasses sur les habitudes de ces pirates. Ils consultent systématiquement des traducteurs automatiques gratuits, s’entraînent à la prononciation japonaise via synthèse vocale, et interrompent toute activité malveillante les jours fériés nord-coréens pour jouer aux jeux vidéo ou regarder du foot à la télévision.

La « laptop farm » japonaise et la candidature qui a failli tromper bitFlyer

Pour la première fois, la police japonaise a démantelé sur son sol une « laptop farm » (littéralement une ferme d’ordinateurs portables). Un intermédiaire local y héberge et pilote à distance des PC loués à des travailleurs IT nord-coréens. Plusieurs centaines de millions de yens supplémentaires ont transité par ce biais vers l’étranger, selon Jiji Press, qui datait l’annonce du 18 septembre.

L’exchange japonais bitFlyer, lui, a évité le pire de justesse. En mai 2025, un candidat à un poste d’ingénieur affirmait être né en Malaisie et résider en Finlande, avec un CV couvrant une dizaine de langages de programmation et de technologies blockchain. Mais son anglais ne collait pas avec le parcours annoncé. L’entretien vidéo a suffi à éveiller les soupçons, la candidature a été rejetée, et aucun dommage n’a été signalé.

Attribution publique : Pyongyang nommément visé par sept agences

Le document porte un nom de code, l’attribution publique, une doctrine qui consiste à nommer les groupes et agences responsables d’une cyberattaque dans l’espoir d’en dissuader de nouvelles. La NPA et le FBI estiment que WaterPlum et une partie des travailleurs IT nord-coréens opèrent sous le 313e Bureau général du département de l’industrie des munitions, rattaché au Comité central du Parti du travail de Corée, l’organe qui dirige le pays. Ces deux activités, générer des devises étrangères pour le régime et infiltrer au passage des entreprises occidentales pour en voler du code ou des données, obéissent à une seule et même filière.

Le rapport égrène aussi des consignes de bon sens pour les recruteurs et les développeurs freelances. Mieux vaut vérifier un numéro de téléphone en l’appelant, se méfier d’un candidat qui réclame un paiement en cryptomonnaies sur un compte au nom d’un tiers, ou d’un candidat qui regarde sans cesse un second écran pendant l’entretien comme s’il lisait ses réponses.

L’alerte remercie explicitement NTT Security Japan et bitFlyer pour leur coopération. La chasse se joue désormais autant côté entreprises que côté agences gouvernementales.

Le Journal du Coin racontait en août comment un développeur singapourien avait laissé filer 11,8 millions de dollars après un faux entretien LinkedIn, avec les mêmes malwares et le même scénario en trois actes (recruteur, test de code, porte dérobée). Sept organismes de quatre pays donnent enfin un nom et un numéro à cette mécanique. Pyongyang, lui, continuera probablement d’en changer l’emballage.

L’article 7 000 wallets crypto vidés dans 100 pays : Le groupe de hackers nord-coréens WaterPlum inquiète le monde est apparu en premier sur Journal du Coin.

Cristiano Ronaldo a promu quatre collections NFT de Binance dès 2022, avant une action collective américaine réclamant au moins 1 milliard de dollars.