Crypto Long & Short : ce que les piratages crypto de 972 millions de dollars cette année nous disent vraiment sur la sécurité

La majeure partie des crypto-actifs volés en 2026 quitte les protocoles via des clés compromises, des signers et des mécanismes de gouvernance, plutôt que par des bugs de contrats intelligents, écrit Mitchell Amador, fondateur et PDG d'Immunefi. Il explique pourquoi « nous avons été audités » n'a jamais été équivalent à « nous sommes en sécurité ».

Ce que les chiffres des piratages crypto du premier semestre nous disent vraiment sur la sécurité

Par Mitchell Amador, fondateur et PDG d'Immunefi

Ce mois-ci, un attaquant a dépensé environ 4 millions de dollars pour siphonner quelque 20 millions de dollars de la trésorerie de BonkDAO. Aucun contrat intelligent n'a failli. L'attaquant a acheté suffisamment de tokens pour faire adopter une proposition de gouvernance lors d'un vote à faible participation, et le vote a été exécuté exactement comme rédigé. Les règles elles-mêmes constituaient la vulnérabilité.

Un scénario similaire s'est produit en juin, sous un autre angle. La plus grosse perte du mois — plus de 30 millions de dollars chez Humanity Protocol — provenait d'une clé privée compromise sur l'ordinateur d'un membre de l'équipe, tandis que le contrat restait intact, selon le propre récit du projet.

C'est la forme prise par les pires pertes de 2026, avec une crypto qui a déjà perdu environ 972 millions de dollars cette année. Le nombre d'incidents continue d'augmenter, et l'argent sort de plus en plus par autre chose qu'un bug de contrat : une clé de signature volée, un vérificateur mal configuré ou une trésorerie à laquelle n'importe qui peut accéder en votant. Si l'on ne regarde que le nombre d'incidents, on pourrait penser que le secteur recule. Mais si l'on examine le montant total effectivement volé, un schéma plus étroit et plus inconfortable apparaît.

Les chiffres sont précis. Parmi les 425 piratages étudiés par Immunefi entre 2021 et 2025, une faible part des défaillances opérationnelles concentre l'essentiel de la valeur perdue. Sur la période 2024-2025, 54,6 % de toute la valeur perdue, sur 191 piratages, peut être attribuée à des compromissions d'exchanges centralisés : les clés, la conservation des actifs et la signature qui se situent au-dessus du contrat.

Cela ne signifie toutefois pas que la couche code soit résolue. Les failles critiques sont partout dans le code en production. 93,9 % des programmes qui fonctionnent pendant cinq ans ou plus font apparaître une faille critique confirmée, et environ un rapport confirmé sur cinq est classé critique. Le code n'est jamais achevé non plus : chaque mise à jour introduit une nouvelle surface d'attaque. Ce qui a changé, c'est qu'un examen continu et incitatif suit désormais le rythme des attaquants sur ce code, ce qui explique précisément pourquoi le même modèle doit aller plus loin.

C'est là que le manuel classique montre ses limites. Un audit vérifie le code à un instant donné. Il ne dit rien sur la personne qui détient l'autorité de signature, sur la manière dont une clé est stockée ou sur ce qui se passe lorsqu'un ordinateur portable est compromis. Les audits sont essentiels, et toute équipe sérieuse devrait en réaliser, mais « nous avons été audités » n'a jamais signifié la même chose que « nous sommes en sécurité ». Un protocole a été audité 11 fois et a tout de même perdu 128 millions de dollars.

Ce qui a réellement renforcé le code des contrats, c'est une pression continue et incitative. Grâce à des programmes de bug bounty en temps réel et à un ensemble plus large de surveillance et de réponse rapide, les chercheurs en sécurité sont rémunérés pour trouver la vulnérabilité avant qu'un attaquant ne le fasse. Une prime médiane d'environ 20 000 dollars empêche régulièrement un piratage qui coûterait en moyenne environ 25 millions de dollars, ce qui en fait la dépense de sécurité la plus rentable qu'un protocole puisse faire. Le modèle tient parce qu'il ne s'arrête jamais, et parce que les incitations ne s'érodent pas lorsque l'organigramme change ou qu'un signataire quitte l'entreprise.

Cette même discipline doit désormais couvrir les clés, les signers et les règles de gouvernance, faute de quoi nous continuerons de voir des pertes catastrophiques dans ce domaine.

Alors, un audit rend-il un protocole sûr ? À lui seul, non. Un protocole est sûr lorsque son code, ses clés, ses personnes, sa gouvernance et sa surveillance sont tous considérés comme une surface d'attaque active, et testés en continu par des chercheurs payés pour les casser en premier.

Gros titres de la semaine

Par Francisco Rodrigues

Les titres de cette semaine montrent comment le repli du marché crypto remodèle les bilans et l'infrastructure de marché. Strategy a renforcé sa trésorerie et commencé à racheter des actions privilégiées, tandis que BitMEX et BitMart ont annoncé leur intention de fermer sous l'effet du marché baissier.

Strategy porte sa réserve de trésorerie à 3,75 milliards de dollars, rachète 25 millions de dollars de STRC : La société a levé 544,5 millions de dollars via des ventes d'actions ordinaires et a utilisé une partie de cette somme pour racheter 288 930 actions STRC, tout en laissant ses 843 775 BTC inchangés.

BitMEX, la plateforme qui a inventé les perpetual swaps, va fermer : La plateforme de produits dérivés fermera le 23 septembre après 11 ans, ayant perdu le marché qu'elle avait contribué à créer au profit de rivaux centralisés plus importants et de plateformes de trading décentralisées.

BitMart va fermer après neuf ans alors que le token BMX s'effondre : La plateforme cessera les échanges le 26 août et mettra fin à ses activités le 31 janvier 2027, sans donner de raison précise à la fermeture.

Revolut atteint une valorisation de 115 milliards de dollars lors d'une vente d'actions pour employés : Cette transaction secondaire a fait grimper de 53 % en moins d'un an la valorisation de la banque numérique favorable aux crypto-actifs, en faisant la société privée la plus मूल्यieuse d'Europe.

Le Clarity Act devrait manquer sa fenêtre avant la pause estivale du Congrès : Le chef de la majorité au Sénat, John Thune, a déclaré que le texte était peu susceptible d'être adopté avant la suspension des travaux, réduisant ses chances de devenir loi en 2026 alors que les élus restent divisés sur l'éthique et le rendement des stablecoins.

Graphique de la semaine

La part du volume long tail sur Solana rebondit au-delà de 60 % alors que PUMP se reprend

Les memecoins et autres tokens long tail représentent désormais plus de 60 % du volume sur Solana, contre le milieu des 30 % à la fin juin. PUMP a suivi de près ce rebond, avec une hausse de 42 % depuis le début du mois.