Hyperliquid est-il sûr ? Une analyse honnête des risques

En résumé

La sécurité sur Hyperliquid repose sur trois niveaux : la plateforme (code, validateurs, bridge), la conception du marché (comment les liquidations et HLP absorbent les tensions) et vous (levier, sécurité du wallet, phishing). En octobre 2026, nous n'avons trouvé aucun cas de dépôts d'utilisateurs volés à cause d'une faille du protocole central d'Hyperliquid. Les incidents ci-dessous relèvent de la structure de marché, d'une panne ou de problèmes dans des applications tierces.

Incidents notables

La baleine ETH, 12 mars 2025

Un trader a transformé environ 10 M$ en un long ETH à effet de levier d'environ 270 M$, puis a retiré du collatéral pour que la position soit liquidée vers HLP plutôt que dénouée sur le marché. Le trader a empoché environ 1,8 M$ et HLP a absorbé environ 4 M$. Hyperliquid a affirmé qu'il ne s'agissait pas d'un exploit, et a abaissé le levier maximal à 40x sur le BTC et 25x sur l'ETH (Cointelegraph).

JELLYJELLY, 26 mars 2025

Un trader a ouvert un gros short sur le petit token JELLYJELLY et la position s'est retrouvée chez HLP par liquidation, après quoi le prix du token a flambé. La perte latente de HLP a atteint environ 12 M$, et Binance et OKX ont listé des perps JELLYJELLY en une heure environ. Les validateurs ont voté le retrait du marché et le règlement des positions, et la Hyper Foundation a annoncé qu'elle indemniserait les utilisateurs, hors adresses signalées (The Block). De nombreux critiques y ont vu la preuve qu'Hyperliquid peut être piloté par un petit groupe ; ses partisans ont parlé de maîtrise du risque. Hyperliquid a ensuite annoncé qu'il revoyait ses critères de listing et ses paramètres de marge pour les petits actifs.

Panne de l'API, 29 juillet 2025

Un pic de trafic a surchargé les serveurs de l'API pendant environ 37 minutes. Hyperliquid a affirmé qu'il ne s'agissait pas d'un piratage et a remboursé environ 2 M$ aux traders concernés (Cointelegraph).

Krach du marché, 10 octobre 2025

Lors du krach qui a effacé plus de 19 Md$ de positions à effet de levier sur l'ensemble des exchanges, Hyperliquid est resté en ligne, mais l'auto-deleveraging a fermé des shorts gagnants, au grand dam de nombreux traders. HLP aurait gagné plus de 40 M$ (The Defiant).

POPCAT, novembre 2025

Un attaquant aurait utilisé environ 3 M$ répartis sur 19 wallets pour construire un long POPCAT de 20 à 30 M$, soutenu le prix avec un gros mur d'achat, puis l'aurait retiré. HLP s'est retrouvé avec environ 4,9 M$ de créances irrécouvrables (CoinDesk).

FARTCOIN, 9 avril 2026

PeckShield a signalé une manipulation présumée utilisant environ 15 M$ de longs répartis sur quatre wallets. HLP a perdu environ 1,5 M$ en 24 heures et l'ADL a été déclenché (Forklog).

Pertes chez des tiers et côté utilisateurs

Le protocole de prêt HyperEVM Hyperdrive a été exploité pour environ 782 000 $ en septembre 2025, et des campagnes de phishing utilisant de faux sites Hyperliquid, de faux airdrops et des annonces sur les moteurs de recherche ont vidé des wallets individuels en 2025 et 2026. Aucun de ces cas n'était une faille d'Hyperliquid lui-même, mais l'argent est tout aussi perdu.

Validateurs et centralisation

La L1 d'Hyperliquid fonctionne avec le consensus HyperBFT et un ensemble actif limité aux 27 premiers validateurs par stake. Les critiques soulèvent plusieurs points : l'ensemble est petit comparé aux L1 matures, une grande part du stake est détenue par quelques validateurs dont certains gérés par la Foundation, le logiciel des nœuds est une implémentation unique qui n'est pas entièrement open source, et l'épisode JELLYJELLY a montré que les validateurs peuvent agir vite pour changer l'issue d'une situation. Ses partisans répondent que l'ensemble des validateurs s'est élargi depuis le lancement et que devenir validateur est ouvert à tous avec 10 000 HYPE en auto-stake. Les deux peuvent être vrais.

Le bridge et l'USDC

Pendant la majeure partie de son existence, Hyperliquid a reposé sur un bridge depuis Arbitrum, dont les retraits sont signés par les validateurs. Sa logique a été auditée par Zellic. Circle a depuis apporté l'USDC natif et le CCTP sur Hyperliquid, et la documentation indique que l'ancien bridge Arbitrum détient désormais moins de 10 % de l'USDC sur HyperCore. Les bridges restent l'une des plus grandes surfaces d'attaque de la crypto : la compromission d'un nombre suffisant de clés de validateurs pourrait mettre en danger les fonds bridgés.

Comment rester en sécurité

1. Ajoutez app.hyperliquid.xyz à vos favoris et n'utilisez jamais de liens provenant d'annonces, de messages privés ou de posts « airdrop ».
2. Utilisez un hardware wallet ou un wallet dédié uniquement au trading, et ne partagez jamais une seed phrase.
3. Ne laissez sur l'exchange que votre capital de trading. Retirez ce que vous n'utilisez pas.
4. Utilisez un faible levier et la marge isolée, et placez des stop loss (voir éviter la liquidation).
5. Méfiez-vous des marchés peu liquides et récemment listés, c'est là que la manipulation a tendance à se produire.
6. Considérez HLP et les vaults d'utilisateurs comme des investissements risqués, pas comme de l'épargne.
7. Révoquez les anciennes autorisations de tokens si vous utilisez des applications HyperEVM.
8. Vérifiez que vous avez le droit de l'utiliser là où vous vivez (voir Hyperliquid est-il légal).

Questions fréquentes