Crypto : près d’un milliard de dollars volés début 2026

Les investisseurs crypto ont été dévalisés de près d’un milliard de dollars au cours du premier semestre 2026, et le rempart favori de l’industrie n’a presque rien pu faire pour l’empêcher.

Le cabinet de recherche en sécurité ack3 a confirmé 135 failles exploitées entre janvier et juin, totalisant 939,86 millions de dollars de pertes, soit une moyenne de 6,96 millions de dollars à chaque alerte. La firme a publié l’intégralité de son ensemble de données sur les incidents en libre accès, permettant de vérifier chaque chiffre ligne par ligne.

Une statistique devrait particulièrement inquiéter les détenteurs particuliers : parmi les fonds dérobés sur des projets audités, 94,4 % se sont envolés via du code ou des infrastructures que les auditeurs n’avaient jamais examinés. Le précieux label de sécurité couvrait la porte d’entrée, mais les voleurs sont passés par le quai de déchargement.

Les méga-braquages que les audits majeurs n’ont pas vus venir

Deux cyberattaques massives représentent l’essentiel du carnage, et aucune n’était due à un bug qu’un auditeur aurait manqué.

Le rsETH de Kelp DAO a subi une hémorragie de 292 millions de dollars en avril après que des attaquants ont falsifié un message cross-chain LayerZero en compromettant le vérificateur de message unique du protocole — un seul point de contrôle, sans sauvegarde.

Deux semaines plus tôt, le géant des perpétuels sur Solana, Drift, perdait 285 millions de dollars lorsque des opérateurs — liés à la Corée du Nord par les chercheurs — ont passé des mois à utiliser l’ingénierie sociale pour obtenir les clés d’administration. À eux deux, ces incidents cumulent 577 millions de dollars, soit environ 61 % de tout ce qui a été volé durant le semestre. Ce n’est pas une erreur de mathématiques, mais des clés brisées et une confiance trahie.

Ce schéma se répète dans tout le registre. Step Finance (40 millions $), Humanity Protocol (32 millions $) et le stablecoin USR de Resolv (24,5 millions $) ont tous été vidés via des clés privées compromises et des infrastructures de signature défaillantes. Le problème venait de l’humain, pas du smart contract. Les ponts cross-chain (bridges) ont été l’autre terrain de chasse privilégié, de Verus (11,5 millions $) à Syscoin (8 millions $) jusqu’à Taiko (1,7 million $).

Nulle part n’était sûr, pas même les valeurs sûres. Polymarket a été touché deux fois : un drainage de portefeuille interne de 700 000 $ en mai, puis une attaque de la chaîne d’approvisionnement front-end de 3,1 millions $ en juin qui a transformé son propre site Web en un outil de vol de portefeuilles.

CoW Swap a vu son domaine détourné. Et dans l’épisode le plus ironique du semestre, le redoutable bot MEV jaredfromsubway.eth, qui a passé des années à exploiter les traders particuliers, a lui-même été délesté de 7,5 millions de dollars par un jeton « honeypot ».

Les projets non audités n’ont pas fait mieux. Truebit a dû céder 26,4 millions de dollars à cause d’une erreur élémentaire d’« integer overflow » (dépassement d’entier) dans la tarification de son mint.

Un seul audit crypto ne suffit pas : les bons projets sont vérifiés régulièrement

Et dans les rares cas où les auditeurs avaient effectivement examiné le code exploité, les rapports étaient pour la plupart périmés ; 17 des 20 audits les plus pertinents dataient d’au moins six mois au moment où les hackers ont frappé.

S’exprimant sur l’inquiétante montée en puissance des outils d’IA, le PDG et fondateur d’Ack3, Josef Gattermayer, a déclaré :

Nos recherches montrent que les projets audités ont perdu 681 millions de dollars via des vecteurs d’attaque situés hors du périmètre d’audit identifié, ce qui représente 94 % de leurs pertes. Les examens de smart contracts restent essentiels, mais l’IA facilite la détection des faiblesses à travers les intégrations et permet de les combiner dans des attaques multi-composants. Les audits de sécurité doivent désormais couvrir l’ensemble du système.

Josef Gattermayer, Fondateur et PDG d’Ack3

La conclusion est d’une simplicité brutale. Le terme « audité » n’est qu’un mot marketing tant que vous ne posez pas trois questions : qu’est-ce qui a été examiné exactement, il y a combien de temps, et qui contrôle les clés aujourd’hui. Au premier semestre 2026, les réponses honnêtes étaient trop souvent : pas cette partie, il y a plus d’un an, et à une seule clé compromise de la catastrophe.

Les auditeurs peuvent lire chaque ligne de code. Ils ne peuvent pas lire dans l’esprit d’un développeur lorsqu’il clique sur un lien envoyé par les « RH ».