Piratages Crypto T3 2026 : 1,18 Md$ De Pertes

Un milliard cent quatre-vingts millions de dollars. Voilà le montant que les pirates ont réussi à extraire de l’écosystème crypto entre juillet et septembre 2026. Ce chiffre, sorti tout droit du dernier rapport trimestriel de Hacken, ne représente pas seulement une statistique froide. Il raconte une histoire plus large, celle d’une industrie qui a longtemps scruté les contrats intelligents à la loupe tout en laissant ses portes arrière grandes ouvertes. Les fournisseurs, les outils de développement, les correctifs oubliés et les composants jamais audités sont devenus les véritables points d’entrée. Et le plus troublant, c’est que cette tendance ne semble pas près de s’inverser.

Quand les fournisseurs deviennent la principale faille de l’écosystème

Pendant des années, le récit dominant dans la sécurité blockchain tournait autour des smart contracts. On parlait de reentrancy, de débordements d’entiers, de logique métier mal écrite. Les cabinets d’audit multipliaient les badges et les rapports. Les projets affichaient fièrement leurs certificats. Pourtant, au troisième trimestre 2026, Hacken dresse un tableau radicalement différent. Sur les 1,18 milliard de dollars disparus, 906,8 millions proviennent directement de fournisseurs ou d’outils de développement compromis, de correctifs publics jamais installés, ou de composants laissés hors du périmètre de la dernière revue de sécurité.

Ce n’est plus le code du protocole qui lâche en premier. C’est tout ce qui gravite autour : les revendeurs, les dépendances logicielles, les systèmes de signature, les logiciels tiers intégrés à la hâte. Andrii Matiukhin, cofondateur de Hacken, le résume sans détour. Le client voit un badge d’audit et suppose que toute la plateforme est couverte. En réalité, l’audit peut se limiter à quelques contrats intelligents précis, en laissant de côté les portefeuilles, les systèmes de signature et les logiciels tiers. Le coût explique en partie ces choix. Auditer l’ensemble des composants qui touchent aux fonds revient cher. Les équipes se concentrent donc sur les parties jugées critiques, parfois à tort.

Le client voit un badge d’audit et suppose que toute la plateforme est couverte, alors que l’audit peut ne porter que sur des contrats intelligents précis.

Andrii Matiukhin, cofondateur de Hacken

Cette réalité change profondément la manière dont on doit aborder la sécurité. Un projet peut disposer d’un code parfaitement audité et pourtant perdre des centaines de millions parce qu’un outil de développement ou un fournisseur de matériel a été compromis en amont. Le trimestre qui vient de s’achever en offre plusieurs illustrations frappantes.

Bitget, Liquid Network et Coldcard : le palmarès des pertes

L’attaque la plus lourde du trimestre a frappé Bitget en septembre. La plateforme d’échange a perdu au moins 352 millions de dollars après l’exploitation d’une faille dans un produit de sécurité tiers. Cette faille a donné aux attaquants un accès direct à l’infrastructure de retraits. Le scénario est classique dans sa simplicité : un composant externe, jugé digne de confiance, devient le maillon faible. Une fois l’accès obtenu, les fonds sortent rapidement, souvent avant même que les équipes de sécurité internes aient le temps de réagir.

Juste derrière, Liquid Network apparaît avec 319 millions de dollars de pertes. Le réseau, conçu pour offrir des transactions plus rapides et confidentielles, a vu une partie importante de ses réserves s’évaporer. Le détail exact du vecteur d’attaque n’a pas encore été entièrement public, mais le rapport de Hacken le place clairement dans la catégorie des incidents liés à des éléments périphériques plutôt qu’à une faille pure de smart contract.

Le logiciel du portefeuille matériel Coldcard figure également dans la liste, avec environ 114 millions de dollars. Ce chiffre surprend. Les portefeuilles matériels sont traditionnellement présentés comme le summum de la sécurité. Pourtant, même ces dispositifs peuvent devenir des cibles lorsqu’un composant logiciel associé ou une chaîne d’approvisionnement est compromise. Tectonic complète le tableau avec au moins 75 millions de dollars disparus.

En juillet, un exploit de seulement six heures a coûté plus de 35 millions de dollars à trois ponts inter-chaînes. AFX Trade a concentré 24 millions de ces pertes. Les clés de validateur étaient passées aux mains des attaquants. Ce type d’incident rappelle que la rapidité d’exécution des pirates reste un facteur déterminant. Une fois l’accès obtenu, le temps de réaction des équipes de défense se compte souvent en minutes, rarement en heures.

Le cas Ledger et l’implant matériel non autorisé

Hors du strict périmètre trimestriel, l’actualité d’octobre a fourni une illustration supplémentaire du même risque. Ledger a annoncé avoir découvert un composant espion matériel non autorisé dans un appareil revendu par CryptoBilis, un revendeur d’Asie du Sud-Est. Les pertes associées tournent autour de 93 millions de dollars. Ce n’est plus seulement une question de logiciel. La chaîne d’approvisionnement physique elle-même peut être infiltrée.

Ce type d’attaque change la nature du problème. Un utilisateur peut acheter un portefeuille matériel en pensant disposer d’un dispositif sûr, alors qu’un composant malveillant a été inséré en amont. La confiance dans le revendeur, dans la logistique, dans le contrôle qualité devient aussi importante que la solidité cryptographique du matériel lui-même. Ledger a réagi en communiquant rapidement, mais le signal envoyé au marché est clair : même les acteurs les plus établis ne sont pas à l’abri des failles d’approvisionnement.

MediaMarkt a d’ailleurs suspendu la vente de certains portefeuilles matériels en Europe après la découverte d’un implant LTE. Ces décisions commerciales montrent que les conséquences dépassent largement le cadre technique. Elles touchent la distribution, la réputation et la confiance des utilisateurs finaux.

Pourquoi les audits traditionnels ne suffisent plus

La critique de Hacken ne se limite pas à constater les pertes. Elle pointe un problème structurel. Beaucoup d’entreprises s’appuient sur un audit réalisé plusieurs mois, voire plusieurs années auparavant. Or, l’environnement change. De nouvelles dépendances apparaissent. Des correctifs critiques sont publiés. Des composants tiers évoluent. Sans un suivi continu des vulnérabilités, l’audit initial perd rapidement de sa valeur.

Matiukhin insiste sur un autre point délicat. Une vulnérabilité critique est parfois classée comme faible par l’équipe concernée. L’installation du correctif est alors retardée, voire refusée. Ce biais d’évaluation interne constitue un danger réel. Les équipes techniques, sous pression pour livrer de nouvelles fonctionnalités, peuvent minimiser l’urgence d’un correctif qui n’affecte pas directement le code qu’elles maîtrisent.

La responsabilité, selon Hacken, doit clairement reposer du côté des entreprises qui détiennent des fonds clients. Elles doivent suivre les vulnérabilités et installer les correctifs rapidement, au lieu de se reposer sur un rapport d’audit ancien. Cette exigence n’est pas nouvelle, mais les chiffres du troisième trimestre lui donnent une urgence nouvelle.

Les plateformes de dérivés et de paris prédictifs sous surveillance

Hacken annonce par ailleurs une enquête à venir. Parmi douze plateformes de produits dérivés et de paris prédictifs examinées, deux grandes places détiennent plus de 700 millions de dollars derrière des dispositifs de signature à trois clés sur quatre, ou des clés d’administration aux détenteurs non identifiés publiquement. Le cabinet précise n’avoir trouvé aucune faille active dans les systèmes examinés. Il ne nommera pas les deux plateformes avant la publication complète de ses travaux.

Ce type de configuration soulève des questions de gouvernance. Une signature multi-clés est en théorie plus sûre qu’une clé unique. Mais si les détenteurs des clés ne sont pas clairement identifiés, ou si le schéma de signature reste opaque, la protection offerte reste relative. Les utilisateurs et les régulateurs pourraient exiger davantage de transparence dans les mois qui viennent.

Deux grandes places détiennent plus de 700 millions de dollars derrière des dispositifs de signature dont les détenteurs ne sont pas toujours identifiés publiquement.

Rapport trimestriel Hacken, octobre 2026

Cette annonce préfigure peut-être un nouveau cycle de pression sur les plateformes centralisées. Après les échanges et les protocoles DeFi, ce sont désormais les plateformes de dérivés et de marchés prédictifs qui entrent dans le viseur des auditeurs indépendants. La transparence des mécanismes de signature pourrait devenir un critère de confiance aussi important que le volume d’échanges ou la liquidité.

Une hausse de 55 % qui s’inscrit dans une tendance plus large

Le troisième trimestre 2026 marque une hausse de 55 % par rapport au trimestre précédent. Ce rebond intervient après une période où certains observateurs avaient cru déceler une amélioration relative de la sécurité. Les chiffres de Hacken montrent que l’optimisme était prématuré. Cent sept incidents ont été recensés. Même si tous n’atteignent pas les montants records de Bitget ou Liquid Network, leur accumulation crée un climat de méfiance durable.

Historiquement, les grandes vagues de piratages ont souvent suivi des phases d’expansion rapide de l’écosystème. Lorsque de nouveaux protocoles, de nouveaux ponts et de nouvelles plateformes se multiplient, la surface d’attaque s’élargit plus vite que la capacité d’audit. Le troisième trimestre 2026 semble illustrer ce schéma une fois de plus. Les montants en jeu ont augmenté, les acteurs sont plus sophistiqués, et les vecteurs d’attaque se sont déplacés vers la périphérie des systèmes.

Il faut aussi noter que les montants annoncés représentent souvent des estimations basses. Dans de nombreux cas, les plateformes communiquent des chiffres minimaux. Les pertes réelles, une fois les investigations terminées, peuvent s’avérer plus élevées. De plus, certains incidents restent partiellement confidentiels pendant des semaines, ce qui complique l’établissement d’un bilan exhaustif en temps réel.

Les conséquences pour les utilisateurs et les institutions

Pour l’utilisateur lambda, ces chiffres peuvent paraître lointains. Pourtant, ils ont des répercussions concrètes. Chaque incident majeur érode un peu plus la confiance. Les plateformes qui subissent des pertes importantes doivent souvent compenser leurs clients, parfois en puisant dans leurs réserves ou en levant de nouveaux fonds. Ces opérations ont un coût qui se répercute, à terme, sur l’ensemble de l’écosystème.

Les institutions et les fonds qui allouent une partie de leur capital aux actifs numériques regardent ces événements avec une attention croissante. Les exigences de due diligence se renforcent. Un projet qui ne peut pas démontrer un suivi continu des dépendances logicielles et des fournisseurs risque de voir ses portes se fermer auprès de certains investisseurs. La sécurité n’est plus seulement une question technique. Elle devient un critère d’allocation de capital.

Du côté des régulateurs, ces incidents fournissent des arguments supplémentaires pour justifier des cadres plus stricts. Les discussions autour de la responsabilité des plateformes, de la transparence des réserves et des obligations de reporting s’intensifient. Les événements du troisième trimestre 2026 alimenteront sans doute les prochaines négociations réglementaires, notamment en Europe et en Asie.

Ce que change réellement le rapport Hacken

Le principal apport du rapport n’est pas seulement le chiffre global. C’est le déplacement du centre de gravité de la menace. Pendant longtemps, la communauté a concentré ses efforts sur l’audit des contrats intelligents. Cette approche reste nécessaire, mais elle n’est plus suffisante. Les attaquants ont compris que les points d’entrée les plus rentables se trouvent souvent en dehors du code principal.

Les fournisseurs de logiciels, les outils de développement, les systèmes de signature et les chaînes d’approvisionnement matérielles constituent désormais des cibles privilégiées. Cette évolution oblige les projets à élargir radicalement leur périmètre de sécurité. Un audit de smart contract, aussi rigoureux soit-il, ne protège pas contre une dépendance compromise ou un correctif non appliqué.

Ces constats obligent à repenser les priorités. Les budgets de sécurité doivent désormais intégrer un suivi permanent des dépendances, une surveillance active des fournisseurs et une politique stricte de mise à jour. Les projets qui continueront à traiter la sécurité comme un exercice ponctuel plutôt que comme un processus continu s’exposent à des risques croissants.

Vers une nouvelle culture de la responsabilité

Hacken place clairement la responsabilité du côté des entreprises qui détiennent des fonds clients. Cette position n’est pas anodine. Elle s’oppose à une culture encore trop répandue où l’existence d’un audit passé suffit à clore le débat. La réalité des 1,18 milliard de dollars montre que cette attitude n’est plus tenable.

Les équipes doivent désormais traiter les correctifs de sécurité avec la même urgence que les fonctionnalités productives. Une vulnérabilité classée critique ne peut plus rester en attente pendant des semaines sous prétexte qu’elle n’affecte pas directement le code métier. Les délais de correction deviennent un indicateur de maturité aussi important que le nombre de lignes de code auditées.

Cette évolution culturelle prendra du temps. Elle exige des changements dans l’organisation des équipes, dans l’allocation des budgets et dans la communication avec les utilisateurs. Les plateformes qui réussiront cette transition gagneront un avantage concurrentiel. Celles qui tarderont s’exposeront à de nouveaux incidents et à une érosion progressive de leur base d’utilisateurs.

Les leçons pour les prochains trimestres

Le quatrième trimestre 2026 et l’année 2027 s’annoncent comme un test grandeur nature. Les attaquants ont démontré leur capacité à exploiter les faiblesses périphériques. Les défenseurs doivent maintenant prouver qu’ils peuvent adapter leurs méthodes. Plusieurs axes semblent prioritaires.

Premier axe : élargir systématiquement le périmètre des audits. Les contrats intelligents restent essentiels, mais les systèmes de signature, les portefeuilles, les outils de développement et les dépendances doivent entrer dans le champ d’analyse. Deuxième axe : mettre en place un suivi continu des vulnérabilités publiées. Un correctif critique non appliqué constitue aujourd’hui l’un des risques les plus élevés. Troisième axe : renforcer la transparence autour des mécanismes de gouvernance des clés. Les utilisateurs et les partenaires institutionnels exigeront de plus en plus de clarté sur qui détient réellement le contrôle des fonds.

Quatrième axe, souvent négligé : la formation des équipes internes. Beaucoup d’incidents trouvent leur origine dans une sous-estimation du risque. Une vulnérabilité jugée faible en interne se révèle critique une fois exploitée. Améliorer la capacité d’évaluation des risques reste un chantier permanent.

Enfin, la collaboration entre acteurs devient indispensable. Les informations sur les menaces circulent encore trop lentement. Les plateformes qui partagent rapidement les indicateurs de compromission permettent à l’ensemble de l’écosystème de se protéger. Cette culture du partage, encore embryonnaire dans certains segments, devra se développer si l’on veut freiner la progression des montants volés.

Un écosystème à la croisée des chemins

Les 1,18 milliard de dollars du troisième trimestre 2026 ne constituent pas seulement un record trimestriel. Ils marquent un basculement. La sécurité blockchain ne peut plus se limiter à l’analyse statique de contrats intelligents. Elle doit embrasser l’ensemble de la chaîne de valeur : fournisseurs, outils, correctifs, matériel et gouvernance des clés.

Les projets qui comprendront cette évolution et adapteront rapidement leurs pratiques sortiront renforcés. Les autres risquent de figurer dans les prochains rapports de pertes. L’industrie a déjà prouvé sa capacité à innover rapidement. Elle doit maintenant démontrer la même agilité dans le domaine de la défense.

Le rapport de Hacken, publié le 15 octobre, arrive à un moment où le marché regarde avec attention la solidité des infrastructures. Les investisseurs, les utilisateurs et les régulateurs attendent des preuves concrètes que les leçons des trimestres précédents ont été tirées. Les prochains mois diront si cette attente sera satisfaite ou si de nouveaux records de pertes viendront assombrir encore le tableau.

En attendant, une certitude s’impose. Les smart contracts ne sont plus le seul champ de bataille. Tout ce qui les entoure est désormais en première ligne. Et c’est peut-être là que se jouera la crédibilité future de l’ensemble de l’écosystème crypto.

Regarder au-delà des chiffres bruts

Derrière le milliard cent quatre-vingts millions de dollars se cachent des réalités humaines et organisationnelles. Des équipes techniques qui n’ont pas eu le temps d’appliquer un correctif. Des responsables qui ont jugé une vulnérabilité moins urgente qu’elle ne l’était. Des utilisateurs qui ont fait confiance à un badge d’audit sans vérifier son périmètre exact. Ces micro-décisions, multipliées à l’échelle de cent sept incidents, produisent des pertes massives.

Comprendre ces dynamiques est aussi important que de connaître les montants. Car tant que les processus internes ne changeront pas, les chiffres continueront de grimper. Le rapport de Hacken offre une photographie nette d’un problème structurel. À l’écosystème de décider s’il en tire les conséquences ou s’il attend le prochain trimestre pour constater une nouvelle hausse.

La sécurité n’est jamais un état définitif. C’est un processus permanent d’adaptation. Le troisième trimestre 2026 vient de le rappeler avec une clarté brutale. Les prochains mois montreront si ce rappel a été entendu.