La DeFi a perdu 1,3 milliard de dollars à cause de piratages en 2026 et la même attaque fonctionne toujours

Des clés compromises, et non du code cassé, sont désormais à l'origine de la majorité des vols de crypto, et la Corée du Nord encaisse les chèques.

Huit mois dans l'année, et l'industrie de la crypto a déjà rejoué le même mode de défaillance assez de fois pour remplir un manuel. La surface d'attaque n'a pas changé. Les protocoles continuent de faire confiance à un petit nombre de clés, de signataires et de nœuds de vérification, et les attaquants continuent de constater qu'il est moins cher de compromettre une personne que de casser un contrat intelligent.

Les chiffres sont frappants. Le rapport Hack3d H1 2026 de CertiK et Forbes placent tous deux les pertes totales dues aux piratages de crypto à 1,3 milliard de dollars au premier semestre de l'année. TRM Labs est arrivé à un chiffre similaire, notant que les pertes tendaient à être juste en dessous de la barre du milliard de dollars pour la DeFi seule. Le classement rekt.news, qui suit les exploits individuels supérieurs à 3 millions de dollars, répertorie plus de 30 incidents depuis 2026, les deux plus importants représentant à eux seuls 575 millions de dollars.

Ce qui distingue 2026 des années précédentes n'est pas le montant en dollars. C'est la taxonomie des attaques. Les plus grands vols de l'année n'ont pas exploité de bugs de réentrance, de boucles de prêt flash ou de manipulation d'oracle. Ils ont exploité des personnes. L'ingénierie sociale, le détournement de session, le vol de clés de validateur et la capture de gouvernance entraînent désormais la majorité des pertes en valeur monétaire. Le code a passé tous les audits. Les humains autour ne l'ont pas fait.

Deux piratages, un même scénario, 575 millions de dollars envolés

Le moment décisif de l'année s'est produit dans une fenêtre de 18 jours entre le 1er avril et le 18 avril.

Le 1er avril, des attaquants ont vidé Drift Protocol de 285 millions de dollars en 128 secondes. Drift était le plus grand échange de perpétuels de Solana. L'exploit n'a pas touché une seule ligne de logique de contrat intelligent. Les attaquants avaient passé des mois à se faire passer pour une société de trading quantitatif, à assister à des conférences, à rencontrer des contributeurs de Drift en personne dans plusieurs pays, et à construire le genre de confiance sur laquelle cette industrie repose.

Au moment où ils ont frappé, ils avaient obtenu une autorité pré-signée du Conseil de sécurité de Drift en utilisant un nonce durable, une fonctionnalité légitime de Solana. Ils ont mis sur liste blanche un jeton sans valeur appelé CVT, ont déposé 500 millions de celui-ci comme garantie contre un faux oracle qu'ils contrôlaient depuis trois semaines, et ont retiré 285 millions de dollars en USDC, SOL et ETH.

L'audit de Neodyme de 2024 avait signalé le mécanisme exact. Le rapport notait que les instructions admin comme InitializeSpotMarket acceptaient un compte oracle sans aucune validation. Il a été classé comme informatif, raisonnant que seul l'admin pouvait l'appeler. Deux ans plus tard, la clé admin était entre de mauvaises mains, et la constatation informative est devenue une sortie à neuf chiffres.

Dix-sept jours plus tard, le 18 avril, KelpDAO a perdu 290 millions de dollars via son pont LayerZero. La méthode était entièrement différente. Pas de circuit de conférences, pas de faux bureau de négociation. Quelqu'un a fait de l'ingénierie sociale sur un développeur de LayerZero Labs le 6 mars, a volé ses clés de session, et a utilisé cet accès pour empoisonner l'infrastructure RPC alimentant le réseau de vérificateurs de LayerZero. Les nœuds externes ont été mis hors ligne par des attaques DDoS. Les nœuds compromis restants ont signé un message inter-chaînes falsifié, et le pont a frappé 116 500 rsETH non adossés.

Les rsETH volés ont été directement déposés sur Aave comme garantie, ont emprunté du WETH réel contre eux-mêmes, et ont été retirés avant que le multisig d'urgence ait réuni suffisamment de signatures pour suspendre. La valeur totale verrouillée d'Aave a chuté de 6,28 milliards de dollars en 48 heures. Neuf protocoles ont gelé leurs marchés. Le Conseil de sécurité d'Arbitrum a utilisé ses pouvoirs d'urgence pour saisir 30 766 ETH du portefeuille de l'attaquant sur la chaîne, une décision qui a divisé l'opinion presque autant que l'exploit lui-même.

Les deux piratages ont passé leurs audits. Les deux équipes avaient suivi les pratiques de sécurité standard. Les deux ont tout perdu à cause d'une seule clé compromise.

La chaîne de montage de Lazarus

Les enquêteurs ont lié Drift et KelpDAO à TraderTraitor, un sous-groupe du groupe Lazarus de Corée du Nord. Mandiant, CrowdStrike, Elliptic et LayerZero ont conjointement confirmé l'attribution de KelpDAO. Elliptic a lié Drift à la même unité avec une confiance moyenne à élevée.

Ce n'est pas nouveau. Lazarus était derrière le piratage de Bybit de 1,5 milliard de dollars en février 2025, identifié par l'enquêteur on-chain ZachXBT en quelques heures. Avant cela, le même groupe a frappé Radiant Capital, le pont Ronin, WazirX et le pont Horizon de Harmony entre 2022 et 2024. Le Trésor américain, le FBI et la CISA ont tous publié des avis conjoints nommant le groupe et ses tactiques.

Ce qui a changé en 2026, c'est la sophistication de la couche d'ingénierie sociale. Les attaquants de Drift ont construit des relations sur des mois. Les attaquants de KelpDAO ont ciblé les identifiants de session d'un développeur spécifique. Dans les deux cas, la brèche initiale s'est produite par la confiance, pas par la technologie. L'exploitation technique n'a commencé qu'après que la couche humaine était déjà compromise.

Ronghui Gu de CertiK l'a dit clairement dans une interview avec Forbes : « Un protocole peut passer un audit de code impeccable et perdre quand même des millions à cause d'une clé admin compromise. » Cette citation ressemble maintenant plus à une étiquette d'avertissement qu'à une observation.

Bybit a depuis poursuivi la Corée du Nord, son agence de renseignement et le groupe Lazarus devant un tribunal fédéral américain, essayant de récupérer des actifs du piratage de 1,5 milliard de dollars. La théorie juridique est nouvelle, mais elle souligne à quel point les victimes ont peu d'options lorsque l'attaquant est un État souverain.

Les chiffres sont inconfortables. Drift (285 millions de dollars) plus KelpDAO (290 millions de dollars) équivaut à 575 millions de dollars provenant d'un seul acteur de menace en 18 jours. Par rapport à un total de pertes de 1,3 milliard de dollars en 2026, Lazarus représente au moins 44 % de tous les fonds volés. Si vous incluez le piratage de Bybit de fin février 2025, le total sur 18 mois du groupe dépasse 2 milliards de dollars.

Les ponts continuent de casser de la même manière

Les ponts sont le ventre mou de la crypto. Ils le sont depuis le piratage du pont Ronin en 2022 (624 millions de dollars), le piratage de Wormhole (326 millions de dollars) et le piratage de Nomad (190 millions de dollars). Quatre ans plus tard, le schéma n'a pas changé.

En 2026, les exploits de ponts incluent KelpDAO (290 millions de dollars, compromission d'un seul vérificateur), AFX Trade (24,15 millions de dollars, cinq signatures de validateurs compromises sur un pont USDC d'Arbitrum) et VerusCoin (19,14 millions de dollars sur deux exploits distincts du même pont Ethereum en mai et juillet). Le bug de sous-dépassement Cosmos EVM a frappé trois chaînes en succession rapide : MANTRA (3,6 millions de dollars), TAC (7,5 millions de dollars) et KiiChain (9,7 millions de dollars), tous via la même vulnérabilité de rejeu de reçus inter-shards.

Le fil conducteur est la vérification. Les ponts doivent confirmer qu'un message ou une transaction sur une chaîne est valide avant de l'exécuter sur une autre. Cette confirmation repose presque toujours sur un petit ensemble de signataires, de validateurs ou de nœuds oracle. Compromettez-en suffisamment, et le pont fait exactement ce pour quoi il a été conçu : libérer des fonds sur la chaîne de destination en réponse à ce qu'il croit être une demande légitime de la chaîne source.

AFX Trade est une étude de cas sur la minceur des marges. Le 22 juillet, cinq signatures de validateurs compromises ont atteint le quorum des deux tiers sur son pont Arbitrum, drainant 24,15 millions de dollars en USDC. L'attaquant a déplacé les fonds vers Ethereum, les a échangés contre 12 467,5 ETH, et les a consolidés dans un seul portefeuille. Tout cela s'est produit 49 jours après qu'AFX ait fièrement promu un audit de sécurité de Zellic. Cet audit documentait une couverture de test nulle et laissait des reconnaissances non corrigées. La fenêtre de contestation sur le pont était de 200 secondes. Il n'a rien contesté.

Le pont VerusCoin a été frappé deux fois : 11,6 millions de dollars en mai, puis 7,54 millions de dollars en juillet. Même pont, différentes failles dans la même frontière de confiance brisée. La deuxième fois, il n'y a eu aucune déclaration, aucune offre de prime, aucune communication du tout.

La solution est connue mais rarement appliquée. Les configurations multi-validateurs, où un pont exige une confirmation de plusieurs réseaux de vérification indépendants avant de libérer des fonds, auraient arrêté à la fois les exploits de KelpDAO et d'AFX Trade. LayerZero a publiquement blâmé KelpDAO pour avoir utilisé une configuration à validateur unique. KelpDAO a répliqué avec des données de Dune montrant que 47 % de tous les contrats OApp de LayerZero, plus de 1 200 d'entre eux, utilisent exactement la même configuration. Sur deux ans et demi et huit conversations d'intégration documentées, KelpDAO affirme que LayerZero a examiné sa configuration à chaque fois et n'a soulevé aucune objection.

C'est le vrai scandale. La solution existe. L'infrastructure la prend en charge. Presque personne ne l'utilise.

Les audits vérifient la mauvaise surface

Rekt.news a publié un éditorial en juillet 2026 intitulé « Wrong Attack Surface » qui a cristallisé ce que les exploits de l'année avaient crié : les plus grandes pertes ont toutes réussi leurs audits parce que les auditeurs vérifiaient le code, et le code était bon.

CredShields l'a dit directement dans son post-mortem de Drift : la surface d'attaque s'est déplacée « vers le haut de la pile, vers la gouvernance, les signataires et les personnes qui construisent les protocoles eux-mêmes ».

Les audits de contrats intelligents traditionnels examinent Solidity ou Rust pour détecter les réentrances, les dépassements et les bugs de contrôle d'accès. Ils n'examinent pas les pratiques de sécurité opérationnelle, les procédures de gestion des clés, la résilience à l'ingénierie sociale, ni l'infrastructure hors chaîne qui alimente les contrats sur chaîne. L'exploit de KelpDAO s'est produit dans l'infrastructure RPC de LayerZero, qui se trouvait en dehors de tout périmètre d'audit. L'exploit de Drift s'est produit par ingénierie sociale qui a compromis une clé d'administration, ce qu'aucun audit de code n'est conçu pour détecter.

L'exploit de Coldcard est l'exemple le plus extrême. Le 30 juillet 2026, des attaquants ont commencé à drainer des portefeuilles Bitcoin sécurisés par des dispositifs matériels Coldcard. Un bug du firmware avait remplacé le générateur de nombres aléatoires matériel par un repli logiciel prévisible, réduisant l'entropie des graines de portefeuille à une plage brute-forçable. Pas de phishing, pas de malware, pas d'appareil volé. Les attaquants ont exécuté les calculs sur leurs propres machines, dérivé des adresses candidates, les ont comparées à la blockchain publique et ont extrait les clés privées gratuitement.

Galaxy Research a retracé la première vague à 1 082,65 BTC volés sur 1 196 adresses en 41 minutes. Au 7 août, le décompte à haute confiance avait atteint 1 596 BTC provenant d'environ 7 300 adresses, avec des estimations incluant les candidats dépassant 2 055 BTC, soit environ 130 millions de dollars. Plus de 25 modèles d'attaque distincts ont été identifiés. Au moins 15 attaquants indépendants ont exploité la même faille.

Coinkite, le fabricant de Coldcard, a publié un avis préliminaire le même jour et le PDG NVK a présenté des excuses publiques. Mais une mise à jour du firmware ne pouvait pas réparer les portefeuilles dont les graines avaient déjà été générées avec l'entropie cassée. Ces graines devaient être entièrement remplacées.

L'incident de Coldcard n'est pas un piratage DeFi au sens traditionnel. C'est quelque chose de pire : la preuve que le problème des clés compromises est plus profond que la gouvernance des protocoles. Même les utilisateurs qui ont fait tout ce que le manuel de l'auto-conservation recommande, portefeuille matériel, signature hors ligne, aucune garde tierce, ont perdu des fonds parce que la génération des clés elle-même était défectueuse.

Ce qui corrige réellement ce problème

La réponse ennuyeuse est la bonne. Le schéma d'exploitation de 2026 présente trois points de défaillance, et chacun a une atténuation connue que la plupart des protocoles n'ont pas adoptée.

Gestion des clés : Les portefeuilles à calcul multipartite (MPC) et les modules de sécurité matériels (HSM) avec signature à seuil éliminent le risque de clé unique qui a permis le piratage de Drift. Les délais de temporisation sur les actions administratives, combinés à une surveillance en chaîne qui alerte lorsque des transactions privilégiées sont mises en file d'attente, donnent aux équipes de sécurité une fenêtre pour réagir. Le drain de 128 secondes de Drift a fonctionné car il n'y avait aucun délai entre la compromission de la clé et l'extraction des fonds.

Vérification des ponts : Les configurations multi-vérificateurs, où deux ou plusieurs réseaux de vérification indépendants doivent être d'accord avant qu'un pont ne libère des fonds, sont la réponse directe à la défaillance du vérificateur unique de KelpDAO. LayerZero prend en charge cela nativement. Le fait que 47 % de ses applications utilisent encore des configurations à vérificateur unique est un problème de configuration, pas un problème technologique.

Sécurité opérationnelle : Aucun audit de code ne peut protéger contre l'ingénierie sociale. Les protocoles gérant un TVL à neuf chiffres ont besoin de programmes de sécurité opérationnelle dédiés : authentification renforcée par matériel pour tout accès privilégié, exigences de multi-signature obligatoires qui ne peuvent pas être contournées par un seul signataire, et formation à la sécurité qui traite l'ingénierie sociale comme un vecteur de menace principal.

Le bug de sous-flux Cosmos EVM offre une leçon différente. Cosmos Labs connaissait le bug depuis avril 2026 mais a mal évalué sa gravité. Lorsqu'il a finalement été exploité sur MANTRA, TAC et KiiChain en août, les trois chaînes se sont arrêtées trop tard. Les fonds avaient déjà été pontés. La divulgation responsable ne fonctionne que si les destinataires traitent la divulgation avec urgence.

L'attaque de gouvernance de Term Labs (8,5 millions de dollars, août 2026) pointe vers une autre lacune. Une participation électorale quasi nulle a permis à un portefeuille de prendre le contrôle des coffres du protocole à un coût minimal, contournant entièrement le délai de gouvernance. Quand personne ne vote, la gouvernance n'est qu'une autre surface d'attaque. Les exigences de quorum, les périodes de verrouillage des votes et les mécanismes de gardien qui peuvent opposer leur veto aux propositions suspectes pendant une fenêtre de révision sont des outils standard que Term Labs n'avait pas mis en œuvre.

Ce qu'il faut surveiller

La seconde moitié de 2026 déterminera si l'industrie traite ces échecs comme des leçons ou comme des coûts tolérables de faire des affaires. Cinq indicateurs raconteront l'histoire :

Taux d'adoption multi-vérificateurs sur LayerZero : Si le pourcentage d'OApps à vérificateur unique diminue significativement de 47 % d'ici la fin de l'année, la leçon de KelpDAO a été retenue. S'il reste stable, attendez-vous à une répétition.

Adoption de la temporisation sur les clés administratives : Surveillez les protocoles au-dessus de 100 millions de dollars de TVL mettant en œuvre des délais obligatoires sur les transactions privilégiées. Le drain de 128 secondes de Drift devrait rendre cela non négociable.

Attribution du groupe Lazarus dans de nouvelles exploitations : Le Trésor américain, Chainalysis et TRM Labs suivent tous l'activité de Lazarus. Toute nouvelle attribution à TraderTraitor signale que le pipeline d'ingénierie sociale du groupe reste opérationnel.

Adoption du correctif Cosmos EVM sur les chaînes IBC : Le bug de sous-flux a touché trois chaînes. Des dizaines d'autres exécutent le même code. La vitesse de correction dans l'écosystème Cosmos montrera si la coordination inter-chaînes s'est améliorée.

Paiements et capacité des protocoles d'assurance : Les fournisseurs d'assurance en chaîne comme Nexus Mutual et Sherlock ont absorbé des réclamations importantes au premier semestre 2026. Si la capacité de souscription diminue ou si les primes grimpent, cela signale que le marché intègre des attaques continues aux niveaux actuels.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les investissements en cryptomonnaies comportent des risques importants. Effectuez toujours vos propres recherches avant de prendre des décisions d'investissement. Les informations sont exactes au 4 septembre 2026.