infatti.. mi son sbagliato di nuovo. come sintassi andava bene la prima (senza la parola chiave "return").
se vuoi che venga fuori alla fine della tua validazione, devi inserire quel codice alla fine dell'evento ServerValidate.
se, invece, vuoi che venga chiesto all'utente prima della validazione lato server, allora devi utilizzare la proprietà OnClientClick del tuo bottone in questo modo:
<asp:Button id="btn" runat="server" OnClientClick="return confirm('sei sicuro ?');" Text="click me" OnClick="..." />