Les piratages crypto T3 2026 atteignent un niveau inédit depuis plus d’un an. Entre juillet et septembre, les pirates ont dérobé 1,18 milliard de dollars en 107 incidents, selon la société de sécurité Hacken. Surtout, l’essentiel de ces pertes ne vient pas du code audité. Il provient de fournisseurs compromis, de correctifs jamais installés ou de briques laissées hors du périmètre des audits. Ce constat remet en question la valeur réelle des badges « audité » affichés par de nombreux projets.
Piratages crypto T3 2026 : les chiffres du rapport Hacken
Publié jeudi 15 octobre, le rapport trimestriel de Hacken dresse un bilan lourd. D’après la société, les pertes bondissent de 55 % par rapport au deuxième trimestre. C’est aussi le pire trimestre depuis début 2025. À l’époque, le vol de 1,4 milliard de dollars subi par Bybit avait porté le total à 1,6 milliard, rappelle Cointelegraph.
- 1,18 milliard de dollars volés en 107 incidents
- 906,8 millions de dollars (77 %) liés à des fournisseurs ou outils compromis, des correctifs non déployés ou des composants hors audit
- 71 attaques de smart contracts pour 228 millions de dollars de pertes
- 98 incidents sous les 10 millions de dollars, avec une perte médiane d’environ 670 000 dollars
À titre de comparaison, CertiK recense environ 1,28 milliard de dollars de pertes sur 268 incidents au même trimestre. Les méthodes de comptage diffèrent donc d’une société à l’autre. Néanmoins, toutes décrivent la même tendance à la hausse.
Bitget, Liquid Network, Coldcard : une poignée d’attaques concentre les pertes
Le trimestre repose surtout sur quelques attaques géantes. D’après PANews, qui reprend les données du rapport, quatre incidents représentent environ 80 % du total. En tête figure l’exchange Bitget, attaqué en septembre via une faille dans un produit de sécurité tiers. Les pirates ont ainsi atteint son infrastructure de retraits.
- Bitget : au moins 352 millions de dollars, selon CoinDesk
- Liquid Network : environ 320 millions de dollars
- Coldcard : environ 114 millions de dollars, après une faille de firmware
- Tectonic : au moins 75 millions de dollars selon CoinDesk, 120 millions selon PANews
Nous avions couvert l’affaire Coldcard dès les premières estimations, alors autour de 38 millions de dollars, dans notre article sur le piratage Coldcard. En juillet, trois bridges avaient aussi perdu plus de 35 millions de dollars en six heures, dont 24 millions pour AFX Trade. Notre article sur les bridges crypto piratés détaillait déjà le rôle des clés compromises.
Piratages crypto T3 2026 : le badge d’audit ne couvre pas tout
Pour Hacken, le cœur du problème tient au périmètre des audits. Interrogé par CoinDesk, son cofondateur Andrii Matiukhin résume : « Le problème, c’est toujours le périmètre. » Selon lui, auditer tous les composants qui touchent aux fonds coûte cher. Les équipes se limitent donc souvent aux parties jugées critiques.
Ce que l’investisseur croit acheter
Concrètement, un investisseur voit un badge d’audit et pense que toute la plateforme a été vérifiée. Or, l’examen porte parfois sur quelques smart contracts seulement. Les wallets, les systèmes de signature et les logiciels tiers restent alors hors du contrôle. C’est précisément là que frappent les attaquants.
Des correctifs qui arrivent trop tard
Autre point noir, les mises à jour tardives. D’après Matiukhin, certaines équipes classent une faille critique comme mineure, puis repoussent ou refusent sa correction. Le risque grandit encore quand plusieurs blockchains partagent le même logiciel mais le mettent à jour à des dates différentes. Ainsi, une faille déjà connue peut rester exploitable pendant des semaines.
Plus de 700 millions de dollars protégés par des clés jugées fragiles
Hacken a également passé en revue 12 plateformes de dérivés et de marchés prédictifs. Sur deux grandes plateformes, plus de 700 millions de dollars dépendaient d’une signature à trois clés sur quatre. Dans d’autres cas, des clés d’administration étaient détenues par des personnes non identifiées publiquement. La société n’a pas nommé ces plateformes. Elle précise par ailleurs ne connaître aucune faille active, mais juge ces dispositifs insuffisants au regard des montants en jeu.
Un tiers des fonds récupérés, un autre tiers toujours perdu
Toutes les pertes ne sont pas définitives. Selon Hacken, environ 387 millions de dollars, soit 33 % du total, ont été restitués ou annulés. De leur côté, les opérateurs ont couvert 410 millions de dollars de pertes subies par leurs utilisateurs. Au final, près de 384 millions de dollars restent non récupérés, soit 32 % du montant initial.
L’affaire Ledger prolonge la série au quatrième trimestre
Le rapport arrête ses comptes au 30 septembre. Pourtant, octobre a déjà livré un nouvel exemple du même schéma. Ledger a confirmé un implant matériel dans un appareil vendu par CryptoBilis, un revendeur d’Asie du Sud-Est, pour des pertes estimées à environ 93 millions de dollars. Nous avons suivi le dossier depuis la découverte de l’implant chez CryptoBilis jusqu’aux signalements d’implants espions en Europe.
Là encore, le logiciel du fabricant n’était pas en cause. L’attaque visait la chaîne d’approvisionnement, c’est-à-dire exactement le type de maillon que Hacken décrit comme absent des audits classiques.
Piratages crypto T3 2026 : les réflexes à adopter en France, en Belgique et en Suisse
Pour un lecteur en France, en Belgique ou en Suisse, ces chiffres appellent quelques vérifications simples :
- Lire le rapport d’audit, pas seulement le badge : quels contrats ont été examinés, et à quelle date
- Acheter son portefeuille matériel uniquement auprès du fabricant ou d’un revendeur officiel
- Répartir ses avoirs entre plusieurs solutions de conservation
- Se méfier des protocoles qui tardent à appliquer des correctifs déjà publiés
Notre guide sur la sécurité DeFi détaille ces bonnes pratiques. Côté réglementation, un agrément MiCA ne garantit pas l’absence de piratage. Il impose surtout des règles de conformité aux prestataires agréés, comme le rappelait notre article sur l’entrée en vigueur de MiCA. En complément, le règlement européen DORA oblige depuis janvier 2025 les acteurs financiers, dont les prestataires crypto agréés, à encadrer les risques liés à leurs fournisseurs informatiques. Ce texte vise donc le maillon pointé par Hacken. Toutefois, il ne couvre ni les protocoles DeFi sans entité régulée, ni les revendeurs de matériel.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
