Pourquoi la DeFi continue de perdre des millions à cause des exploits

C'est l'une des pires années jamais enregistrées pour les piratages de DeFi, et nous sommes à peine à la moitié du chemin.

Au cours des cinq premiers mois de 2026, plus de 840 millions de dollars ont été perdus à cause de piratages DeFi—avril représentant à lui seul plus de 600 millions de dollars volés, mené par deux des plus grandes attaques de l'année : l'exploit de KelpDAO de 292 millions de dollars et la violation du protocole Drift de 285 millions de dollars.

Les pertes se sont poursuivies en mai, avec THORChain qui a suspendu les échanges après que des chercheurs en sécurité ont signalé un exploit inter-chaînes suspect affectant plus de 10 millions de dollars.

TrustedVolumes, Echo Protocol, Step Finance, Truebit, Resolv Labs, Volo Protocol, Rhea Finance, le pont Verus-Ethereum, et bien d'autres complètent une liste de victimes qui ressemble à un test de résistance de toutes les hypothèses de confiance sur lesquelles repose la DeFi, selon les données de DeFiLlama.

Les experts à qui Decrypt a parlé s'accordent globalement sur le diagnostic selon lequel les récents piratages DeFi exposent des faiblesses structurelles à travers les ponts et les systèmes d'administration, tandis que les progrès de l'IA pourraient aider les attaquants à trouver plus rapidement les vulnérabilités.

Natalie Newson, enquêtrice principale en blockchain chez la plateforme de sécurité Web3 CertiK, a déclaré à Decrypt que bien qu'avril ait été exceptionnellement sévère pour les exploits de crypto-monnaies, la tendance générale reste plus stable et en dessous du nombre maximal d'incidents observé en 2023.

« Avril 2026 a été un mauvais mois pour les exploits de crypto ; il n'y a eu que trois jours sans exploit où au moins 10 000 $ ont été volés », a-t-elle déclaré.

« Cependant, lorsque nous examinons la situation dans son ensemble, le nombre d'incidents (hors hameçonnage) a sans doute été assez constant et reste inférieur au pic de 2023 », a noté Newson, ajoutant que la gravité d'avril a été provoquée par 14 exploits ayant dépassé 1 million de dollars de pertes, juste derrière les 16 de septembre 2025.

Le facteur Corée du Nord

Ari Redbord, responsable mondial de la politique et des affaires gouvernementales chez TRM Labs, a déclaré à Decrypt que cette flambée remonte à un seul acteur étatique qui est passé d'acteur marginal à menace déterminante en cinq ans.

« Le principal moteur est la Corée du Nord, et cette campagne devient plus précise, pas plus large », a déclaré Redbord, notant que les acteurs liés à la Corée du Nord représentaient 76 % des pertes mondiales dues aux piratages de crypto au cours des quatre premiers mois de 2026, contre 64 % en 2025 et moins de 10 % en 2020.

« La Corée du Nord n'utilise pas seulement la technologie pour attaquer l'espace, mais aussi une ingénierie sociale sophistiquée et bien planifiée », a-t-il déclaré.

Le plus grand piratage DeFi de l'année jusqu'à présent a frappé KelpDAO le 18 avril, lorsque des attaquants ont drainé environ 116 500 rsETH, d'une valeur d'environ 292 millions de dollars, d'un pont inter-chaînes.

LayerZero, dont l'infrastructure de messagerie sous-tendait le pont, a déclaré dans le dernier rapport post-mortem que l'attaque a commencé le 6 mars, lorsqu'un développeur a été victime d'ingénierie sociale et que des clés de session ont été récoltées.

Le protocole de messagerie inter-chaînes a déclaré que l'attaque a été attribuée par Mandiant, CrowdStrike et des chercheurs indépendants à l'acteur menaçant de la RPDC TraderTraitor, également connu sous le nom d'UNC4899.

La raison structurelle pour laquelle la DeFi continue d'encaisser les coups, a ajouté Redbord, tient à l'endroit où se trouve l'argent et à la manière dont il circule.

« La complexité inter-chaînes de la DeFi en fait un environnement riche en cibles : les ponts produisent systématiquement les plus grandes pertes en un seul incident, et les modes de défaillance se répètent avec une constance frappante parce que le problème fondamental est architectural », a-t-il noté.

Schémas récurrents

Raz Niv, cofondateur et CTO de la plateforme de sécurité onchain Blockaid, a déclaré à Decrypt que trois schémas techniques reviennent sans cesse dans les plus grands incidents de l'année : les défaillances de contrôle d'accès privilégié, les mises à niveau de proxy malveillantes où les attaquants remplacent les contrats d'implémentation par des versions piégées, et les lacunes dans la vérification des messages inter-chaînes.

Sur l'accès privilégié, Niv a déclaré que l'entreprise surveille les « événements anormaux de type "Rôle accordé" et l'escalade de privilèges non autorisée », avec des incidents comme l'exploit du protocole Echo remontant à des clés admin compromises ou mal configurées.

« Les attaquants soit utilisent l'ingénierie sociale pour obtenir les clés privées, soit exploitent des seuils de multisig mal conçus », a-t-il ajouté.

Il a souligné les défaillances impliquant les contrôles d'accès privilégié, les mises à niveau de proxy malveillantes et les systèmes de vérification inter-chaînes, affirmant que les attaques récentes exposent des faiblesses plus profondes dans les hypothèses reliant des infrastructures de plus en plus complexes.

« Le fil conducteur n'est pas la complexité en soi », a déclaré Niv. « C'est que chaque couche d'abstraction (proxies, rôles admin, messagerie inter-chaînes) introduit des hypothèses de confiance que les attaquants sondent méthodiquement. »

Influence de l'IA

Niv a déclaré que l'IA transforme de plus en plus la découverte d'exploits, bien qu'il ait averti que son impact est souvent mal compris.

Les modèles actuels deviennent de plus en plus efficaces pour identifier les vulnérabilités connues à grande échelle et « automatisent ce que font les auditeurs qualifiés », a-t-il dit, tout en avertissant que « la vraie préoccupation n'est pas que l'IA remplace les attaquants humains » mais que l'IA « amplifie les attaquants » en gérant la reconnaissance et en leur permettant de se concentrer sur des techniques plus sophistiquées.

« La bonne nouvelle, c'est que les défenseurs peuvent utiliser les mêmes outils. La surveillance et la simulation assistées par IA deviennent essentielles pour les équipes de sécurité qui tentent de suivre le rythme », a ajouté Niv.

Dans le cas de la recrudescence des piratages de la DeFi, Newson a souligné une tendance similaire, déclarant qu'« un facteur qui contribue probablement, bien que non exclusif, est les progrès de l'IA. »

Elle a ajouté que CertiK a constaté une augmentation de l'exploitation de contrats plus anciens et non vérifiés, ce qui rend « l'hypothèse logique que l'IA aide à trouver des vulnérabilités ».

De même, Redbord a déclaré que « les acteurs malveillants déploient l'IA à grande échelle » dans la reconnaissance, l'ingénierie sociale et la conception d'exploits, ajoutant que la sophistication observée dans des attaques comme celle de Drift semble « cohérente avec des flux de travail assistés par l'IA ».

Les analystes de TRM pensent que les opérateurs nord-coréens intègrent de plus en plus d'outils d'IA dans leurs opérations, avec lui disant : « la réponse est de déployer l'IA en défense avec la même agressivité que les adversaires la déploient en attaque ».

Au-dessus du code

Redbord a déclaré que les piratages DeFi sont « un problème soluble », mais a déclaré que l'industrie doit être plus honnête sur l'endroit où les échecs se produisent réellement.

Il a noté que « les audits protègent contre les bugs de code » mais pas contre les campagnes sophistiquées d'ingénierie sociale comme Drift, où des proxys nord-coréens auraient passé des mois à cultiver l'accès avant la brèche.

« Le modèle qui fonctionne est la coordination public-privé en temps réel », a ajouté l'expert.

Newson a déclaré que 2026 pourrait représenter « un tournant évolutif », affirmant que l'industrie apprend que la cybersécurité est un « problème de pile complète » couvrant « l'IA, la RPDC, ou les infrastructures et le personnel ».

« Peu importe la perfection de vos mathématiques sur la chaîne si vos processus humains hors chaîne sont vulnérables », a-t-elle déclaré, notant que l'industrie se tourne de plus en plus vers des « solutions pratiques et structurelles » pour traiter les risques d'infrastructure et d'ingénierie sociale.

Confiance en berne

Les dommages à la confiance dans l'espace DeFi sont plus difficiles à quantifier mais faciles à observer.

L'exploit de Kelp DAO a déclenché une vague de retraits de 6,2 milliards de dollars de Aave seul, avant qu'un effort de secours mené par le PDG d'Aave, Stani Kulechov, surnommé « DeFi United », ne lève 132 650 ETH d'une valeur d'environ 303 millions de dollars pour couvrir la mauvaise créance.

La réponse coordonnée montre que l'industrie peut se mobiliser. Cela montre aussi combien de capital il faut pour masquer un seul exploit de pont.

Newson a déclaré que les répercussions dépendent entièrement de qui est affecté.

« Les vétérans chevronnés de l'industrie peuvent considérer les six dernières semaines comme une formalité — simplement la prochaine norme évolutive et une expérience difficile à apprendre », a-t-elle déclaré.

Elle a noté que l'impact des exploits répétés semble très différent pour les nouveaux participants au marché, avertissant que pour les utilisateurs qui perdent des fonds importants, les répercussions ne sont pas une « expérience d'apprentissage » mais soulèvent des « questions existentielles » sur la « viabilité et la sécurité » à long terme de la cryptomonnaie, les correctifs techniques arrivant souvent trop tard pour réparer les dégâts.