Une série d'incidents de sécurité a frappé l'industrie crypto entre juillet et début octobre, touchant les plateformes d'échange, les portefeuilles matériels, les ponts et les portefeuilles logiciels, selon un rapport de la société d'analyse on-chain Santiment. Cette période a englobé plusieurs des plus grandes pertes du trimestre et a placé les préoccupations de sécurité au centre des discussions de l'industrie, affectant aussi bien les clients des plateformes que les utilisateurs en auto-conservation. Dans ce contexte, le chercheur Ethereum Justin Drake a appelé à une préparation sereine de ce qu'il a appelé le « mode bunker », citant les progrès des mathématiques assistées par l'IA qui pourraient un jour menacer la cryptographie à courbes elliptiques, le système qui sécurise Bitcoin et Ethereum.

Santiment a souligné ce changement de sentiment dans une publication sur X le 9 octobre :

🔐 Crypto fear is no longer just about price. From Coldcard and Trezor to Bitget, and now Ledger, security concerns have shifted due to the emergence of AI. We break down sentiment's shift. 👇 🔗 Surviving the Diminished Trust of Crypto in the Era of AI: pic.twitter.com/mmQ5UikT4V

— Santiment Intelligence (@SantimentData) 9 octobre 2026

Les incidents n'étaient pas tous similaires. La cryptographie de Bitcoin n'a pas été brisée, et Ledger n'a pas confirmé de faille à l'échelle de l'entreprise. Les cas allaient des violations de plateformes d'échange aux compromissions de la chaîne d'approvisionnement chez les fabricants de portefeuilles, soulignant à quel point les surfaces d'attaque diffèrent au sein de l'industrie. Plusieurs incidents sont entrés par des tiers — un prestataire d'expédition, un fournisseur de messagerie, des produits de sécurité compromis et un revendeur — donnant au trimestre une dimension distincte de supply-chain.

Incidents touchant les plateformes et les ponts

AFX Trade a perdu environ 24,15 millions d'USDC le 22 juillet après qu'un attaquant a obtenu les cinq signatures de validateurs nécessaires pour approuver un retrait depuis son pont, transformant le processus dapprobation lui-même en surface d'attaque.

L'exploit Tectonic a suivi le 30 août. Cronos a estimé les emprunts affectés à environ 120,4 millions de dollars, et les validateurs ont annulé 10 961 blocs — réécrivant effectivement l'historique récent de la chaîne — pour inverser environ 111,2 millions de dollars. Environ 9,19 millions de dollars avaient déjà quitté le réseau.

Le 6 septembre, un bug dans le Liquid Network a permis la création d'environ 4 000 LBTC sans couverture. Blockstream a indiqué que sa réserve était passée d'environ 4 205 BTC à environ 197 BTC. L'attaquant a restitué 3 400 BTC après la correction du bug, mais environ 600 BTC restaient manquants, et Blockstream a refusé une demande de prime de 10 %.

Bitget a signalé une violation le 24 septembre, évaluant le total à environ 387,5 millions de dollars, contre une estimation initiale de 351,6 millions de dollars — une illustration de la façon dont les chiffres de pertes peuvent évoluer dans les jours suivant une violation. Mandiant et SlowMist ont attribué l'attaque à des produits de sécurité tiers compromis. Bitget a déclaré que ses portefeuilles froids n'étaient pas affectés et que son fonds de protection couvrirait l'impact sur les utilisateurs.

Les fabricants de portefeuilles signalent des violations

Les ennuis de Coldcard ont commencé le 30 juillet. Une erreur de firmware datant de mars 2021 a affaibli le caractère aléatoire utilisé pour créer les seeds — le matériel secret à partir duquel les clés privées d'un portefeuille sont dérivées — et TRM Labs a estimé qu'environ 1 816 BTC, d'une valeur d'environ 116 millions de dollars, ont été drainés de plus de 5 200 adresses.

Le fabricant de portefeuilles matériels Trezor a révélé une violation chez son prestataire d'expédition, ShipMonk, en août, et a ensuite indiqué qu'environ 67 000 clients américains supplémentaires étaient concernés car d'anciens enregistrements de commandes avaient été conservés. Le 9 septembre, Brevo, le fournisseur de messagerie de Trezor, a été compromis. Environ 347 149 contacts ont été exportés, et environ 2 500 personnes ont cliqué sur un lien de phishing. Trezor a déclaré que ses portefeuilles n'avaient pas été piratés.

L'App Wallet de D'CENT a perdu environ 12,4 millions de XRP sur 7 393 portefeuilles entre le 15 et le 25 septembre, et la société a demandé aux utilisateurs de transférer leurs fonds vers de nouveaux portefeuilles.

Le débat sur le « mode bunker »

Le 7 octobre, Drake a appelé à une planification mesurée des risques liés à l'IA pour la cryptographie à courbes elliptiques, le fondement mathématique des clés publiques dans Bitcoin et Ethereum — une classe de risques mathématiques à plus long terme qui se distingue des violations opérationnelles qui ont dominé le trimestre. Yehuda Lindell de Coinbase a répondu qu'il n'existe aucune preuve que les hypothèses sous-jacentes aient été affaiblies. Cet échange a illustré les deux angoisses distinctes qui traversent l'industrie : des échecs opérationnels démontrés, et une menace à la cryptographie elle-même qui n'a pas été démontrée.

Autres développements

Le 9 octobre, Tether a temporairement mis sur liste noire quatre adresses de coffres THORChain détenant environ 1,45 million d'USDT, avant de lever les restrictions quelques plus tard.

Également le 9 octobre, Ledger a commencé à enquêter sur des portefeuilles drainés parmi des clients d'Asie du Sud-Est ayant acheté des appareils auprès du revendeur CryptoBilis. L'enquêteur on-chain Specter a estimé les pertes au-dessus de 86 millions de dollars, bien que Ledger n'ait pas confirmé le total. La cause fait toujours l'objet d'une enquête, et les acheteurs récents ont été priés de ne pas initialiser les appareils inutilisés.

Pris ensemble, cette série d'incidents — des exploits de ponts aux violations de plateformes, en passant par les compromissions de fournisseurs et les failles de firmware — a fait de la sécurité le thème dominant du trimestre, même si les entreprises ont souligné que les hypothèses cryptographiques fondamentales restent intactes. Plusieurs chiffres restent provisoires — le total de Bitget a déjà été révisé à la hausse une fois, l'estimation de Ledger est un décompte tiers non officiel, et environ 600 BTC du bug du Liquid Network restent manquants — laissant le bilan final du trimestre ouvert alors que les enquêtes se poursuivent.