Carte crypto : ce qui se passe vraiment quand tu payes

Tu payes, et moins d’une seconde plus tard le terminal affiche accepté. Dans cette seconde, un contrat sur un réseau public a sorti tes dollars de ton propre wallet. Le réseau de cartes n’a jamais su qu’une blockchain était impliquée, et ce n’est pas un défaut de conception. C’est la conception.

Il se passe quoi, dans la seconde où tu payes ?

Quatre acteurs interviennent, et un seul a une forme crypto. Il y a le réseau de cartes, Visa ou Mastercard, qui achemine le message. Il y a une banque émettrice agréée, sous la licence de laquelle la carte existe juridiquement. Il y a un program manager, la société qui fait tourner le produit. Et il y a ton wallet.

La séquence est la suivante. Le terminal envoie une demande d’autorisation. Le réseau lit les premiers chiffres du numéro de carte, qui identifient l’émetteur, et route la demande vers cette pile. L’émetteur se tourne vers le program manager et pose une seule question : est-ce que cette personne a l’argent ? Le program manager vérifie. Il répond. Le commerçant voit une autorisation ordinaire et se fait payer en monnaie ordinaire, sur le calendrier ordinaire des cartes.

Tout ce qui est spécifiquement crypto tient dans cette seule question. Le commerçant ne touche jamais un jeton. Le réseau non plus, en tout cas pas sur cette étape, même si les deux réseaux règlent désormais en stablecoins entre banques plus loin dans la chaîne. Une carte stablecoin, c’est une carte normale avec quelques centaines de millisecondes de crypto greffées dans la fenêtre d’autorisation.

L’argent, il est où exactement ?

Deux modèles, et la différence fait tout le produit.

Le préfinancement. Tu recharges un solde que le prestataire détient pour toi, et la carte dépense dessus. C’est comme ça que la plupart des cartes crypto ont toujours marché. C’est simple, ça couvre beaucoup de réseaux, et tu as cédé la garde : le prestataire peut geler le solde parce que le prestataire détient le solde.

Le prélèvement au moment du paiement. Rien n’est préchargé. L’argent reste dans ton wallet jusqu’à l’instant de l’achat. Bridge, la société de stablecoins rachetée par Stripe, le documente précisément : quand une carte est autorisée chez un commerçant, elle vérifie que le wallet non-custodial rattaché a bien une autorisation on-chain active et des fonds suffisants, puis soumet une transaction on-chain pour prélever les fonds en temps réel. Si l’autorisation est inactive ou le solde insuffisant, la carte refuse.

Ce modèle a des angles vifs qu’il vaut mieux connaître. L’argent doit se trouver sur un réseau précis dans un jeton précis : l’intégration de Bridge avec Privy, un fournisseur de wallets, couvre l’USDC sur Solana, ainsi que sur Base, Linea, World Chain et Tempo. Un wallet ne peut être rattaché qu’à une seule carte. Les remboursements reviennent par une transaction on-chain séparée, parfois groupée avec d’autres.

Ça veut dire quoi, vraiment, une carte « non-custodial » ?

Avant que la carte puisse prélever quoi que ce soit, ton wallet doit accorder une permission on-chain, et cette étape décide de tout le reste. Sur un réseau de type Ethereum, c’est une approbation de jeton standard, pointée vers un contrat émetteur propre à ce programme de cartes. Sur Solana, c’est un délégué. Cette permission permanente rend le prélèvement possible dans la fenêtre d’autorisation, parce qu’il n’y a pas le temps de te demander.

La description honnête d’une carte non-custodial, la voilà : tu gardes les clés, et tu accordes à quelqu’un un droit permanent de te débiter. Autrement dit, un mandat de prélèvement, écrit en code.

Le montant de ce mandat est la question que personne ne pose à l’inscription. Une approbation de jeton peut être plafonnée à un montant précis, ou illimitée, et l’illimité est le réglage par défaut du secteur parce qu’il évite une transaction à chaque fois que le plafond est atteint. Une approbation illimitée laisse le contrat déplacer la totalité de ton solde dans ce jeton : s’il est un jour compromis, l’autorisation devient la porte d’entrée. Regarde ce que tu as signé, et garde le wallet de la carte séparé de celui où dort ton épargne.

La comparaison est utile, pas méprisante. Un prélèvement bancaire est une permission que tu révoques via une procédure, avec des plafonds que ta banque décide. Une approbation on-chain est une permission dont les limites sont appliquées par le contrat lui-même, et seule ta clé peut les changer. C’est un vrai gain sur la question de qui tient les commandes. Ce n’est pas l’absence de tiers de confiance. C’est un tiers de confiance tenu en laisse par une machine.

Gnosis Pay rend la laisse explicite, et montre à quoi ressemble une version plafonnée. Son compte est un smart contract Safe sur Gnosis Chain avec deux modules greffés. Un module Roles fige exactement ce que la carte peut dépenser : quel jeton, quel plafond quotidien, quelle adresse de destination. Un module Delay retient toute transaction hors carte, donc les virements et les retraits, pendant trois minutes, et met la carte en pause tant qu’une est en attente. Les paiements par carte, eux, ne sont pas retardés. Le but est qu’un paiement déjà autorisé par Visa ne puisse pas être devancé par le titulaire qui retirerait l’argent avant. La contrainte de l’utilisateur est aussi la garantie du réseau.

Qu’a prouvé l’exploit de Gnosis Pay ?

Le 1er juin 2026, un attaquant a vidé ces comptes, et l’histoire mérite d’être racontée droit, parce que c’est le meilleur test de résistance disponible sur toute la catégorie.

La faille était dans les modules Delay et Roles eux-mêmes. Pour qu’un propriétaire puisse approuver des actions sans avoir le jeton qui paie les frais réseau, le code acceptait une signature de contrat et vérifiait la valeur renvoyée par ce contrat. Il lisait cette valeur mais jetait l’information de savoir si l’appel avait réussi. Un attaquant pouvait donc déployer un contrat qui échoue exprès tout en renvoyant le nombre magique signifiant « valide », et les modules le croyaient.

Environ 5 281 comptes détenant au moins un dollar ont été touchés. À peu près 1,5 million de dollars ont été extraits et 300 000 de plus rendus inaccessibles, soit environ 1,8 million au total. Gnosis a tout absorbé et aucun utilisateur n’a perdu de fonds. La cause racine a été identifiée en moins de deux heures, une revue externe a été bouclée le 4 juin, et 99 % des utilisateurs avaient retrouvé leur carte le 6 juin. Le bug était arrivé dans la version 3.4.0 du 30 octobre 2023. Il est resté en production plus de deux ans avant que quelqu’un ne s’en serve.

L’auto-conservation n’a pas échoué ici. Elle a déplacé le risque, ce qui ne revient pas à le supprimer. Le module qui rend une carte non-custodial possible est lui-même une surface d’attaque, et c’est une surface plus récente et moins éprouvée que celle d’une banque. Les deux moitiés de cette phrase sont vraies, et un argumentaire honnête doit porter les deux.

Qui construit ces cartes ?

Plus de monde que la réputation de la catégorie ne le laisse croire. Visa publie ses propres chiffres : plus de 130 programmes de cartes adossées à des stablecoins dans plus de 50 pays, environ 5,2 milliards de dollars de volume en 2025, une hausse de 319 % sur un an, et l’attente que le nombre de programmes double à peu près en 2026.

Visa décrit aussi deux formes de règlement derrière ces cartes. Dans la forme établie, le program manager convertit le stablecoin en monnaie ordinaire avant de régler avec Visa. Dans la plus récente, les membres principaux règlent directement avec Visa dans une pièce comme l’USDC, et le dépositaire numérique de Visa se charge de la conversion pour payer les commerçants.

• Bridge émet via l’infrastructure de cartes de Stripe, dans une collaboration qu’elle qualifie d’exclusive avec Visa. En mars 2026, les deux annonçaient des cartes en service dans 18 pays et une cible de plus de 100 avant la fin de l’année, en Europe, en Asie-Pacifique, en Afrique et au Moyen-Orient.
• Rain est membre principal Visa et, depuis mai 2026, membre principal Mastercard également. La société a levé 250 millions de dollars en série C sur une valorisation de 1,95 milliard.
• MetaMask fait tourner un programme Mastercard avec Baanx, devenu Monavate, et l’a lancé aux États-Unis le 26 février 2026, émis par Cross River Bank. Il était déjà en service dans l’Espace économique européen, au Royaume-Uni, en Suisse, au Canada et dans plusieurs pays d’Amérique latine. MetaMask le décrit comme entièrement self-custodial : la garde reste à l’utilisateur jusqu’au moment de l’achat.

Une mise en garde sur les étiquettes. « Non-custodial » est utilisé de façon très souple sur ce marché, et le terme recouvre aussi bien un Safe que tu contrôles entièrement qu’une clé partagée entre toi et un prestataire. Le seul test fiable est mécanique : qu’a approuvé ton wallet, et qui détient la clé capable de le changer.

Que vérifier avant d’en utiliser une ?

• Qui l’émet, et sous quel agrément. C’est cette entité qui peut geler la carte, pas l’application dont le logo est dessus.
• Ce que tu as approuvé on-chain, et comment le révoquer. Une autorisation est une permission vivante, pas une signature ponctuelle.
• Le taux de change, pas les frais. Sur une carte qui convertit, le coût vit dans le spread.
• Sur quel réseau et quel jeton l’argent doit se trouver. Des fonds sur la mauvaise chaîne sont des fonds que la carte ne voit pas.
• Tes règles fiscales locales. Aux États-Unis, l’administration traite les actifs numériques comme des biens, donc payer avec l’un d’eux est une cession à déclarer, sans exemption pour les petites transactions. Sur une pièce adossée au dollar, la plus-value est en général proche de zéro, ce qui en fait de la paperasse plutôt qu’une facture. En France, l’impôt s’attache à la conversion de crypto en monnaie ordinaire et non à l’échange d’un jeton contre un autre, donc la qualification d’un achat par carte est toute la question. Demande à quelqu’un sur place.

Pourquoi c’est important

Une carte est un pont vers ailleurs. Acheter un café avec un jeton, c’est la partie ennuyeuse. Ce qui compte, c’est qu’un solde de wallet peut désormais être accepté dans les 175 millions de points de vente que Visa compte sur son réseau, sans que personne n’ouvre de compte bancaire dans aucun de ces pays, et que la tuyauterie pour y arriver est devenue assez ennuyeuse, agréée et auditée pour que Stripe et Visa y mettent leur nom.

Ça vaut aussi le coup de voir ce que la carte contourne. Payer un commerçant passe encore par le réseau de cartes, parce que c’est là que sont les commerçants. Payer une personne, non. Des amis qui soldent une addition peuvent déplacer l’argent directement en quelques secondes avec Spliz, sans carte, sans conversion et sans autorisation à révoquer. Si les wallets eux-mêmes sont nouveaux pour toi, notre explication de ce qu’est vraiment un wallet est le meilleur point de départ.

Une carte qui dépense depuis ton wallet, ce n’est pas ton wallet qui paie le commerçant. C’est une banque qui promet au commerçant, et un smart contract qui promet à la banque.

Sources

• Stripe, cartes adossées aux stablecoins de Bridge : prélèvement en temps réel à l’autorisation, approbation on-chain, refus et remboursements.
• Privy, émission de cartes de débit adossées à un wallet : approbation de jeton, réseaux supportés et limite d’une carte par wallet.
• Bridge, couverture du programme de cartes, collaboration avec Visa et feuille de route 2026.
• Visa, l’expansion du 3 mars 2026 avec Bridge : 18 pays en service, une cible de plus de 100, et les 175 millions de points de vente du réseau.
• Visa, cartes adossées aux stablecoins : nombre de programmes, volume 2025 et croissance, et les deux modèles de règlement (mise à jour du 31 mars 2026).
• Gnosis, post-mortem de l’exploit du 1er juin 2026 : le bug de signature, les comptes touchés, les montants et le calendrier de rétablissement.
• Gnosis Pay, architecture des comptes : le Safe, le module Roles et le module Delay.
• MetaMask, le lancement américain de son programme Mastercard (26 février 2026) : émetteur, partenaire, marchés et formulation sur la garde.
• Rain, annonce de son statut de membre principal Mastercard (mai 2026).
• Rain, la série C de 250 millions de dollars et la valorisation de 1,95 milliard.
• IRS, les actifs numériques traités comme des biens et l’obligation déclarative quand ils sont échangés contre des biens ou services.