Hacks Crypto En Août 2026 : 136 Millions De Pertes

On pourrait croire qu’un mois plus calme sur les marchés signifie un mois plus calme côté sécurité. Août 2026 vient de démontrer le contraire. Selon le décompte publié le 1er septembre par la société de surveillance blockchain PeckShield, le nombre d’incidents majeurs a bondi de 67 % par rapport à juillet, alors même que la facture estimée reculait presque de moitié. Cinquante attaques. Cent trente-six millions de dollars. Et un seul nom qui écrase le tableau : Tectonic.

Ce Que Les Chiffres D’Août Changent Vraiment

Le rapport ne dit pas seulement que « ça a encore hacké ». Il dit que la fréquence augmente pendant que le montant moyen, hors un cas extrême, se tasse. C’est une configuration trompeuse. Elle donne l’impression d’un risque plus diffus, presque administratif, alors qu’un seul protocole de prêt peut encore avaler plus de la moitié d’un mois entier.

PeckShield a recensé 50 incidents majeurs en août, contre 30 en juillet. Les pertes estimées atteignent 136,3 millions de dollars, en baisse de 49,5 % par rapport aux quelque 270 millions de juillet. Ces montants restent des estimations. Ils bougeront si des fonds sont gelés, restitués ou réévalués après enquête.

Une hausse du volume, pas forcément de la violence

Le paradoxe d’août tient dans cette phrase : plus d’attaques, moins d’argent perdu au global. Hors Tectonic, les 49 autres dossiers représenteraient environ 62,3 millions de dollars. Autrement dit, la « longue traîne » des incidents pèse moins qu’un seul événement de prêt sur Cronos.

Cette géométrie n’est pas nouvelle. Une étude CoinGecko, citée dans le même écosystème d’analyse, estime que les plateformes crypto ont perdu 3,63 milliards de dollars sur 245 incidents entre janvier 2025 et juillet 2026. Les dix plus gros cas expliqueraient plus de 72,5 % de cette addition. Le marché n’est pas seulement vulnérable. Il est concentré dans sa vulnérabilité.

Quelques attaques structurent encore l’essentiel des pertes. Le reste du mois ressemble à une pluie fine. Jusqu’au jour où une seule tempête suffit.

Lecture du rapport PeckShield, août 2026.

Pourquoi les totaux mensuels mentent un peu

Deux cabinets de sécurité peuvent classer le même événement de deux façons. L’un parle de vol. L’autre parle d’exposition. Un troisième attend de voir si les fonds restent traçables. Les chiffres d’août doivent donc se lire comme une photographie prise trop tôt, pas comme un jugement définitif.

Les équipes projet révisent souvent leurs communiqués. Des échanges gèlent des adresses. Des ponts retardent des retraits. Une partie de l’argent « volé » n’a pas encore quitté le périmètre visible. Une autre partie a déjà changé de forme, de chaîne, parfois de narratif.

C’est précisément pour cela que PeckShield prévient que ses estimations peuvent évoluer. Ce n’est pas une clause de style. C’est la nature même d’un écosystème où l’enquête et le marché avancent en même temps.

Le classement des plus gros dossiers du mois

Derrière Tectonic, PeckShield place Moonwell à 8,7 millions de dollars, puis Term Labs à 8,5 millions. Coinsbuy et TAC suivent, avec 7,9 et 7,5 millions. Plus bas dans le tableau apparaissent Injective à 4,8 millions, MANTRA à 3,6 millions, BounceBit à 3 millions, Cosmos Labs à 2,87 millions et Aquifer à 2,47 millions.

Ces noms ne racontent pas la même histoire. Certains relèvent de la finance décentralisée. D’autres touchent des infrastructures, des ponts, des portefeuilles d’équipe ou des couches d’exécution. Les regrouper sous le mot « hack » aplanit trop de différences. Mais le public, lui, ne retient souvent qu’un seul signal : l’argent a bougé sans le consentement de ceux qui croyaient le contrôler.

Tectonic, le dossier qui a avalé le mois

Le 30 août, Tectonic a reconnu un incident sur son protocole de prêt déployé sur Cronos. Le message aux utilisateurs était net : ne plus interagir avec la plateforme le temps de l’enquête. Les chercheurs en sécurité ont décrit une manipulation du prix des garanties, suivie d’emprunts massifs. L’ordre de grandeur retenu par PeckShield tourne autour de 74 millions de dollars.

Tectonic n’a pas publié, au moment du bilan mensuel, de chiffre définitif ni de rapport technique complet. L’estimation reste donc ouverte. PeckShield a toutefois classé l’affaire comme le quatrième plus important vol crypto recensé en 2026, derrière des dossiers impliquant Drift, KelpDAO, LayerZero et le fabricant de portefeuilles matériels Coldcard.

Le détail qui a évité une confusion plus large vient de Kris Marszalek, directeur général de Crypto.com. Il a confirmé que l’incident concernait Tectonic, et non l’échange centralisé ni l’application grand public. Les fonds des clients de Crypto.com n’étaient pas dans le périmètre. Le protocole visé est une brique décentralisée distincte, même si elle vit sur Cronos, un réseau historiquement proche de l’univers Crypto.com.

Ce n’est pas l’échange qui a sauté. C’est un protocole de prêt sur la même famille de chaînes. La nuance compte, mais elle n’efface pas le choc pour les déposants de Tectonic.

Clarification autour de l’incident du 30 août.

Comment un protocole de prêt devient une cible unique

Les protocoles de prêt concentrent deux choses que les attaquants recherchent : de la liquidité visible et des oracles de prix. Quand la valorisation d’une garantie peut être déformée, même brièvement, la machine à emprunter peut se mettre à servir des montants qui n’ont plus de rapport avec la réalité économique du collatéral.

On n’a pas besoin d’entrer dans le mode d’emploi pour comprendre le principe. Un marché DeFi fonctionne comme une salle des marchés automatique. Les règles sont publiques. Les exceptions, elles, se cachent dans les détails d’implémentation, les dépendances externes, les paramètres de liquidation et la façon dont le protocole lit le monde extérieur.

Août n’invente pas ce schéma. Il le rappelle avec une facture assez lourde pour faire basculer un mois entier. Les équipes de Tectonic devront encore expliquer la séquence exacte. Tant que ce rapport n’existe pas, le public navigue entre estimation de chercheurs et silence opérationnel.

Cronos a stoppé la machine avant la fuite complète

Le point le plus spectaculaire du dossier n’est pas seulement le montant. C’est la décision des validateurs Cronos d’interrompre la production de blocs une fois l’exploit détecté. Selon le suivi d’adresses et les relevés de PeckShield, l’attaquant aurait réussi à faire passer environ 6 millions de dollars vers Ethereum avant l’arrêt. Le reste des actifs identifiés serait resté sur Cronos.

Rester sur la chaîne compromise n’équivaut pas à une récupération automatique. Cela signifie seulement que la fenêtre de confirmation s’est refermée. Sans nouveaux blocs, les transactions supplémentaires ne se finalisent plus. C’est une forme d’urgence brutale, rarement compatible avec l’imaginaire d’une blockchain qui « ne s’arrête jamais ».

La chaîne a ensuite repris. Les validateurs ont restauré un état antérieur à l’exploit. Les blocs ont redémarré à 23 h 49 min 01 s UTC, à partir du bloc 90 896 189. Les opérateurs de nœuds ont été invités à installer la version 1.7.8 de Cronos et à s’appuyer sur un instantané du réseau pris avant l’incident.

Cette restauration a un coût politique autant que technique. Elle efface une portion de l’historique récent. Des transferts, des échanges, des liquidations réalisés par des utilisateurs sans lien avec l’attaque ont pu se retrouver dans la zone annulée. Cronos n’avait pas encore fourni, au moment du premier bilan, un inventaire complet de ce qui a été inversé.

Le rollback, ce mot que l’écosystème n’aime pas prononcer

Dans la doctrine crypto, l’immutabilité n’est pas un détail marketing. C’est la promesse fondatrice. Une chaîne qui revient en arrière pour corriger un vol pose une question simple et inconfortable : qui décide qu’un événement est assez grave pour réécrire le registre ?

La réponse, en pratique, n’est jamais uniquement morale. Elle est sociologique. Elle dépend du nombre de validateurs, de leur coordination, de la gravité perçue, de la proximité avec des acteurs institutionnels, et du risque de voir l’attaquant terminer son travail sur une autre chaîne. Cronos a choisi la coupure puis la restauration. D’autres réseaux, dans d’autres affaires, ont laissé filer.

Il n’existe pas de règle universelle. Il existe des précédents, des débats, et des utilisateurs coincés entre deux récits. Le premier dit : mieux vaut sauver le plus gros des fonds. Le second dit : une chaîne qui s’autorise l’effacement n’est plus tout à fait la même chaîne.

Les deux récits peuvent être honnêtes. Ils ne peuvent pas être vrais en même temps pour tout le monde. Un trader dont l’ordre a disparu dans la zone restaurée ne vivra pas l’épisode comme le déposant de Tectonic dont les fonds risquaient de quitter le réseau.

Des fonds encore en mouvement, une enquête encore ouverte

PeckShield indiquait que l’attaquant avait commencé à déplacer une partie des actifs déjà sortis vers d’autres réseaux, avec une première conversion observée vers Bitcoin. Le montant concerné restait faible au regard de l’enveloppe initiale. Cela n’en fait pas moins un signal : dès qu’une fraction quitte la chaîne d’origine, le travail de gel et de récupération se complique.

Ni Cronos ni Tectonic n’avaient annoncé, au 1er septembre, la date d’un rapport post-incident complet. On attend encore la chronologie fine, la nature exacte de la faille, le rôle des validateurs, et le détail de la restauration. Tectonic n’avait pas non plus présenté de plan de remboursement ou de compensation.

Tout plan futur dépendra de trois variables. Les fonds encore présents sur Cronos. La capacité des ponts et des plateformes à bloquer ce qui a déjà migré. Et le temps. Plus les jours passent, plus les actifs se fragmentent, se mélangent, se couvrent.

MANTRA et les incidents qui n’étaient pas Tectonic

Août n’a pas été un mois à une seule affaire. MANTRA a repris la production de blocs après une mise à jour logicielle visant une vulnérabilité Cosmos-EVM. Le projet a indiqué que deux portefeuilles gérés par l’équipe avaient été touchés, tandis que les soldes des utilisateurs n’auraient pas bougé.

Cette phrase, « les utilisateurs n’ont pas été affectés », revient souvent. Elle est parfois exacte. Elle est parfois prématurée. Elle est presque toujours politique. Elle vise à séparer le périmètre interne d’un projet du périmètre public, pour éviter une panique plus large.

Dans le classement PeckShield, MANTRA apparaît néanmoins parmi les pertes estimées du mois. La coexistence des deux messages n’est pas forcément contradictoire. On peut avoir des wallets d’équipe touchés, une interruption réseau, et des utilisateurs officiellement indemnes, tout en inscrivant un montant dans une base d’incidents.

Ce que dit vraiment la comparaison juillet-août

Juillet avait coûté plus cher avec moins d’événements. Août a coûté moins cher avec davantage d’événements. Si l’on s’arrête à la première lecture, on conclut à une amélioration. Si l’on s’arrête à la seconde, on conclut à une dégradation. Les deux lectures sont incomplètes.

Une industrie peut voir ses pertes mensuelles baisser simplement parce qu’aucun géant n’a sauté, tout en voyant se multiplier les brèches de taille moyenne. C’est un régime d’usure. Il fatigue les équipes de sécurité, les assureurs quand ils existent encore, les déposants, et la crédibilité des audits présentés comme des certificats définitifs.

Le recul de 49,5 % des pertes estimées ne doit donc pas être célébré comme une victoire structurelle. Il doit être lu avec Tectonic encore au centre de la table. Sans ce dossier, août serait un mois de petite et moyenne criminalité on-chain. Avec ce dossier, août redevient un mois de concentration du risque.

La leçon CoinGecko que personne n’aime entendre

Entre janvier 2025 et juillet 2026, 245 incidents auraient représenté 3,63 milliards de dollars. Plus de 72,5 % de cette somme tiendrait dans dix affaires seulement. Cette statistique devrait changer la manière dont on parle de « sécurité crypto » dans les conversations ordinaires.

Elle dit que le risque n’est pas uniformément réparti. Elle dit qu’un utilisateur peut survivre à vingt petits incidents de marché et se faire emporter par un seul protocole trop gros, trop interconnecté, trop rapide à grandir. Elle dit aussi que les campagnes de communication sur « l’amélioration continue » peuvent être vraies à l’échelle microscopique et fausses à l’échelle des queues de distribution.

Les extrêmes gouvernent encore le bilan. Août 2026 s’inscrit dans cette loi. Cinquante noms dans un tableau. Un seul qui décide de la une.

Ce que les déposants devraient retenir sans attendre le rapport final

La première leçon n’est pas technique. Elle est documentaire. Quand un protocole demande de ne plus interagir, cette consigne n’est pas un détail de communauté. C’est souvent la seule barrière immédiate entre un utilisateur et une seconde perte, celle qui arrive en voulant « sauver » des fonds au mauvais moment.

La deuxième leçon concerne la proximité des marques. Un réseau, une application centralisée et un protocole DeFi peuvent partager un écosystème, un langage, parfois une histoire commune, sans partager le même bilan ni les mêmes garanties. La clarification de Crypto.com allait dans ce sens. Elle ne console pas les victimes de Tectonic. Elle évite d’étendre la contagion réputationnelle à un autre compartiment.

La troisième leçon porte sur les rollbacks. Un halt de validateurs peut protéger une partie des avoirs. Il peut aussi créer des victimes collatérales, celles dont les transactions honnêtes se retrouvent dans la portion de chaîne écartée. Tant qu’un inventaire n’est pas publié, cette zone grise reste ouverte.

• Ne pas confondre estimation et perte nette finale. Les chiffres du 1er septembre sont une première photographie.
• Séparer les périmètres. Protocole DeFi, chaîne, application centralisée : trois responsabilités distinctes.
• Suivre les fonds encore visibles. Ce qui n’a pas bridgé reste plus récupérable, en théorie.
• Exiger la chronologie. Sans rapport technique, le marché ne fait que recycler des rumeurs chiffrées.

Pourquoi les attaques se multiplient quand les montants baissent

Plusieurs dynamiques peuvent coexister. La surface d’attaque s’élargit à mesure que de nouveaux protocoles, ponts et chaînes annexes se lancent. Les outils d’observation s’améliorent aussi, ce qui fait monter le nombre d’incidents comptabilisés, pas seulement le nombre d’incidents réels. Enfin, une partie des attaquants se tourne vers des cibles plus petites, plus rapides à exploiter, moins protégées par des équipes de réponse.

Août ressemble à un mois de mitraille plus qu’à un mois de bombe unique, jusqu’à ce que Tectonic réintroduise la bombe. Cette coexistence est devenue banale. Elle rend les tableaux mensuels plus difficiles à raconter. Elle oblige à tenir deux idées en même temps : le bruit de fond augmente, et le risque extrême n’a pas disparu.

Les équipes de sécurité aiment dire que la défense s’améliore. C’est parfois vrai. Les attaquants, eux, n’ont pas besoin d’améliorer tout le champ de bataille. Ils ont besoin d’une seule fenêtre, sur un seul paramètre, au bon moment.

Le rôle ambigu des haltes de validateurs

Arrêter une chaîne, c’est admettre qu’il existe encore un bouton d’urgence humain au-dessus du code. Pour certains, c’est une maturité. Pour d’autres, c’est une régression vers un modèle semi-centralisé. Les deux lectures collent à des valeurs différentes, pas forcément à des faits différents.

Dans le cas Cronos, l’argument opérationnel est fort. Une partie des fonds n’avait pas encore basculé. Le coût d’un halt pouvait paraître inférieur au coût d’une fuite totale. Mais le précédent demeure. La prochaine crise invitera la même question, avec d’autres montants, d’autres victimes, d’autres pressions.

Les réseaux qui se présentent comme immuables devront clarifier à l’avance dans quelles conditions ils acceptent d’interrompre l’horloge. Sinon, la doctrine se décidera à chaud, sous le regard des chercheurs, des fonds, et des captures d’écran.

Ce que les prochains rapports devront trancher

Un bon rapport d’incident ne se contente pas d’un chiffre. Il dit quand la première anomalie a été vue. Il dit qui a eu le pouvoir d’arrêter la chaîne. Il dit quelles transactions ont été écartées. Il dit ce qui reste récupérable. Il dit aussi ce qui ne le sera pas.

Sans cela, le marché recycle des classements. Quatrième plus gros vol de l’année. Plus de la moitié du mois. Six millions déjà partis. Ces formules aident à hiérarchiser. Elles n’aident pas un déposant à savoir s’il reverra une partie de son collatéral.

Tectonic et Cronos ont annoncé l’intention de documenter. L’intention n’est pas le document. Jusqu’à publication, chaque estimation reste un ordre de grandeur, pas une vérité comptable.

Une industrie qui compte mieux qu’elle ne répare

Le paradoxe le plus cruel d’août n’est pas le +67 %. C’est la sophistication du comptage. On sait désormais assez vite approximer un mois. On sait moins bien refermer un dossier. Les bases de données d’incidents se sont professionnalisées. Les mécanismes de compensation, eux, restent artisanaux, au cas par cas, souvent dépendants de la bonne volonté d’un pont, d’un exchange ou d’une gouvernance.

Cette asymétrie crée une culture du tableau. On publie le mois. On compare à juillet. On extrait un pourcentage. Puis on attend le rapport suivant. Les utilisateurs, pendant ce temps, habitent l’intervalle entre deux communiqués.

Si PeckShield révise ses totaux, ce ne sera pas un scandale méthodologique. Ce sera le fonctionnement normal d’un champ où l’on compte plus vite qu’on ne récupère.

Le paysage 2026 déjà marqué par quelques noms

Placer Tectonic au quatrième rang de l’année, derrière Drift, KelpDAO, LayerZero et Coldcard, donne une carte mentale. 2026 n’est pas une année de petits accrocs seulement. C’est une année où des protocoles connus, des infrastructures et même un acteur du matériel ont déjà inscrit leur nom dans les classements de pertes.

Cette diversité des cibles devrait tuer une illusion tenace : celle selon laquelle le risque se limiterait aux « petits projets non audités ». L’audit n’est pas une assurance. Le hardware n’est pas un sanctuaire automatique. Une marque connue n’est pas une preuve de compartimentation parfaite.

Août s’ajoute à cette liste sans la refermer. D’autres mois viendront. D’autres tableaux aussi.

Ce que le silence des plans de remboursement révèle

L’absence d’un plan de compensation dès les premières heures n’est pas forcément un aveu de mauvaise foi. Elle peut signaler une incertitude réelle sur le stock récupérable. Promettre trop tôt, c’est créer une deuxième crise, celle des engagements non tenus.

Mais le silence prolongé a lui aussi un coût. Il laisse les déposants seuls face aux intermédiaires, aux rumeurs de gel, aux captures de tableaux de bord. Dans la DeFi, la communication n’est pas un accessoire de relations publiques. C’est une partie de la gestion de crise, au même titre que le snapshot et la version logicielle.

Les prochaines heures utiles ne seront pas seulement techniques. Elles seront narratives. Qui parle. Avec quels chiffres. Avec quelle distinction entre fonds gelés, fonds partis, fonds encore sur Cronos.

Lire un mois de hacks sans tomber dans la fatalité

Il est tentant de conclure que « la crypto se fait encore voler, comme d’habitude ». Cette phrase est paresseuse. Elle mélange des réalités trop différentes. Un halt de validateurs n’est pas un rug pull. Un wallet d’équipe touché n’est pas une vidange de pool. Une estimation à 8 millions n’est pas une estimation à 74.

La lecture adulte consiste à tenir la granularité. Fréquence en hausse. Montant global en baisse. Concentration extrême autour d’un protocole de prêt. Intervention lourde d’une chaîne. Enquête ouverte. Chiffres révisables. C’est moins spectaculaire qu’un slogan. C’est plus fidèle au mois d’août.

Les utilisateurs n’ont pas besoin d’un nouveau mythe de l’invulnérabilité. Ils ont besoin de cartes. Quelles applications sont distinctes. Quels fonds sont encore visibles. Quelles décisions de gouvernance peuvent reculer l’horloge. Quelles pertes resteront brutes même si le classement mensuel diminue.

Une photographie au 1er septembre, pas une clôture

Le texte de PeckShield a le mérite de dater le regard. Le 1er septembre, on savait ceci : plus d’incidents, moins d’argent perdu au total, un dossier Tectonic dominant, une chaîne Cronos interrompue puis restaurée, des investigations encore chaudes. On ne savait pas encore le montant net définitif, ni le sort exact de chaque cohorte d’utilisateurs.

C’est ainsi que se fabriquent désormais les mois crypto. Un tableau arrive plus vite que la vérité opératoire. Le public le relais. Les équipes corrigent. Les chercheurs ajustent. Les classements bougent d’une ligne. Puis un autre mois commence, avec la même tentation de résumer trop tôt.

Si l’on ne devait garder qu’une phrase d’août 2026, ce ne serait pas « 136 millions ». Ce serait celle-ci : la fréquence des attaques peut monter pendant que la facture globale descend, sans que le risque existentiel d’un seul protocole ait disparu. Le mois l’a montré. Le prochain pourra le montrer autrement.

Les attaques sont devenues plus nombreuses en août, même si le montant estimé a nettement reculé. Pour l’instant, le jeu de données dit surtout cela. Le reste dépendra des fonds encore récupérables.

Synthèse du bilan mensuel PeckShield.

Et maintenant ?

Les jours qui viennent diront si Tectonic publie une reconstruction crédible, si Cronos documente la zone annulée, si des plateformes gèlent davantage que les 6 millions déjà observés hors chaîne, et si PeckShield doit corriger ses 136,3 millions. Jusque-là, août restera ce qu’il est déjà : un mois plus bruyant, moins cher en apparence, et toujours dépendant d’un seul point de rupture.

Les classements changent. La leçon, elle, insiste. Dans cette industrie, le mois le plus trompeur n’est pas forcément le plus coûteux. C’est celui où l’on croit, trop vite, que la baisse du total signifie la baisse du danger.