Dans l’avant-projet de loi de la version consolidée du « CLARITY Act » publiée par Lummis le 22 juillet 2026, une disposition de cybersécurité jusque-là peu médiatisée est mise en lumière : la mise en place, via un « mécanisme de coordination de la cybersécurité des actifs numériques », d’un white-hat rewards program (programme de récompenses pour les hackers « chapeaux blancs »). Il ne s’agit pas d’encourager les « chasseurs de primes » qui s’introduisent au hasard dans les systèmes, mais d’inscrire pour la première fois le mécanisme de divulgation des vulnérabilités déjà mûr dans Web2 (bug bounty) dans le texte même de la loi fédérale américaine encadrant la structure du marché crypto.

La logique de l’article est limpide : des chercheurs en sécurité identifient des vulnérabilités par les canaux autorisés et les divulguent de manière responsable (responsible disclosure) — sur les bourses, les systèmes de custody, les portefeuilles, les contrats intelligents, les ponts inter-chaînes, la compensation-règlement, la gestion des clés privées, etc. — puis, une fois la vulnérabilité vérifiée, avec une période de correctif prévue, ils peuvent recevoir une récompense. Le texte délimite aussi clairement la frontière juridique entre « recherche en sécurité » et « intrusion malveillante ». L’idée s’inspire de l’ancien président de la CFTC, Giancarlo, qui défendait que la résilience du marché vient de la divulgation transparente : la protection des consommateurs, de « prévenir le détournement des actifs des clients par les plateformes » franchit une étape supplémentaire — empêcher que des failles dans les systèmes n’effacent les actifs des clients d’un seul coup.

Pourquoi l’intégrer maintenant dans la loi ? Les faillites façon FTX et Celsius ont révélé le piège du « mélange des livres » ; et, au cours de la dernière année, des vols via des ponts et des contrats de custody se sont chiffrés à plusieurs centaines de millions, montrant qu’un simple système de primes mis en place de façon volontaire par les entreprises ne suffit pas. L’avant-projet regroupe l’isolement des actifs clients, l’isolement en cas de faillite, l’interdiction du détournement et des incitations pour les white hats : c’est comme ajouter une barrière technique préalable à la « protection des consommateurs ».

Mais le passage à l’acte comporte encore des zones floues : le fonds de primes dépendra des règles CFTC/SEC, ou sera partagé par les bourses ? Les limites d’exonération, les standards de divulgation et les paliers de récompense ne sont pas non plus précisés. Même si tout le texte est encore bloqué au seuil des 60 voix au Sénat, si l’opération ne passe pas avant la pause d’août, la clause « white hat » pourrait aussi être amincie lors des modifications en séance.

Si, au final, la loi est adoptée, l’enjeu ne se résume pas à « gagner légalement de l’argent en hackant » : cela signale un basculement de la réglementation crypto américaine, du « rattrapage des escrocs après coup » vers un « achat de failles en amont ». Le rôle des cabinets d’audit, des assureurs et des prestataires de custody conformes sera également réévalué.