Le troisième trimestre 2026 a vu des hackers dérober 1,18 milliard de dollars dans le secteur crypto, soit +55 % sur le trimestre précédent. Selon Hacken, 77 % des pertes proviennent de fournisseurs compromis ou de correctifs non appliqués, révélant les limites des audits de sécurité.
Selon le cabinet de cybersécurité Hacken, les hackers ont escroqué 1,18 milliard de dollars à des projets crypto au troisième trimestre 2026, soit une hausse de 55 % par rapport au trimestre précédent. Sur les 107 incidents recensés, 77 % des pertes sont liées à des fournisseurs ou à des outils de développement compromis, ou à des correctifs de sécurité publiquement disponibles mais non installés. Le rapport met en garde contre les badges d’audit qui, selon Hacken, donnent aux investisseurs une fausse impression de protection. (Source : CoinDesk)
Hackers dépouillent le secteur crypto de 1,18 milliard de dollars au T3, +55 % sur le trimestre précédent
Le chiffre de 1,18 milliard de dollars représente la somme totale volée lors de 107 attaques distinctes entre juillet et septembre 2026, selon le rapport de Hacken publié le 18 octobre. Cette perte dépasse largement les 760 millions de dollars enregistrés au deuxième trimestre, marquant ainsi une progression de 55 %. La hausse s’explique en partie par l’intensification des attaques ciblant les tiers et les infrastructures de support, qui ne sont pas toujours couverts par les audits traditionnels. Le rapport souligne que la plupart des victimes sont des projets qui affichent pourtant un badge d’audit, créant un faux sentiment de sécurité parmi les investisseurs.
Le même rapport indique que les pertes liées aux fournisseurs et aux outils de développement s’élèvent à 906,8 millions de dollars, soit plus de 77 % du total des pertes du trimestre. Ces montants proviennent de failles dans des composants qui n’ont pas été inclus dans les dernières revues de sécurité, comme les portefeuilles, les systèmes de signature ou les bibliothèques tierces. Hacken estime que la portée limitée des audits rend les projets vulnérables aux attaques qui exploitent des points d’entrée hors du champ d’analyse. (Source : CoinDesk)
Les audits ne couvrent que les smart contracts, laissant hors de portée portefeuilles et fournisseurs
« The problem is always scope. » a déclaré Andrii Matiukhin, co‑fondateur et administrateur de Hacken, lors d’une interview avec CoinDesk. En français, il précise que « Le problème réside toujours dans la portée. » Cette remarque souligne que les audits se concentrent souvent sur les smart contracts, négligeant les couches d’infrastructure qui manipulent réellement les fonds. Selon Hacken, les équipes de projets réduisent volontairement le périmètre d’audit pour limiter les coûts, ce qui crée des zones d’ombre exploitées par les hackers.
« Usually, when a customer sees a new project, they see an audit badge, assume the whole system is covered, and lose money through a key, a supplier, or a setting that was never tested. » traduit par « En général, lorsqu’un client découvre un nouveau projet, il voit le badge d’audit, suppose que l’ensemble du système est couvert, et perd de l’argent à cause d’une clé, d’un fournisseur ou d’un paramètre qui n’a jamais été testé. » Cette citation montre que la confiance accordée aux badges d’audit peut être dangereusement mal placée, surtout lorsque les audits n’incluent pas les composants critiques hors du code des contrats intelligents.
Les fournisseurs compromis représentent 77 % des pertes, soit 906,8 millions de dollars
Le rapport de Hacken détaille que 77 % des pertes du T3 sont attribuées à des fournisseurs ou à des outils de développement vulnérables. Parmi les 1,18 milliard de dollars perdus, 906,8 millions proviennent de ces vecteurs d’attaque, tandis que le reste résulte d’exploits directs sur les plateformes elles‑mêmes. Cette dynamique indique que la sécurisation des chaînes d’approvisionnement logicielles est désormais le maillon le plus critique pour les projets crypto.
Hacken souligne que de nombreux développeurs n’appliquent pas les correctifs de sécurité publiés, même lorsqu’ils sont largement diffusés. Les audits, qui se limitent souvent à des revues de code statique, ne détectent pas les configurations erronées ou les dépendances obsolètes. Le constat est que la plupart des incidents surviennent après que des correctifs disponibles n’ont pas été déployés, transformant ainsi une vulnérabilité connue en porte d’entrée pour les cybercriminels.
Le plus gros cambriolage : l’attaque de Bitget, 352 millions de dollars via une faille tierce
Le plus important des incidents du trimestre a été l’attaque contre la plateforme d’échange Bitget, qui a entraîné une perte d’au moins 352 millions de dollars. Les hackers ont exploité une vulnérabilité dans un produit de sécurité tiers, leur permettant d’accéder à l’infrastructure de retrait de la bourse. Cette attaque illustre parfaitement le risque lié aux dépendances à des fournisseurs de sécurité externes, qui ne sont pas toujours couverts par les audits internes.
Selon le rapport, la faille exploitée était un composant logiciel qui n’avait pas été revu dans le dernier audit de Bitget, soulignant à nouveau l’importance de la portée des revues de sécurité. L’incident a provoqué une onde de choc sur le marché des exchanges, avec une chute immédiate des prix de plusieurs tokens associés à Bitget et une augmentation des volumes de retrait sur d’autres plateformes, alors que les investisseurs cherchaient à sécuriser leurs fonds.
Autres incidents majeurs : Ledger, ponts cross‑chain et AFX Trade
En plus de Bitget, le rapport mentionne trois catégories d’incidents distinctes. Premièrement, le fabricant de portefeuilles matériels Ledger a découvert un implant matériel non autorisé dans un dispositif vendu par le revendeur CryptoBilis en Asie du Sud‑Est, entraînant des pertes estimées à 93 millions de dollars. Deuxièmement, trois ponts et protocoles cross‑chain ont perdu plus de 35 millions de dollars lors d’une exploitation de six heures en juillet. Enfin, la plateforme AFX Trade a été victime d’un vol de 24 millions de dollars, les attaquants ayant exploité une faiblesse dans la configuration de la passerelle de retrait.
Ces incidents montrent que les vulnérabilités ne sont pas limitées aux exchanges, mais s’étendent aux infrastructures de stockage, aux solutions de pont inter‑chaînes et aux services de trading. Chaque cas implique des éléments qui échappent souvent aux audits traditionnels, comme les composants matériels, les logiciels tiers ou les configurations réseau. Hacken conclut que la diversification des vecteurs d’attaque rend la protection globale du secteur crypto particulièrement complexe.
Perspectives pour les acteurs du marché et les régulateurs
Face à ces constats, Hacken recommande aux projets crypto d’élargir la portée de leurs audits pour inclure les portefeuilles, les systèmes de signature et les dépendances tierces. Le cabinet suggère également d’instaurer des programmes de bug‑bounty continus et de mettre en place des processus de mise à jour automatique des correctifs de sécurité. Ces mesures viseraient à réduire la part de pertes attribuables à des fournisseurs compromis, qui représente aujourd’hui plus de trois quarts du total du T3.
Les régulateurs, notamment aux États‑Unis et en Europe, pourraient renforcer les exigences de transparence autour des audits, en obligeant les projets à divulguer le périmètre exact de chaque revue. Une telle exigence permettrait aux investisseurs de mieux évaluer le niveau de protection réel, évitant ainsi la confiance aveugle dans les simples badges d’audit. (Source : CoinDesk)
Cet article vous a-t-il été utile ?
