Les piratages du secteur crypto ont coûté 1,18 milliard de dollars au troisième trimestre, en hausse de 55 % sur un trimestre, et l’essentiel de ces pertes ne vient pas de failles dans les smart contracts, selon le rapport trimestriel de Hacken publié le 15 octobre 2026.
Presque tout s’est perdu en dehors des audits
Le cabinet d’audit de sécurité Hacken comptabilise 107 incidents sur la période. Sur les 1,18 milliard de dollars de pertes, 906,8 millions proviennent de fournisseurs ou d’outils de développement compromis, de correctifs de sécurité pourtant publics jamais installés, ou de composants exclus du dernier audit de sécurité, précise le rapport. Autrement dit, le code des protocoles n’était pas la cible principale : c’est la logistique qui a cédé, clés, chaîne d’approvisionnement, maintenance.
Pour un épargnant français qui garde des crypto-actifs sur une plateforme ou sur un portefeuille matériel, ce détail change la lecture du risque. Le badge d’audit affiché sur un projet ne garantit pas la sécurité de l’infrastructure qui permet réellement de sortir des fonds. Hacken relève que les clients supposent souvent qu’un audit couvre la plateforme entière, alors qu’il peut ne porter que sur certains smart contracts, laissant les clés de signature, portefeuilles et logiciels tiers hors de son périmètre.
Bitget en tête du sinistre
L’incident le plus lourd du trimestre reste l’attaque de septembre contre la plateforme d’échange Bitget, qui a perdu au moins 352 millions de dollars après l’exploitation d’une faille dans un produit de sécurité tiers donnant accès à son infrastructure de retraits, selon Hacken. Viennent ensuite Liquid Network avec 319 millions de dollars, le logiciel de portefeuille Coldcard avec environ 114 millions, et Tectonic avec au moins 75 millions.
En juillet, trois ponts inter-chaînes ont perdu plus de 35 millions de dollars en six heures, dont 24 millions pour AFX Trade, dont les clés de validateurs avaient été prises par des attaquants. Tous ces montants figurent dans le décompte publié par Hacken.
Le badge d’audit n’est pas une assurance
Le co-fondateur de Hacken Andrii Matiukhin explique que les périmètres d’audit complets coûtent cher : les équipes ne font auditer que les parties critiques du service, et certaines classent parfois une vulnérabilité critique en niveau faible, retardant ou refusant le correctif. Selon lui, la responsabilité revient en fin de compte aux sociétés qui détiennent des fonds de clients : elles doivent suivre les vulnérabilités et installer les correctifs rapidement, plutôt que de s’appuyer sur un audit réalisé des mois ou des années plus tôt.
Hacken a aussi examiné douze plateformes de dérivés et marchés de pronostics et trouvé plus de 700 millions de dollars d’actifs chez deux grands acteurs reposant sur des dispositifs de clés jugés inadaptés, un scénario à signature 3 sur 4 ou des clés administratives dont les détenteurs ne sont pas publics. L’auditeur précise qu’aucune faille active n’a été détectée sur ces plateformes, et les noms des deux acteurs seront dévoilés avec la publication complète des travaux.
Partager
