DeFi 2026 : 1,3 Milliard Perdus Par Les Mêmes Attaques

Huit mois. C’est tout ce qu’il a fallu pour que la finance décentralisée affiche déjà un bilan de guerre : au moins 1,3 milliard de dollars envolés. Pas dans un krach de marché. Pas dans une panique de liquidité. Dans des vols. Et le plus troublant n’est pas le montant. C’est la répétition. On retrouve presque toujours la même porte d’entrée : une clé trop puissante, un signataire trop isolé, un humain trop confiant. Le code, lui, avait souvent été audité. Il tenait. Les personnes autour, non.

Quand la confiance vaut plus cher que le contrat

Il y a encore deux ou trois ans, le récit dominant était celui du smart contract mal écrit. Réentrance, oracle tordu, flash loan en boucle. Les post-mortems ressemblaient à des cours de programmation. En 2026, le scénario a basculé. Les plus gros drains de l’année n’ont presque rien à voir avec une ligne de Solidity ou de Rust. Ils commencent par un message, une réunion, une session laissée ouverte, un vérificateur unique. Ensuite seulement vient l’extraction, parfois en moins de deux minutes.

CertiK, Forbes et TRM Labs convergent autour du même ordre de grandeur : 1,3 milliard de pertes liées aux piratages crypto sur les six à huit premiers mois. Le tableau de rekt.news, qui ne retient que les affaires au-dessus de trois millions, aligne déjà plus de trente incidents. Deux d’entre eux pèsent à eux seuls 575 millions. Ce n’est plus une série d’accidents. C’est une méthode industrielle.

Un protocole peut réussir un audit de code impeccable et perdre quand même des millions à cause d’une clé d’administration compromise.

Ronghui Gu, CertiK

Cette phrase, reprise dans la presse spécialisée, sonne désormais comme une étiquette d’avertissement collée sur chaque tableau de bord de TVL. Elle résume le basculement de l’année : l’attaque a grimpé d’un étage. Elle ne vise plus seulement la logique on-chain. Elle vise la gouvernance, les signataires, les RPC, le firmware, les habitudes humaines.

Le basculement de taxonomie que personne ne voulait voir

Dire que 2026 « n’est pas pire » que certaines années précédentes serait se rassurer à bon compte. Le volume n’est pas le seul signal. La composition des pertes a changé. Les vols les plus lourds ne s’appuient plus sur un bug d’arithmétique ou une fonction mal protégée. Ils s’appuient sur un contrôle d’accès réel obtenu par ruse. Ingénierie sociale, vol de session, capture d’une clé de validateur, prise de gouvernance à bas coût : voilà le moteur principal, en dollars.

Le paradoxe est cruel. Plus les audits de contrats se professionnalisent, plus les attaquants se déplacent là où l’audit ne regarde pas. Un rapport peut certifier qu’aucune fonction critique n’est appelable par un inconnu. Il ne dit rien sur la personne qui détient déjà le droit d’appeler cette fonction. Il ne dit rien sur la façon dont cette personne a été approchée pendant six mois. Il ne dit rien sur le nœud RPC qui nourrit le pont.

On peut le formuler autrement. La DeFi a passé des années à durcir le logiciel. Elle a beaucoup moins durci le théâtre opérationnel. Or c’est précisément ce théâtre que les équipes les plus organisées ont appris à jouer.

Dix-huit jours, deux protocoles, 575 millions

Le moment qui définit l’année tient dans une fenêtre courte : du 1er au 18 avril. D’un côté, Drift Protocol, alors plus grande plateforme de contrats perpétuels sur Solana. De l’autre, KelpDAO et son pont LayerZero. Deux architectures différentes. Deux chaînes différentes. Un même résultat : une fortune extraite après qu’une autorité légitime a basculé du mauvais côté de la table.

Le 1er avril, Drift se vide de 285 millions de dollars en 128 secondes. Pas une ligne de logique métier n’est « cassée » au sens classique. Les attaquants avaient passé des mois à se faire passer pour un desk quantitatif. Conférences. Rencontres en personne. Plusieurs pays. La confiance artisanale sur laquelle l’industrie fonctionne encore trop souvent. Une fois cette confiance obtenue, ils récupèrent une autorité pré-signée du conseil de sécurité, via un durable nonce, fonctionnalité tout à fait légitime de Solana.

Ensuite, le scénario est presque banal dans sa brutalité technique. Un jeton sans valeur, baptisé CVT, est mis sur liste blanche. Une oracle contrôlée depuis trois semaines valide un collatéral fantôme. Cinq cents millions d’unités de ce jeton servent de garantie. Le retrait part en USDC, SOL et ETH. Le protocole obéit à ses propres règles d’administration. Il fait ce pour quoi on l’a programmé. Seulement, l’admin n’est plus l’admin.

L’ironie est datée. Dès 2024, l’audit de Neodyme signalait le mécanisme : certaines instructions d’administration, comme l’initialisation d’un marché spot, acceptaient un compte d’oracle sans validation réelle. Le constat avait été classé informational. Raisonnement : seul l’admin peut appeler cela. Deux ans plus tard, l’admin n’était plus du bon côté. Le détail « informatif » est devenu une sortie à neuf chiffres.

Dix-sept jours plus tard, KelpDAO perd environ 290 millions. Ici, pas de tournée de conférences. Le 6 mars, un développeur de LayerZero Labs est ciblé. Ses clés de session sont emportées. L’infrastructure RPC qui alimente le réseau de vérificateurs est empoisonnée. Des nœuds externes sont réduits au silence par déni de service. Les nœuds restants, déjà compromis, signent un message interchaîne forgé. Le pont mint 116 500 rsETH sans contrepartie réelle.

La suite est un classique de 2026 : le jeton synthétique part comme collatéral dans Aave, sert à emprunter du WETH bien réel, puis disparaît avant que le multisig d’urgence n’ait assez de signatures pour geler. La TVL d’Aave chute de 6,28 milliards en quarante-huit heures. Neuf protocoles ferment des marchés. Le conseil de sécurité d’Arbitrum saisit on-chain 30 766 ETH dans un portefeuille de l’attaquant. Le geste divise autant que le vol lui-même. D’un côté, une riposte rare. De l’autre, la preuve que « décentralisé » recouvre encore des leviers très politiques.

Les deux protocoles avaient passé leurs audits. Les deux équipes suivaient les pratiques standard. Les deux ont tout perdu sur une seule clé compromise.

Ce n’est pas un slogan. C’est le nœud de l’affaire. Si l’on continue à mesurer la sécurité uniquement à l’aune du rapport d’audit, on se prépare à revivre avril en boucle. Le papier vert ne protège pas une session. Il ne protège pas un dîner de conférence. Il ne protège pas un vérificateur unique.

Lazarus, ou la chaîne d’assemblage d’un État

Les enquêteurs ont rattaché Drift et KelpDAO à TraderTraitor, sous-groupe du Lazarus Group nord-coréen. Mandiant, CrowdStrike, Elliptic et LayerZero ont confirmé ensemble l’attribution KelpDAO. Elliptic a lié Drift à la même unité avec une confiance moyenne à élevée. Ce n’est pas une nouveauté géopolitique. C’est une montée en compétence du même atelier.

Lazarus était déjà derrière le cas Bybit de février 2025, 1,5 milliard, identifié en quelques heures par l’enquêteur on-chain ZachXBT. Avant cela : Radiant Capital, le pont Ronin, WazirX, le pont Horizon de Harmony, entre 2022 et 2024. Trésor américain, FBI et CISA ont publié des avis conjoints sur les modes opératoires. 2026 n’invente pas l’acteur. 2026 raffine la couche sociale.

Sur Drift, la relation a été construite pendant des mois. Sur KelpDAO, la cible était précise : les identifiants de session d’un développeur. Dans les deux cas, la brèche initiale n’est pas un overflow. C’est une confiance. L’exploitation technique ne commence qu’après. On passe d’un modèle « trouver le bug » à un modèle « trouver la personne qui ouvre la porte, puis laisser le protocole travailler ».

Le calcul est glacial. 285 millions plus 290 millions : 575 millions pour un seul acteur en dix-huit jours. Sur 1,3 milliard annoncés pour 2026 à ce stade, cela représente environ 44 % du total. Si l’on ajoute Bybit fin février 2025, le cumul glissant sur dix-huit mois dépasse deux milliards. Bybit a depuis assigné la Corée du Nord, son service de renseignement et Lazarus devant une cour fédérale américaine. La théorie juridique est inédite. Elle dit surtout autre chose : face à un souverain, les victimes n’ont presque aucun levier classique de récupération.

Les ponts, éternelle couture mal cousue

Depuis Ronin en 2022 (624 millions), Wormhole (326 millions) et Nomad (190 millions), le diagnostic n’a guère varié. Un pont doit croire qu’un message venu d’une autre chaîne est vrai avant de libérer des fonds. Cette croyance repose presque toujours sur un petit collège : signataires, validateurs, nœuds d’oracle. On compromet assez d’entre eux, et le pont exécute parfaitement son cahier des charges. Il libère. Contre une requête qu’il croit honnête.

En 2026, la liste s’allonge sans changer de famille. KelpDAO : un seul vérificateur tombé. AFX Trade : 24,15 millions le 22 juillet, cinq signatures de validateurs suffisent à atteindre les deux tiers du quorum sur un pont USDC Arbitrum. L’attaquant bascule vers Ethereum, swap contre 12 467,5 ETH, consolide. Quarante-neuf jours plus tôt, AFX mettait en avant un audit Zellic. Ce rapport documentait une couverture de tests nulle et laissait des points ouverts. La fenêtre de dispute du pont durait 200 secondes. Elle n’a rien disputé.

VerusCoin, deux fois : 11,6 millions en mai, 7,54 millions en juillet, soit 19,14 millions au total. Même pont Ethereum, même frontière de confiance mal tenue. La seconde fois, plus de communiqué, plus de prime, plus de voix. Le silence est aussi une donnée. Il dit la fatigue, ou la panique, ou les deux.

Le bug d’underflow de l’EVM Cosmos enchaîne trois victimes en août : MANTRA (3,6 millions), TAC (7,5 millions), KiiChain (9,7 millions), 20,8 millions au cumul. Même famille de faille : rejeu de reçus inter-shards. Cosmos Labs connaissait le problème depuis avril et en a sous-estimé la gravité. Quand l’exploitation arrive, les trois chaînes stoppent trop tard. Les fonds ont déjà traversé. La divulgation responsable ne sert à rien si le destinataire range l’alerte dans une file « plus tard ».

Le remède n’est pas secret. Des configurations multi-vérificateurs, où deux réseaux de vérification indépendants doivent s’accorder avant toute libération, auraient bloqué KelpDAO comme AFX Trade. LayerZero le permet nativement. Le scandale n’est donc pas l’absence d’outil. C’est le taux d’adoption. LayerZero a publicisé la responsabilité de KelpDAO d’avoir tourné en vérificateur unique. KelpDAO a répondu avec des données Dune : 47 % des contrats OApp LayerZero, plus de 1 200, utilisent exactement la même config. Pendant deux ans et demi et huit échanges d’intégration documentés, KelpDAO affirme que LayerZero a revu le montage sans objection. La vérité opérationnelle est plus triste que le clash : le correctif existe, l’infra le supporte, presque personne ne l’impose.

Des audits qui regardent la mauvaise surface

En juillet, rekt.news titrait un éditorial « Wrong Attack Surface ». Traduction libre : on ausculte le muscle alors que le sang coule ailleurs. CredShields, dans le post-mortem Drift, le dit sans détour : la surface a migré « vers le haut de la pile », vers la gouvernance, les signataires, les gens qui construisent les protocoles.

Un audit classique lit du Solidity ou du Rust. Il cherche réentrance, débordement, contrôle d’accès mal câblé. Il ne lit pas une procédure de gestion de clés. Il ne simule pas six mois d’approche sociale. Il n’audite pas le RPC hors scope. KelpDAO tombe dans la couche RPC de LayerZero, hors de tous les cahiers d’audit habituels. Drift tombe par des mois de relation humaine. Coldcard, on y vient, tombe par un générateur d’aléa. Trois familles, un point commun : le papier d’audit du contrat ne pouvait pas les voir.

Cela ne rend pas les audits inutiles. Cela les rend insuffisants s’ils restent le sésame marketing. Un protocole à neuf chiffres de TVL qui n’a qu’un PDF de revue de code et un multisig bricolé n’est pas « sécurisé ». Il est documenté. La différence se paie comptant.

Term Labs, en août, ajoute une autre case : 8,5 millions via une attaque de gouvernance. Participation quasi nulle. Un portefeuille s’empare des vaults à bas coût, contourne le délai. CertiK relève 2 843 ETH et 1,6 million de DAI concentrés. Quand personne ne vote, la gouvernance n’est plus un commun. C’est une serrure sans témoin. Quorum sérieux, période de verrouillage, gardiens capables de veto pendant une fenêtre de revue : des outils connus, non branchés.

Coldcard, ou la preuve que le mal court plus bas que la DeFi

Le 30 juillet, des portefeuilles Bitcoin protégés par des Coldcard commencent à se vider. Pas de hameçonnage. Pas de malware. Pas d’appareil volé. Un bug de firmware avait remplacé le générateur matériel d’aléa par une bascule logicielle prévisible. L’entropie des graines s’est réduite à une plage brute-forceable. Des attaquants font tourner la mathématique chez eux, dérivent des adresses candidates, les recoupent avec la chaîne publique, extraient les clés. Gratuitement, au sens computationnel du terme.

Galaxy Research suit la première vague : 1 082,65 BTC volés sur 1 196 adresses en 41 minutes. Au 7 août, le décompte à haute confiance grimpe à 1 596 BTC pour environ 7 300 adresses. Les estimations élargies dépassent 2 055 BTC, autour de 130 millions de dollars. Plus de 25 schémas d’attaque distincts. Au moins quinze acteurs indépendants sur la même faille. Coinkite publie un avis le jour même. Le dirigeant NVK s’excuse publiquement. Une mise à jour ne sauve pas les graines déjà nées avec la mauvaise entropie. Il faut les remplacer. Point.

Ce n’est pas un exploit DeFi au sens protocolaire. C’est plus inquiétant. Cela prouve que le problème de la clé compromise traverse toute la pile. Même ceux qui ont suivi le catéchisme de l’auto-garde — hardware, signature hors ligne, pas de dépositaire — peuvent perdre si la génération elle-même est tordue. La sécurité n’est pas un badge « non-custodial ». C’est une chaîne. Un maillon faible, n’importe où, et le récit s’effondre.

Trois points de rupture, trois correctifs déjà connus

La réponse ennuyeuse est la bonne. 2026 dessine trois défaillances récurrentes. Chacune a une mitigation documentée. La plupart des protocoles ne l’ont pas rendue obligatoire.

D’abord, la gestion des clés. Les portefeuilles à calcul multipartite et les modules matériels avec signature à seuil cassent le mythe de la clé unique qui a permis Drift. Des délais d’exécution sur les actions d’administration, couplés à une surveillance on-chain qui alerte dès qu’une transaction privilégiée est mise en file, offrent une fenêtre. 128 secondes ont suffi parce qu’il n’y avait aucun amortisseur entre la compromission et le drain.

Ensuite, la vérification des ponts. Multi-vérificateurs. Deux réseaux indépendants au moins. Ce n’est pas une révolution théorique. C’est un réglage. Que 47 % des applications LayerZero restent en vérificateur unique n’est pas une fatalité technique. C’est un choix de confort, de coût perçu, parfois d’inertie. Le marché le paie en principal.

Enfin, la sécurité opérationnelle. Aucun audit de contrat ne remplace un programme dédié quand on gère une TVL à neuf chiffres. Authentification matérielle imposée pour tout accès privilégié. Multisignature réelle, impossible à contourner par un seul signataire fatigué ou séduit. Formation qui traite l’ingénierie sociale comme menace principale, pas comme anecdote de conférence. Les attaquants de Drift n’ont pas « hacké Solana ». Ils ont fréquenté l’écosystème jusqu’à en devenir crédibles.

Ce qu’il faudra regarder d’ici la fin d’année

Le second semestre dira si le secteur range ces affaires dans la case « coût d’apprentissage » ou dans la case « coût acceptable ». Cinq indicateurs valent mieux qu’un énième thread d’indignation.

Le taux d’adoption multi-vérificateurs sur LayerZero. Si la part des OApp à vérificateur unique recule nettement sous les 47 % d’ici décembre, la leçon KelpDAO a circulé. Si elle stagne, on peut d’ores et déjà écrire le prochain post-mortem.

Les délais imposés sur les clés d’administration, surtout au-dessus de 100 millions de TVL. Après un drain de 128 secondes, l’absence de timelock n’est plus une lubie d’intégriste. C’est une négligence mesurable.

Les nouvelles attributions à Lazarus / TraderTraitor. Trésor américain, Chainalysis, TRM Labs suivent le fil. Une attribution fraîche signifie que le pipeline social tourne encore.

La vitesse de correctif de l’EVM Cosmos sur les chaînes IBC. Trois ont sauté. Des dizaines partagent le même code. La coordination interchaînes, souvent vantée, se jugera à l’horloge, pas aux communiqués.

Enfin, la capacité des assurances on-chain. Nexus Mutual, Sherlock et leurs pairs ont encaissé des sinistres lourds au premier semestre. Si la capacité de souscription se contracte ou si les primes s’envolent, le marché est en train de pricer la récidive. Ce signal-là est plus honnête que beaucoup de roadmaps.

Questions que tout le monde pose, réponses sans vernis

Combien la DeFi a-t-elle perdu en 2026 ? Au moins 1,3 milliard sur le premier semestre selon CertiK et Forbes, dans le même ordre d’idée chez TRM, avec une DeFi seule parfois vue juste sous le milliard selon les périmètres. Le classement rekt.news dépasse déjà trente cas au-dessus de trois millions. Drift et KelpDAO pèsent 575 millions à eux deux. Le total annuel montera. Ce n’est pas une prédiction agressive. C’est de l’arithmétique de calendrier.

Le plus gros coup ? KelpDAO, autour de 290 millions le 18 avril, via session volée, RPC empoisonné, mint de rsETH non adossé, puis lessive dans Aave. Effet collatéral immédiat : 6,28 milliards de TVL évaporés sur le prêteur, marchés gelés chez neuf protocoles. Drift, 285 millions le 1er avril, n’est pas loin. L’écart de cinq millions ne change rien au diagnostic.

Comment Drift a-t-il été vidé ? Approche longue sous couverture de firme quantitative. Autorité pré-signée. Jeton CVT et oracle maison. Retrait en 128 secondes avec des primitives Solana légitimes. Pas besoin de casser la machine. Il suffisait d’en posséder le volant.

La Corée du Nord est-elle « derrière la plupart des hacks » ? Derrière une part disproportionnée des dollars, oui, sur la fenêtre récente. 575 millions attribués en 2026 sur ces deux dossiers, plus Bybit l’année d’avant. Cela ne signifie pas que chaque petit exploit de 4 millions vient de Pyongyang. Cela signifie qu’un acteur étatique a industrialisé le haut du tableau.

Pourquoi les ponts tombent-ils encore ? Parce que la vérification concentre trop de confiance sur trop peu de parties. Un vérificateur. Cinq signatures. Un quorum trop bas. Une fenêtre de dispute trop courte. On peut broder sur l’interopérabilité autant qu’on veut. Tant que le sésame tient dans une poche, la poche sera visée.

Qu’est-ce qu’une attaque par clé compromise ? Quelqu’un obtient une clé privée, une clé d’admin, une autorité de signature qui commande l’argent ou la config. En 2026, cette famille dépasse les exploits de contrats en valeur. L’attaquant n’a pas besoin d’un bug. Il a besoin d’un humain, d’une session, d’un insider, d’un firmware trop généreux.

Un audit peut-il empêcher cela ? Pas l’audit que l’on commande encore par réflexe. Il peut réduire le risque de réentrance. Il ne voit pas le dîner de Prague, le lien Discord trop poli, le RPC modifié, la graine mal née. Exiger un audit reste utile. En faire un totem est dangereux.

Pourquoi le même scénario continue de marcher

Parce qu’il est rentable. Compromettre une personne coûte moins cher, en temps et en talent, que de trouver une faille inédite dans un contrat déjà passé chez trois cabinets. Parce que la culture du secteur valorise encore la vitesse, le shipping, le partenariat annoncé sur un fil. Parce qu’un vérificateur unique, c’est plus simple à monitorer au quotidien. Parce qu’un timelock « ralentit la roadmap ». Parce que la gouvernance ennuie, donc personne ne vote. Chaque phrase de cette liste est une subvention offerte à l’attaquant.

Il y a aussi un biais de récit. Après chaque affaire, l’écosystème produit un fil pédagogique, une prime, parfois un fork de l’âme. Puis l’attention glisse. Un nouveau L2 promet des frais nuls. Un point de TVL rebondit. La leçon opérationnelle, elle, n’a pas de token. Elle n’a pas de campagne. Elle demande des process ennuyeux. Or l’ennui sauve plus de millions que le storytelling.

On sous-estime enfin la patience. Les équipes de Drift n’ont pas été « surprises un mardi ». Elles ont été fréquentées. La patience est une arme asymétrique. Un protocole vit dans le trimestre. Un service de renseignement vit dans l’année. Ce décalage calendaire explique autant de pertes que n’importe quel opcode mal compris.

Ce que la DeFi confond encore avec la décentralisation

Avoir un contrat open source n’est pas avoir une opération résistante. Avoir un multisig à trois clés dans le même fuseau, les mêmes conférences et le même groupe Telegram n’est pas de la décentralisation. C’est de la redondance cosmétique. Avoir un pont « omnichain » avec un seul réseau de vérification, c’est déplacer le risque, pas le diluer.

La saisie d’ETH par le conseil Arbitrum après KelpDAO l’illustre. Des pouvoirs d’urgence existent. Ils sont utilisés. Le marché découvre alors que la neutralité n’était pas un théorème, seulement une hypothèse confortable. On peut juger le geste nécessaire. On ne peut pas faire semblant qu’il n’éclaire rien. La sécurité réelle de 2026 est hybride : code, personnes, institutions de chaîne, parfois tribunaux américains. Le mythe du protocole qui se défend tout seul a pris 1,3 milliard de démenti.

Il faudra aussi parler d’incitations. Tant que lancer un OApp en vérificateur unique reste sans friction sociale, le taux de 47 % tiendra. Tant que les fonds et les agrégateurs rangeront « audité » dans la même case qu’« opérationnellement durci », les fiches produits mentiront par omission. Le levier n’est pas seulement technique. Il est éditorial, financier, réputationnel. Qui refuse de lister un pont monocéphale change plus la courbe que dix threads de bonne volonté.

Une lecture plus large : l’industrie face à son âge adulte

Les premières années de la DeFi ont été celles de l’invention. On pardonnait beaucoup à qui ouvrait des chemins. 2026 ressemble davantage à une année de responsabilité. Des sommes institutionnelles circulent. Des ponts relient des écosystèmes qui n’ont plus l’excuse de l’expérimentation confidentielle. Un firmware grand public peut faire basculer 130 millions. À cet âge, « on ne savait pas » convainc de moins en moins.

Le parallèle avec la finance traditionnelle est trop facile, mais un morceau tient. Les banques n’ont pas cessé d’être attaquées le jour où le COBOL a été relu. Elles ont réduit le risque en séparant les pouvoirs, en journalisant, en retardant les virements sensibles, en formant contre l’ingénierie sociale. La DeFi peut copier l’esprit sans copier la cathédrale. MPC, seuils, délais, multi-vérification, gardiens de gouvernance : ce n’est pas « redevenir une banque ». C’est admettre que l’argent programmable attire des adversaires professionnels.

Il reste une tension philosophique. Trop de garde-fous recentralise. Trop peu, et Lazarus continue de remplir ses caisses. Le point d’équilibre n’est pas un slogan. Il se mesure : temps entre file d’admin et exécution, nombre de réseaux de vérification distincts, taux de participation réelle aux votes, délai entre divulgation d’un bug Cosmos et patch IBC. Des métriques. Pas des manifestes.

Ce que les utilisateurs peuvent exiger sans attendre une loi

On n’est pas impuissant sous prétexte que l’on n’écrit pas le contrat. On peut demander si l’admin est sous timelock public. On peut demander combien de réseaux signent un pont avant mint. On peut fuir les protocoles dont la gouvernance tient dans trois wallets familiers et 0,4 % de participation. On peut traiter un audit comme une pièce, pas comme une assurance-vie. On peut, côté auto-garde, suivre les avis firmware avec la même gravité qu’une alerte de contrat. Coldcard l’a montré : la liturgie du hardware ne dispense pas de lire le bulletin.

On peut aussi refuser le fatalisme. « Il y aura toujours des hacks » est vrai et paresseux. Il y aura toujours des tentatives. La question est la taille des blast radius. Un vérificateur unique plus une extraction instantanée, c’est un crater. Un seuil, un second réseau, une heure de délai, c’est parfois un incident contenu. La différence se voit dans les classements. Elle se voit aussi dans la confiance qui, elle, ne se re-mint pas.

• Exiger la transparence des clés : qui signe, avec quel délai, depuis quels dispositifs.
• Lire la config du pont avant la promesse de rendement interchaîne.
• Traiter l’ingénierie sociale comme un risque de premier rang, y compris en équipe.
• Suivre les correctifs d’écosystème quand un bug commun est public, type EVM Cosmos.

Le coût caché : liquidité, récit, régulation

Le milliard trois n’est pas qu’une ligne de pertes. C’est de la liquidité qui se fige, des marchés qui ferment, des LP qui attendent un plan de compensation, une TVL qui dévisse de plus de six milliards sur un prêteur en deux jours. C’est un récit offert aux régulateurs : voyez, l’auto-organisation ne tient pas face à un État. Bybit qui assigne Pyongyang n’est pas seulement un fait divers juridique. C’est un aveu que la récupération on-chain a des limites dès que l’adversaire n’est plus un adolescent brillant.

Chaque gel de marché après KelpDAO, chaque halt tardif après l’underflow Cosmos, chaque deuxième silence VerusCoin nourrit la même conclusion externe : trop de confiance concentrée, trop peu de ressorts. On peut contester la conclusion. On ne peut pas nier le matériau. L’industrie a intérêt à produire d’autres preuves que des posts « post-mortem published ».

Il y a enfin le coût intérieur. Contributeurs approchés pendant des mois. Développeur dont la session devient le détonateur. Fondateurs qui découvrent qu’un finding « informational » de 2024 était une prophétie. La fatigue de sécurité est réelle. Elle explique une partie des configs paresseuses. Elle n’excuse pas de laisser 47 % des applications sur le mode le plus fragile.

Reprendre le fil, sans romance

La DeFi de 2026 n’est pas « morte ». Elle est exposée. Elle a prouvé qu’elle savait écrire des contrats plus propres. Elle n’a pas encore prouvé qu’elle savait protéger les humains et les seuils qui commandent ces contrats. Lazarus n’a pas besoin que le code soit mauvais. Il a besoin que la confiance reste artisanale. Les ponts n’ont pas besoin d’une nouvelle primitive magique. Ils ont besoin que l’on cesse de signer tout seuls. Coldcard n’a pas besoin d’un sermon sur l’auto-garde. Il a besoin que l’aléa soit vraiment aléatoire, et que les graines nées tordues soient abandonnées sans délai.

On peut relire l’année comme une liste de noms : Drift, KelpDAO, AFX Trade, VerusCoin, MANTRA, TAC, KiiChain, Term Labs, Coldcard. On peut aussi la relire comme une seule phrase. Trop de pouvoirs dans trop peu de mains, trop vite exercés, trop rarement contestés. Tant que cette phrase décrit encore l’architecture réelle, le même coup continuera de marcher. Pas parce que les attaquants sont des sorciers. Parce que la porte est toujours la même, et que quelqu’un, quelque part, a encore la clé dans la poche.

Le second semestre n’effacera pas le 1,3 milliard déjà inscrit. Il dira seulement si le secteur a décidé de changer la serrure, ou s’il préfère racheter une nouvelle porte après chaque effraction. Les outils sont là. Les précédents aussi. Ce qui manque n’est plus un whitepaper. C’est le courage un peu terne de configurer ce que l’on sait déjà devoir configurer, avant que le prochain desk fantôme ne réserve ses billets d’avion.

Le code avait souvent raison. Les clés, les sessions et les vérificateurs uniques avaient tort. En 2026, c’est cette erreur-là qui se monnaye le plus cher.

À l’heure où ces lignes s’écrivent, le compteur de l’année n’est pas fermé. D’autres incidents passeront le seuil des trois millions. Peut-être un nouveau dossier TraderTraitor. Peut-être un pont qui n’aura toujours qu’une seule voix pour dire oui. Le détail changera. La structure, elle, ne changera que si l’on accepte enfin de regarder là où l’audit ne va pas : dans la poche, dans la session, dans la salle de conférence, dans le firmware, dans le quorum trop mince. C’est moins glamour qu’une nouvelle primitive. C’est le seul chantier qui, aujourd’hui, réduit vraiment la facture.