Hacks Crypto : 3,63 Milliards Perdus En 19 Mois

Imaginez un instant : en moins de deux ans, plus de trois milliards et demi de dollars s’évaporent dans le néant numérique. Pas à cause d’un krach boursier, ni d’une mauvaise spéculation, mais parce que des attaquants ont su trouver la faille. Le dernier rapport de CoinGecko, publié fin août 2026, dresse un bilan sans concession. Entre janvier 2025 et juillet 2026, 245 incidents de sécurité ont coûté 3,63 milliards de dollars aux plateformes crypto. Ce chiffre, brut et massif, mérite qu’on s’y attarde. Il raconte une réalité bien plus complexe que les simples « hacks » dont on parle trop souvent.

Un Bilan Lourd Qui Révèle Les Faiblesses Structurelles

Le rapport State of Crypto Security de CoinGecko ne se contente pas d’aligner des chiffres. Il montre à quel point les pertes restent extrêmement concentrées. Les dix plus grandes attaques à elles seules représentent plus de 72,5 % de l’ensemble des fonds dérobés. Autrement dit, une poignée d’événements majeurs a suffi à faire basculer le total. Le reste, les 235 autres incidents, pèse bien moins dans la balance, même s’il multiplie les risques au quotidien pour les utilisateurs et les équipes techniques.

Parmi ces coups d’éclat, le piratage de Bybit en février 2025 trône en tête. Environ 1,44 milliard de dollars ont disparu. Contrairement à ce que l’on pourrait croire, ce n’est pas un smart contract défectueux qui a ouvert la porte. Les attaquants ont ciblé l’infrastructure de signature des transactions. Une faille opérationnelle, humaine et technique à la fois. Ce type de compromission montre que la sécurité d’une plateforme ne se limite jamais au code visible.

D’autres noms apparaissent dans le classement des plus gros sinistres. KelpDAO a perdu 292 millions, Drift Protocol 285 millions, Cetus 223 millions. Chaque affaire a suivi un scénario différent. Certaines ont exploité des mécanismes internes, d’autres des oracles manipulés ou des dépendances logicielles. L’enseignement est clair : aucun dispositif unique ne peut protéger l’ensemble de la surface d’attaque de l’industrie.

Les plateformes crypto ont perdu 3,63 milliards de dollars depuis le début 2025. Au total, 245 incidents ont eu lieu, les dix plus importants concentrant 72,5 % des montants volés.

CoinGecko, rapport State of Crypto Security

Les attaques d’infrastructure et de chaîne d’approvisionnement ont à elles seules généré plus de 1,8 milliard de dollars de pertes. Elles frappent les clés privées, les appareils des collaborateurs, les interfaces front-end, les dépendances logicielles et les opérateurs de ponts. Des éléments qui se trouvent souvent en dehors du périmètre des audits classiques de smart contracts.

La Compromission Des Clés Privées Reste Le Point Faible Des Échanges Centralisés

CoinGecko identifie clairement la compromission des clés privées comme le principal risque pour les plateformes centralisées. Ce n’est pas une nouveauté, mais le rapport en confirme l’ampleur. Les équipes de sécurité savent depuis longtemps que la gestion des clés constitue le talon d’Achille. Pourtant, les incidents se multiplient. Un employé ciblé par une campagne d’ingénierie sociale, un logiciel malveillant installé sur une machine de signature, une procédure de multi-signature mal configurée : les points d’entrée sont nombreux.

Les applications décentralisées, de leur côté, ont vu environ 546 millions de dollars s’envoler via des exploits de smart contracts. Ce montant reste important, mais il pèse moins lourd que les failles d’infrastructure. Les deux catégories de plateformes partagent cependant certains risques : manipulation d’oracles et défaillances de mécanismes internes. Ces vecteurs d’attaque montrent que la frontière entre CEX et DeFi s’estompe parfois lorsque les dépendances techniques se croisent.

Il faut aussi souligner le rôle croissant des groupes soutenus par des États. Deux opérations liées à la Corée du Nord ont drainé environ 577 millions de dollars. Elles se sont appuyées sur de l’ingénierie sociale sophistiquée et des compromissions d’infrastructures de ponts, bien plus que sur des failles de code classiques. Ces acteurs travaillent sur des horizons longs, avec des moyens importants et une patience qui dépasse celle de la plupart des équipes de défense.

Les Audits Ne Couvrent Qu’Une Fraction Des Faiblesses Exploitées

L’un des constats les plus frappants du rapport concerne les audits. Sur les 245 plateformes touchées, 147 avaient passé un audit de sécurité indépendant avant l’attaque. Cela représente environ 60 % des cas. Pourtant, ces plateformes auditéees concentrent 88,44 % des pertes enregistrées. Le chiffre paraît contre-intuitif, mais il s’explique.

CoinGecko précise que seulement 11 % des incidents concernaient des vulnérabilités entrant dans le périmètre habituel des audits de smart contracts. Ces failles « dans le scope » ont tout de même coûté environ 396 millions de dollars. La grande majorité des attaques a ciblé l’infrastructure externe, des mises à jour logicielles non auditées, des identifiants compromis ou des mécanismes de gouvernance que l’audit n’avait pas examiné.

Un audit n’est jamais qu’une photographie d’une version précise du code. Dès qu’une modification intervient après la revue, de nouvelles failles peuvent apparaître. Son efficacité dépend du périmètre défini, de la méthodologie employée, de l’expérience des auditeurs et de la capacité des développeurs à corriger réellement les points relevés. Certaines équipes intègrent les recommandations, d’autres les reportent ou les ignorent sous la pression du calendrier de lancement.

Des exemples positifs existent. Une revue de sécurité menée chez Ripple a identifié 96 problèmes avant que le code ne soit déployé auprès des utilisateurs. Dans ce cas, l’audit a joué son rôle préventif. Mais il ne remplace jamais une surveillance continue ni une sécurité opérationnelle rigoureuse. Les attaquants, eux, ne s’arrêtent pas à la date de publication du rapport d’audit.

L’Assurance On-Chain Recule Alors Que Les Attaques S’Intensifient

Pendant que les pertes s’accumulent, la couverture d’assurance active sur les principaux protocoles on-chain a chuté de 20,2 %. Elle est passée de 163,2 millions à 130,2 millions de dollars. Les paiements cumulés restent proches de 33 millions. Cinq des neuf protocoles suivis par CoinGecko étaient devenus inactifs ou avaient pivoté vers d’autres activités à l’horizon août 2026.

Les raisons de ce retrait sont multiples. Le risque perçu a augmenté, les primes sont devenues chères, et attirer des fournisseurs de capital s’est révélé difficile. Le montant de 130,2 millions ne peut pas être comparé directement aux 3,63 milliards de pertes. L’un est une photographie à un instant T, l’autre un cumul sur dix-neuf mois. Les polices, en outre, contiennent des définitions étroites. Certaines couvrent uniquement les défaillances de smart contracts vérifiées. Elles excluent souvent le phishing, le vol de clés privées, les erreurs humaines, la volatilité des marchés et les pertes sur des chaînes non supportées.

Cette situation laisse un vide. Les utilisateurs et les protocoles se retrouvent avec une protection limitée face à des risques qui, eux, ne diminuent pas. L’assurance on-chain a longtemps été présentée comme une solution d’avenir. Les chiffres de 2026 montrent qu’elle peine à suivre le rythme des menaces.

Les Échanges Centralisés Se Tournent Vers Leurs Propres Réserves

Face à ces difficultés, de nombreux échanges centralisés ont choisi de constituer leurs propres fonds de protection des investisseurs. Ces réserves permettent, en théorie, de rembourser plus rapidement les clients après un incident. Elles offrent une réactivité que l’assurance externe n’apporte pas toujours.

Pourtant, un fonds de protection n’équivaut pas automatiquement à une assurance réglementée. La couverture dépend des conditions définies par l’échange, de la façon dont les réserves sont détenues, de la composition des actifs et du pouvoir discrétionnaire de la plateforme pour décider ce qui constitue un événement éligible. Les utilisateurs doivent lire attentivement les termes. Une promesse de remboursement n’est pas toujours un engagement absolu.

Les attestations de proof-of-reserves répondent à une autre préoccupation. Elles montrent qu’un échange contrôle des actifs correspondant aux soldes des clients. Elles ne prouvent cependant ni la solidité de la gestion des clés ni l’exhaustivité de la déclaration des passifs. Un bilan transparent sur les actifs ne dit rien sur les procédures opérationnelles qui protègent réellement ces actifs.

Le prochain test pour l’industrie sera de savoir si les plateformes élargissent leurs audits au-delà des smart contracts pour inclure les systèmes opérationnels, les ponts et les dépendances logicielles. Les assureurs, de leur côté, devront déterminer s’il est possible d’offrir une protection plus large sans rendre les primes inabordables. Ces deux questions conditionnent en grande partie la confiance des utilisateurs pour les années à venir.

Pourquoi Les Pertes Restent Aussi Concentrées

La concentration des pertes dans une poignée d’incidents majeurs n’est pas un hasard. Les plateformes qui gèrent les plus gros volumes d’actifs attirent naturellement les attaquants les plus motivés. Un succès sur un acteur de premier plan rapporte bien plus qu’une série de petits exploits sur des protocoles secondaires. Les groupes les mieux organisés, y compris ceux soutenus par des États, ciblent donc en priorité les cibles à forte valeur.

Cette dynamique crée un paradoxe. Les plus grandes plateformes investissent souvent davantage dans la sécurité, multiplient les audits et mettent en place des procédures strictes. Pourtant, lorsqu’une faille apparaît, l’impact est massif. Les attaquants n’ont besoin que d’une seule porte d’entrée. Une fois à l’intérieur, les montants en jeu justifient des opérations longues et sophistiquées.

Les petites et moyennes structures, quant à elles, subissent un plus grand nombre d’incidents, mais les sommes volées restent généralement plus modestes. Le rapport de CoinGecko montre que le volume d’attaques ne se traduit pas nécessairement par un volume de pertes proportionnel. La gravité se mesure d’abord à l’ampleur des actifs exposés.

Les Limites Des Audits Classiques Face À Une Surface D’Attaque Élargie

Pendant des années, l’industrie a mis l’accent sur les audits de smart contracts. Ces revues restent indispensables. Elles permettent d’identifier des erreurs de logique, des reentrancy, des problèmes de contrôle d’accès ou des failles de calcul. Mais elles ne couvrent qu’une partie du problème. Les attaques modernes s’appuient de plus en plus sur des vecteurs situés en amont ou en aval du contrat.

Un pont entre deux chaînes, par exemple, combine souvent plusieurs smart contracts, des oracles, des validateurs et des interfaces utilisateurs. Une faille dans n’importe lequel de ces éléments peut compromettre l’ensemble. Les dépendances logicielles introduisent également des risques. Une bibliothèque tierce compromise, un package npm malveillant ou une mise à jour non vérifiée peuvent ouvrir une brèche sans que le code principal du protocole n’ait jamais été modifié.

Les interfaces front-end constituent un autre point sensible. Un site web compromis peut rediriger les utilisateurs vers une version frauduleuse qui draine leurs portefeuilles. Dans ce cas, le smart contract sous-jacent peut être parfaitement sûr. L’utilisateur, lui, ne s’en aperçoit pas. Ces scénarios expliquent pourquoi une part importante des pertes échappe au périmètre des audits traditionnels.

La gouvernance on-chain n’est pas non plus exempte de risques. Des mécanismes de vote mal conçus, des quorums trop bas ou des délais trop courts ont déjà permis des prises de contrôle hostiles. Ces failles relèvent souvent de la conception économique et organisationnelle plus que du code pur. Les auditeurs techniques ne les examinent pas toujours en détail.

Le Rôle Des Acteurs Étatiques Dans L’Évolution Des Menaces

Les opérations attribuées à des groupes soutenus par des États marquent une évolution qualitative. Ces acteurs disposent de ressources, de temps et d’une capacité de coordination que la plupart des cybercriminels classiques n’ont pas. Ils combinent ingénierie sociale, compromission d’infrastructures et patience stratégique. Les 577 millions de dollars liés à deux attaques nord-coréennes illustrent cette montée en gamme.

Ces groupes ne se contentent pas de chercher une faille de code évidente. Ils ciblent des individus clés, étudient les procédures internes, exploitent des relations de confiance et multiplient les points d’entrée. Une fois à l’intérieur, ils savent rester discrets pendant de longues périodes. Le but n’est plus seulement de vider un protocole en quelques minutes, mais de maximiser le butin sur la durée.

Cette réalité change la donne pour les équipes de sécurité. La défense ne peut plus se limiter à des outils techniques. Elle doit intégrer la formation des collaborateurs, la détection des comportements anormaux, la segmentation des accès et des plans de réponse aux incidents capables de limiter les dégâts même lorsqu’une intrusion a déjà eu lieu.

Ce Que Signifient Ces Chiffres Pour Les Utilisateurs

Pour un utilisateur lambda, 3,63 milliards de dollars peuvent sembler abstraits. Pourtant, chaque incident se traduit par des pertes concrètes pour des personnes réelles. Certains récupèrent une partie de leurs fonds grâce à des réserves de protection ou à des négociations. D’autres ne voient jamais l’argent revenir. La concentration des pertes dans les plus gros incidents signifie aussi que les plateformes les plus utilisées peuvent être touchées de manière brutale.

Les utilisateurs doivent donc rester vigilants. Diversifier les plateformes, vérifier les procédures de sécurité, comprendre les limites des audits et des assurances fait partie des gestes de base. Les proof-of-reserves apportent une transparence utile, mais elles ne remplacent pas une évaluation plus large de la solidité opérationnelle d’un acteur.

Dans la DeFi, le risque reste structurel. Les protocoles les plus innovants attirent souvent les capitaux rapidement, parfois avant que toutes les couches de sécurité n’aient été consolidées. Les exploits de smart contracts représentent encore des centaines de millions de dollars. Même si ce montant est inférieur aux pertes d’infrastructure, il n’est pas négligeable.

Vers Une Approche Plus Globale De La Sécurité

Le rapport de CoinGecko ne se contente pas de dresser un inventaire des catastrophes. Il pointe du doigt les zones d’ombre que l’industrie a trop longtemps sous-estimées. La sécurité ne peut plus se réduire à un audit de code publié avant le lancement. Elle doit devenir un processus continu qui englobe l’infrastructure, les dépendances, les interfaces, les procédures humaines et la gouvernance.

Les plateformes qui s’en sortiront le mieux seront celles qui traiteront la sécurité comme un ensemble cohérent. Cela implique d’investir dans la formation interne, de segmenter les accès, de surveiller en temps réel les anomalies, de tester régulièrement les plans de reprise et d’élargir le périmètre des audits. Les dépendances logicielles et les ponts doivent être examinés avec le même niveau d’attention que le smart contract principal.

Du côté de l’assurance, le recul observé pose une question de fond. Si les protocoles on-chain ne parviennent pas à attirer suffisamment de capital, d’autres modèles devront émerger. Les fonds de protection internes des échanges constituent une réponse partielle. Ils ne sont cependant pas disponibles pour tous les acteurs, notamment les protocoles décentralisés de taille moyenne.

La confiance des utilisateurs dépendra en grande partie de la capacité de l’écosystème à montrer des progrès concrets. Les chiffres de 2025-2026 sont un signal d’alerte. Ils ne signifient pas que la crypto est condamnée à rester un terrain de jeu pour les attaquants. Ils montrent simplement que les défenses actuelles restent insuffisantes face à des menaces de plus en plus sophistiquées.

Les Leçons À Tirer Des Incidents Majeurs

Chaque gros incident apporte son lot d’enseignements. Le cas Bybit rappelle que l’infrastructure de signature constitue un point critique. Les procédures multi-signatures, aussi robustes soient-elles sur le papier, peuvent être contournées si les machines ou les personnes qui les contrôlent sont compromises. La sécurité des clés ne se limite jamais au stockage froid. Elle inclut l’ensemble de la chaîne qui mène à la signature d’une transaction.

Les attaques sur KelpDAO, Drift Protocol et Cetus illustrent la diversité des vecteurs. Certaines ont exploité des mécanismes économiques, d’autres des failles techniques plus classiques. Cette variété montre qu’il n’existe pas de solution miracle. Une défense en profondeur, multi-couches, reste la seule approche réaliste.

Les opérations attribuées à des acteurs étatiques soulignent l’importance de la dimension humaine. L’ingénierie sociale reste l’un des moyens les plus efficaces pour obtenir un accès initial. Former les équipes, tester régulièrement leur vigilance et limiter les privilèges excessifs fait partie des mesures de base que trop d’organisations négligent encore.

L’Évolution Nécessaire Des Pratiques D’Audit

Si seulement 11 % des incidents relèvent du périmètre des audits classiques, alors le modèle doit évoluer. Les firmes d’audit et les protocoles ont intérêt à élargir le scope. Les revues doivent désormais intégrer davantage l’infrastructure, les dépendances, les interfaces et les aspects de gouvernance. Cela demande plus de temps, plus de compétences et un coût plus élevé. Mais le coût d’un incident majeur dépasse largement celui d’un audit plus complet.

Les audits récurrents, et non plus ponctuels, deviennent également nécessaires. Un protocole qui évolue rapidement doit être réévalué à chaque modification significative. Les outils d’analyse statique et dynamique peuvent aider, mais ils ne remplacent pas l’œil expert d’auditeurs expérimentés. La combinaison des deux approches offre la meilleure couverture.

Enfin, la transparence sur les résultats des audits compte. Publier un rapport ne suffit pas. Les équipes doivent montrer quelles recommandations ont été appliquées et lesquelles ont été reportées, avec les raisons. Cette transparence renforce la confiance et permet à la communauté de mieux évaluer le niveau de maturité d’un projet.

Assurance Et Réserves : Deux Modèles Complémentaires

Le recul de l’assurance on-chain ne signifie pas la fin de toute protection. Il révèle plutôt les limites du modèle actuel. Les primes élevées, le risque concentré et la difficulté à attirer des souscripteurs de capital ont conduit plusieurs protocoles à se retirer. Les 130,2 millions de couverture active restent modestes face à l’ampleur des pertes potentielles.

Les fonds de protection constitués par les échanges centralisés offrent une alternative intéressante pour leurs utilisateurs. Ils permettent des remboursements plus rapides et une communication plus directe. Leur efficacité dépend toutefois de la solidité financière de l’échange et de sa volonté réelle d’indemniser. En période de stress de marché, un fonds peut se révéler insuffisant si les réserves ont été mal calibrées.

À terme, une combinaison des deux approches pourrait s’imposer. Une assurance externe pour certains risques spécifiques, des réserves internes pour d’autres, et une communication claire sur ce qui est réellement couvert. Les utilisateurs ont besoin de savoir exactement ce qui se passe en cas d’incident, sans formules vagues ni exclusions dissimulées dans les conditions générales.

Perspectives Pour Les Mois À Venir

Le rapport de CoinGecko constitue un point de repère important. Il montre où l’industrie en est à la mi-2026. Les prochains mois diront si les acteurs tirent les leçons ou s’ils continuent à traiter la sécurité comme une contrainte secondaire. Les plateformes qui investiront réellement dans une approche globale auront un avantage concurrentiel. Celles qui resteront focalisées uniquement sur les audits de smart contracts risquent de se retrouver exposées aux prochains gros incidents.

Les régulateurs, de leur côté, regardent de plus en plus attentivement ces questions. Les exigences de sécurité opérationnelle, de gestion des clés et de transparence sur les réserves pourraient se renforcer. Les acteurs qui anticipent ces évolutions seront mieux placés pour s’adapter sans à-coups.

Pour les utilisateurs, le message reste simple. La prudence reste de mise. Aucune plateforme n’est invulnérable. Les montants en jeu attirent des adversaires déterminés et bien équipés. Diversifier, se former, vérifier les pratiques de sécurité et comprendre les limites des protections existantes font partie des gestes responsables.

Les 3,63 milliards de dollars perdus en dix-neuf mois ne sont pas une fatalité. Ils sont le résultat de failles identifiables et, dans de nombreux cas, évitables. L’industrie dispose désormais d’un diagnostic clair. Il lui reste à passer à l’action de manière plus systématique et plus ambitieuse. La confiance des utilisateurs, et donc l’avenir de l’écosystème, en dépendent largement.

En définitive, ce rapport de CoinGecko force le regard au-delà des chiffres bruts. Il révèle une industrie encore en construction, où la sophistication des attaques progresse plus vite que certaines défenses. Les prochains mois diront si le signal d’alarme a été entendu. Pour l’instant, le bilan reste lourd, et les leçons à tirer, nombreuses.