Une série de piratages de cryptomonnaies très médiatisés en avril — dont beaucoup ont été soupçonnés d’avoir été orchestrés avec des outils d’IA sophistiqués pour identifier des failles dans des smart contracts — a fait craindre que tout l’écosystème DeFi soit soudainement vulnérable. En mai, Manuel Aráoz, fondateur de la plateforme de sécurité blockchain OpenZeppelin, a déclaré que « toute la DeFi était dangereuse » après $630 million de pertes crypto liées à des exploits sur ce seul mois.

Pourtant, alors que le secteur se préparait à voir les protocoles DeFi tomber comme des dominos face à une IA agentique, la vague d’attaques a semblé refluer. Cela a conduit Haseeb Qureshi, managing partner de Dragonfly, à qualifier récemment les craintes d’un « hackpocalypse » de la DeFi de « fausse alerte ». Il a relevé que, même en incluant les incidents majeurs d’avril, l’année en cours affichait « a lower rate of hacked $ per month » et que la « median hack size by year is also declining. »

La question demeure : les craintes d’une épidémie de piratages alimentée par l’IA sont-elles totalement exagérées, ou ne s’agit-il que du calme avant la tempête ?

« I think the 'hackpocalypse' narrative is overstated if it suggests AI has already replaced compromised keys, weak infrastructure and human error as the main causes of Web3 losses, » a déclaré à Magazine Stephen Ajayi, principal ingénieur en sécurité offensive chez Hacken. Il a toutefois averti que ces inquiétudes ne devaient pas être entièrement écartées.

« I would not confuse 'not dominant yet' with 'not coming.' My view is that we are still in the early stages: the hype is ahead of the incident data, but the capability curve is catching up quickly, » a précisé Ajayi.

L’IA modifie les attaques, même si elle ne les provoque pas

Les protocoles Web3 ont perdu plus de $1.3 billion dans 344 incidents de sécurité au premier semestre 2026, selon le rapport H1 de CertiK.

Il reste difficile de déterminer précisément combien de ces incidents impliquaient des exploits identifiés ou assistés par l’IA. Natalie Newson, enquêtrice senior blockchain chez CertiK, explique que « proving whether AI was used to find an exploit can be difficult. »

Plutôt que de chercher une attribution directe, Newson dit surveiller des éléments circonstanciels, comme les changements de comportement des attaquants. Elle a observé une forte hausse de l’exploitation de smart contracts anciens et de contrats non vérifiés.

Le rapport de CertiK a constaté que 73 incidents liés à des vulnérabilités de code au premier semestre 2026 concernaient des contrats qui avaient été déployés depuis au moins un an avant d’être exploités. « In 2025 as a whole this number was 45, » note Newson. Cette tendance suggère que l’IA permet aux attaquants d’analyser des volumes de code bien plus importants qu’auparavant.

C’est important dans la DeFi, car les smart contracts sont souvent visibles publiquement et, une fois déployés, peuvent continuer à sécuriser des actifs longtemps après que leurs audits initiaux ou l’attention des développeurs se sont estompés. Le code public rend la transparence possible pour les utilisateurs et les défenseurs, mais il offre aussi aux attaquants une surface vaste et permanente à analyser.

Plutôt que d’inventer des catégories d’attaques entièrement nouvelles, l’IA semble rendre celles qui existent déjà moins coûteuses, plus rapides et plus faciles à déployer à grande échelle.

« AI systems can help analyze codebases, identify patterns associated with known vulnerabilities, flag suspicious logic, summarize complex code, and prioritize areas for deeper review, » explique Newson. « An attacker, or a defender, can examine far more contracts in a given amount of time, » a-t-elle ajouté, ce qui signifie que des bases de code anciennes auparavant considérées comme sûres peuvent désormais être exposées.

Le véritable danger est l’échelle

La plateforme de données blockchain Chainalysis considère elle aussi que l’impact le plus important de l’IA réside dans son rôle de multiplicateur, industrialisant des formes déjà connues de criminalité crypto.

Sully Hanif, responsable du secteur public britannique chez Chainalysis, a déclaré à Magazine : « Our 2026 crypto crime report found that AI-enabled crypto scams are 4.5x more profitable than traditional scams, extracting $3.2 million per operation versus $719,000. »

« AI is enabling scammers to reach and manipulate far more victims simultaneously, » a déclaré Hanif.

La menace ne se limite pas aux exploits de smart contracts. Chainalysis a constaté que les escroqueries par usurpation d’identité avaient augmenté de plus de 1,400% sur un an en 2025, les criminels utilisant des deepfakes générés par l’IA et des logiciels d’échange de visage facilement accessibles sur des marketplaces Telegram.

« We've seen AI supercharge existing playbooks, » a déclaré Hanif. « The fraud-as-a-service ecosystem now offers modular, turnkey services and AI makes each module more effective. »

Chainalysis a récemment identifié $36.7 million dérobés à des protocoles dont le code source des smart contracts n’avait jamais été vérifié publiquement. Hanif avertit que les attaquants utilisent de grands modèles de langage pour faire de la rétro-ingénierie sur du bytecode brut et identifier des vulnérabilités à grande échelle.

La vérification du code source est l’un des moyens de base par lesquels les utilisateurs de blockchain et les équipes de sécurité comparent le code de contrat lisible par l’humain avec ce qui est déployé on-chain. Lorsque les contrats restent non vérifiés, les défenseurs disposent de moins d’informations accessibles à examiner, tandis que les attaquants peuvent toujours analyser le bytecode sous-jacent.

« AI is likely to have its greatest impact where human effort has traditionally been the bottleneck, » explique Newson. « We're observing AI being used to impersonate support staff, video calls, influencers [...] The biggest risk is that attackers no longer need technical expertise or strong language skills. »

D’où viennent les piratages à plusieurs milliards de dollars ?

À l’examen des données, les plus grosses pertes crypto de 2026 auraient pu être causées sans aucune intervention de l’IA.

Le rapport de CertiK a révélé que la compromission de portefeuilles restait le vecteur d’attaque le plus dommageable au premier semestre, représentant plus de $444 million de pertes dans seulement 33 incidents.

Le rapport de sécurité Web3 du deuxième trimestre 2026 de Hacken a montré qu’environ 88% de toute la valeur volée au cours du trimestre provenait de clés, de signataires et d’infrastructures opérationnelles compromis, plutôt que de bugs de smart contracts — principalement sous l’effet de deux attaques liées à la Corée du Nord contre Drift Protocol et KelpDAO.

Ajayi note que, plutôt que de remplacer les méthodes d’attaque traditionnelles, l’IA les amplifie en identifiant des employés vulnérables, en générant des campagnes de phishing convaincantes, en analysant le code public et en accélérant le développement d’exploits. Néanmoins, une gouvernance compromise, une mauvaise sécurité opérationnelle et une infrastructure faible restent les facteurs déterminants du succès des attaques.

« AI is a new amplifier, but the old security failures still determine how large the blast becomes, » a-t-il déclaré.

L’IA change le champ de bataille, mais pas les fondamentaux

L’IA peut également servir d’outil défensif, et le secteur de la sécurité la déploie aussi sur ce front. Hanif a indiqué que les enquêteurs passaient d’approches réactives à des approches préventives, et que « the tools exist now to stop scams before victims lose money. »

Pour les protocoles, l’enseignement pratique des données actuelles consiste moins à traiter l’IA comme une catégorie de risque totalement nouvelle qu’à réduire les faiblesses qu’elle peut amplifier : clés opérationnelles exposées, contrats non vérifiés ou négligés, surveillance insuffisante et canaux d’ingénierie sociale autour des équipes et des utilisateurs.

« Ultimately, AI is likely to enhance the capabilities of both attackers and defenders, » a déclaré Newson, « with the balance of advantage depending on which side is able to integrate and operationalize the technology most effectively. »