Le bilan est lourd. Selon CertiK, 766,4 millions de dollars ont été volés en un mois. C’est le pire total de l’année, soit 3,5 fois août. Deux incidents, Bitget et Liquid Network, expliquent à eux seuls plus de 92 % de cette facture.
Pertes crypto septembre 2026 : les chiffres de CertiK
Le cabinet de sécurité CertiK a publié son décompte mensuel. Selon The Crypto Times, septembre dépasse largement tous les mois précédents de 2026.
- Pertes totales : 766,4 millions de dollars
- Août 2026 : 215 millions de dollars
- Bitget (24 septembre) : 387,5 millions de dollars
- Liquid Network (6 septembre) : 318,7 millions de dollars
- Fonds rendus ou gelés : environ 270,6 millions de dollars
Après récupération, il reste environ 496 millions de dollars de pertes nettes. Le mois affiche aussi le plus grand nombre d’incidents de 2026.
Bitget : 387,5 millions dérobés en coulisses
Le 24 septembre, Bitget a subi un piratage d’abord estimé à 351,6 millions, puis revu à 387,5 millions de dollars. Selon la plateforme, l’attaquant a compromis un système interne de son infrastructure de portefeuilles. Les clés privées n’auraient pas été touchées. Nous avons détaillé l’affaire dans notre article sur le piratage de Bitget.
Une petite partie du butin a déjà circulé. Environ 88 % des fonds suivis dormaient encore dans 13 portefeuilles le 25 septembre. Circle et Tether ont gelé quelques centaines de milliers de dollars.
Liquid Network : 4 000 BTC sortis en 36 minutes
Le second incident est plus discret, mais tout aussi instructif. Le 6 septembre, un attaquant a exploité une faille dans Elements, le logiciel de validation de Liquid, le réseau Bitcoin de Blockstream. Il a créé environ 4 000 L-BTC sans aucune garantie en bitcoins derrière.
Ces faux jetons ont ensuite été convertis en vrais BTC. D’après le rapport de Blockstream, environ 3 996 BTC ont quitté le réseau via SideSwap. Selon TRM Labs, l’opération a duré seulement 36 minutes.
Une faille de cache, pas une clé volée
Blockstream l’affirme : aucune clé de signature n’a été compromise. Le défaut se trouvait dans la vérification des preuves de portée. Une première faille remonterait à 2018. Un correctif appliqué en août aurait ensuite ouvert une seconde brèche. Le rapport résume le problème ainsi : le mécanisme a « authentifié une vraie demande de signature » portant sur des L-BTC que le consensus avait, à tort, déjà jugés réels.
Un rebondissement : 85 % des fonds rendus
L’attaquant avait laissé un message on-chain : « nous sommes des whitehats, contactez-nous sur la chaîne ». Après un correctif d’urgence, 3 400 BTC ont été rendus le 7 septembre, soit environ 85 % du montant. Il en resterait environ 602 dehors. Les réserves étaient tombées d’environ 4 205 à 197 BTC. Les dépôts et retraits étaient encore suspendus le 17 septembre.
Pertes crypto septembre 2026 : le vrai point commun
CertiK relève un fait notable. Ces attaques ne viennent pas des bugs classiques de smart contracts. Elles découlent de défaillances de services tiers, de failles de validation de signatures, de portefeuilles compromis et de contrôles d’accès mal configurés. La menace se déplace donc vers l’infrastructure qui entoure les protocoles.
Le constat rejoint d’autres dossiers récents. Nous l’avions vu avec la plainte de KelpDAO contre LayerZero, où la responsabilité d’une couche d’infrastructure était en jeu. Même logique avec la faille de Magic Eden.
Ce que cela change pour les investisseurs francophones
Pour un utilisateur en France, en Belgique ou en Suisse, la leçon est concrète. Laisser ses fonds sur une seule plateforme concentre le risque. Le règlement MiCA impose des obligations de sécurité aux prestataires agréés dans l’Union européenne. Il ne supprime pas le risque de piratage.
Quelques réflexes limitent l’exposition : répartir ses actifs entre plusieurs plateformes, garder une partie en auto-conservation et vérifier les conditions de remboursement. Nos règles pour protéger ses cryptos détaillent ces bonnes pratiques.
Ce qu’il faut retenir
Septembre 2026 devient le pire mois de l’année avec 766,4 millions de dollars volés. Deux incidents dominent le bilan et environ 496 millions restent perdus. Le point commun n’est pas un bug de smart contract, mais l’infrastructure autour des protocoles. Avant d’y placer ses fonds, mieux vaut regarder comment chaque service est sécurisé.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
