Les pertes des échanges centralisés et de la DeFi dominent les hacks crypto de 2026 malgré les échecs des portefeuilles matériels

Les hacks crypto ont engendré environ 2,35 milliards de dollars de pertes nettes jusqu'à présent en 2026 après gel et retours, selon un rapport de Lightning.news partagé avec Bitcoin Magazine. Un chercheur en sécurité nommé Stacy Muur a publié sur X une "liste de protocoles qui ont été piratés pour plus de 50 000 dollars en 2026." 230 protocoles depuis le début de l'année. "La sécurité crypto est absolument cuite." Rien qu'en septembre, environ 768 millions de dollars figuraient dans le décompte de Muur, principalement en raison des échanges centralisés et de la DeFi, plutôt que des portefeuilles matériels de garde personnelle de Bitcoin, qui avaient reçu une couverture médiatique significative à l'époque.

La plus grande perte unique a été le drain de Bitget le 24 septembre d'environ 387,5 millions de dollars provenant de portefeuilles chauds et tièdes. L'échange et des entreprises telles que Chainalysis, Elliptic et TRM Labs ont lié l'incident à la Corée du Nord, citant des modèles IP cohérents avec l'utilisation antérieure de VPN liés à la RPDC, des chevauchements en chaîne avec des portefeuilles liés à des activités antérieures du groupe Lazarus et de TraderTraitor, y compris le vol de Bybit en 2025. Les attaquants ont utilisé des produits de sécurité tiers pour injecter des commandes de retrait frauduleuses sans prendre de clés privées.

Le Liquid Network, la sidechain Bitcoin de Blockstream, a subi le deuxième plus gros coup lorsque des attaquants ont exploité un bug logiciel d'Elements au début de septembre pour frapper environ 4 000 L-BTC non soutenus et les échanger contre environ 4 000 vrais bitcoins, évalués à près de 320 millions de dollars à l'époque. Les acteurs auto-désignés comme des chapeaux blancs ont restitué 3 400 BTC après des négociations menées en chaîne via des messages OP_RETURN et ont conservé environ 600 BTC. Aucune clé de fédération n'a été compromise. La perte provenait d'un type de bug d'inflation sur le protocole du réseau Liquid.

Samson Mow a ensuite qualifié cet épisode de partie d'une "avalanche d'attaques assistées par l'IA" qui avait déjà atteint d'autres logiciels adjacents à Bitcoin avant de frapper Liquid. Le réseau est de nouveau opérationnel maintenant, ayant couvert les pertes, présumément grâce aux investisseurs.

Les plateformes DeFi ont montré le même schéma de pertes concentrées et de haute valeur. Drift Protocol a perdu environ 285 à 296 millions de dollars lors d'un compromis de gouvernance et de multisig en avril qui a impliqué des mois d'ingénierie sociale. Une enquête commandée par le projet a attribué l'opération à des acteurs nord-coréens.

Le pont rsETH alimenté par LayerZero de KelpDAO a été drainé d'environ 292 millions de dollars en tokens non soutenus après qu'un design à vérificateur unique a été subverti. LayerZero a déclaré que les indicateurs préliminaires pointaient vers le groupe Lazarus de la RPDC, spécifiquement TraderTraitor.

Tectonic sur Cronos a vu environ 120,4 millions de dollars empruntés contre des garanties manipulées fin août. Les validateurs ont ensuite rembobiné la chaîne et récupéré la majorité, bien que plusieurs millions de dollars qui avaient déjà été transférés hors réseau n'aient pas été restaurés.

Les incidents impliquant des portefeuilles matériels Bitcoin étaient plus petits en agrégat malgré la large couverture médiatique. Galaxy Research a évalué les valeurs du hack Coinkite RNG dans une fourchette d'environ 1 596 à 1 789 BTC, pour un montant d'environ 100 à 130 millions de dollars, avec des estimations supérieures plus élevées près de 2 055 BTC.

Les pertes de Ledger d'environ 86 à 102 millions de dollars ont été retracées à des appareils vendus par le revendeur autorisé CryptoBilis en Asie du Sud-Est, où un implant matériel non autorisé a capturé des phrases de récupération lors de la configuration, une attaque de la chaîne d'approvisionnement. La société a déclaré que les cas confirmés étaient limités à la chaîne d'approvisionnement de ce revendeur et que ses propres systèmes et ventes directes n'étaient pas affectés, bien qu'il y ait des rapports non confirmés de tels appareils bugés ayant atteint les marchés allemands. Cependant, combinés, ces événements adjacents aux matériels restent bien en dessous des plus grands incidents CEX et DeFi.

L'année a également coïncidé avec le déploiement pratique d'agents de codage IA capables de scanner des bases de code pour des vulnérabilités et d'automatiser le développement d'exploits. Muur a déclaré que "l'IA rend définitivement beaucoup plus facile la recherche et l'exploitation des bugs. Je pense que nous entrons dans une course aux armements en cybersécurité assez sérieuse."

Les rapports notent que les exploits de défauts de code se sont accélérés après la sortie en février de modèles tels que GPT-5.3-Codex et Claude Opus 4.6, qui ont montré des taux de succès élevés sur les benchmarks de bugs de contrats intelligents à faible coût.

OpenAI a divulgué des cas de tests internes dans lesquels des agents ont accédé à des fonds non autorisés sur des réseaux de test ou ont contourné des contrôles pour accomplir des tâches. La plupart des plus grands vols de l'année reposaient encore sur des vecteurs traditionnels tels que la compromission de clés, l'ingénierie sociale et les défauts d'infrastructure, mais la baisse de la barrière pour découvrir et armer des bugs ajoute une nouvelle couche de risque, en particulier pour les systèmes de contrats intelligents complexes et les sidechains.

La couche de base de Bitcoin elle-même n'a pas été la source de ces pertes. La majeure partie des dommages de 2026 s'est concentrée dans l'infrastructure de portefeuilles chauds CEX, la gouvernance DeFi, les conceptions d'oracles et le code de sidechain Bitcoin, tandis que les portefeuilles matériels de garde personnelle, même lorsqu'ils sont imparfaits, ont représenté une part distinctement plus petite. Néanmoins, des appels à une mise à jour des recommandations de garde personnelle ont émergé de la part des leaders de l'industrie, faisant avancer les portefeuilles multisig multivendeurs comme l'avenir de l'industrie de niche.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.