La crise de sécurité du Web3 en 2026 : pourquoi les plus gros hacks ne sont plus seulement des bugs de smart contracts

L’industrie crypto a perdu un record de 3,4 milliards de dollars à cause de hacks en 2025, mais l’histoire dominante ne concerne pas du code Solidity bogué. Elle concerne des ordinateurs portables de développeurs compromis, des identifiants cloud volés, des campagnes d’ingénierie sociale qui durent des mois et des portefeuilles multisig sans timelocks.

TL;DR

Les défaillances d’infrastructure et opérationnelles ont provoqué 76 % de toutes les pertes liées aux hacks crypto en 2025, tandis que les exploits de smart contracts ne comptaient que pour 12 %

Des pirates nord-coréens soutenus par l’État ont volé 2,02 milliards de dollars en 2025, soit environ 60 % de tous les vols crypto mondiaux, en utilisant des tactiques d’espionnage plutôt que l’exploitation de code

Les audits, bug bounties et la qualité du code on-chain s’améliorent, mais la surface d’attaque s’est étendue bien au-delà de ce que ces outils couvrent

Les chiffres montrent que le problème s’aggrave, il ne se resserre pas

Plusieurs sociétés de sécurité converge vers la même conclusion : 2025 a été l’année la plus coûteuse de l’histoire de la sécurité crypto. Chainalysis a signalé 3,4 milliards de dollars de fonds volés, soit une hausse de 55 % par rapport aux 2,2 milliards de 2024. CertiK a documenté 3,35 milliards de dollars à travers 630 incidents. Moins d’attaques ont eu lieu qu’en 2024, mais le gain moyen par incident a bondi de 66,6 % pour atteindre 5,32 millions de dollars.

La concentration des données est extrême. Les trois plus gros hacks de 2025 représentaient 69 % de toutes les pertes au niveau des services. La faille de Bybit à elle seule a coûté 1,46 milliard de dollars le 21 février 2025, soit environ 43 % des vols de toute l’année.

Sans Bybit, les pertes de 2025 tombent à environ 1,5 à 1,9 milliard de dollars. Cela reste élevé, mais plus proche des niveaux de 2024.

Le schéma révèle une industrie où la sécurité systémique s’est améliorée pour le protocole moyen, tandis que les risques extrêmes de type « queue » liés aux compromissions d’infrastructure se sont nettement aggravés.

Le premier trimestre 2025 a été le pire trimestre de l’histoire de la crypto. Immunefi a suivi 1,64 milliard de dollars de pertes à travers 40 incidents, soit une hausse de 4,7x par rapport aux 348 millions de dollars du T1 2024. Le CeFi a représenté 94 % des pertes du T1, tirées par seulement deux incidents : Bybit et Phemex (85 millions de dollars).

Les pertes DeFi ont en réalité chuté de 69 % sur un an au T1. La sécurité du code on-chain s’est réellement améliorée alors même que la sécurité opérationnelle s’effondrait.

Les données de début 2026 montrent que la tendance se poursuit. CertiK a signalé 501 millions de dollars de pertes au T1 2026 à travers 145 événements. Le hack de Drift Protocol le 1er avril 2026 a siphonné 285 millions de dollars en 12 minutes grâce à une opération d’ingénierie sociale menée sur six mois. Les attaques sophistiquées ciblant les humains restent le vecteur de menace principal à l’entrée de 2026.

Makina Finance loses millions in Ethereum flash loan oracle exploit (Image: Shutterstock)

Les bugs de smart contracts comptent toujours, mais ils ne sont plus toute l’histoire

Les vulnérabilités de smart contracts restent majoritaires en nombre d’incidents, représentant 54,5 % de tous les exploits. Plusieurs hacks significatifs au niveau du code en 2025 et 2026 ont prouvé que les risques on-chain traditionnels persistent et continuent d’évoluer.

Le hack de Cetus Protocol (223 millions de dollars, 22 mai 2025) était une erreur logique classique. Un dépassement d’entier dans une bibliothèque mathématique partagée appelée « integer-mate » a fait échouer silencieusement un contrôle de débordement. L’attaquant a minté des positions de liquidité massives pour un coût négligeable.

Cetus avait été audité trois fois par MoveBit, OtterSec et Zellic. L’audit de Zellic n’a trouvé aucun problème au-delà d’éléments informationnels. La vulnérabilité se situait dans une dépendance tierce plutôt que dans le propre code de Cetus, illustrant comment les écosystèmes composables héritent des risques de l’ensemble de leur graphe de dépendances.

Parmi les autres exploits notables de smart contracts :

La réentrance de GMX v1 (42 millions de dollars, juillet 2025), prouvant que la réentrance continue de faire des victimes via de nouvelles variantes inter-contrats
L’exploit d’arrondi de Balancer (70 à 128 millions de dollars, novembre 2025), qui a accumulé de minuscules erreurs d’arrondi sur des centaines de batch swaps dans une classe d’attaque économique que les audits standards manquent complètement
La violation d’invariant de Yearn Finance (9 millions de dollars, décembre 2025), où un défaut de calcul de parts a déjoué à la fois les outils d’analyse statique et les fuzzers

La distinction critique : les exploits de smart contracts ont tendance à produire des pertes plus faibles par incident. TRM Labs a calculé une moyenne de 6,7 millions de dollars par exploit de code contre 48,5 millions de dollars par attaque d’infrastructure. Le secteur est devenu sensiblement meilleur pour écrire du code on-chain sécurisé. Mais ces progrès sont éclipsés par l’ampleur catastrophique des défaillances opérationnelles.

La couche humaine : comment l’ingénierie sociale est devenue un exploit crypto de premier plan

Les pirates nord-coréens soutenus par l’État représentent la menace unique la plus importante pour l’industrie crypto. Chainalysis a attribué 2,02 milliards de dollars de vols crypto en 2025 à des acteurs de la RPDC, soit une hausse de 51 % par rapport aux 1,34 milliard de 2024 et environ 60 % de tous les vols crypto mondiaux. Le total cumulé à vie a atteint 6,75 milliards de dollars fin 2025.

Ce qui distingue ces opérations, c’est leur patience.

L’attaque contre Drift Protocol a commencé par des rencontres en conférence à l’automne 2025, s’est poursuivie par des mois de construction de relation et a inclus le dépôt de plus de 1 million de dollars de capital propre des attaquants pour établir leur crédibilité. Le drainage final a pris 12 minutes.

Les tactiques de la RPDC se sont diversifiées bien au-delà du simple piratage direct :

La campagne « Contagious Interview » cible les développeurs avec de fausses offres d’emploi sur LinkedIn et des job boards crypto, en déployant des exercices de code piégés qui installent des portes dérobées
Une société fictive appelée « Veltrix Capital » a distribué des paquets npm malveillants conçus pour vérifier spécifiquement la présence de l’extension navigateur MetaMask
En mai 2025, l’équipe sécurité de Kraken a identifié un agent nord-coréen qui postulait à un poste d’ingénieur sous le pseudonyme « Steven Smith », avec des changements de voix pendant l’entretien laissant penser à un coaching en temps réel
Le programme d’infiltration de travailleurs IT génère entre 250 et 600 millions de dollars par an selon les estimations de l’ONU, ZachXBT ayant mis au jour un réseau de 390 comptes générant environ 1 million de dollars par mois

La faille de Coinbase (mai 2025) a démontré une autre approche d’ingénierie sociale. Des sous-traitants du support client à l’étranger, corrompus, ont exfiltré des données personnelles de 69 000 utilisateurs, permettant des campagnes de phishing ultérieures pour un impact estimé entre 180 et 400 millions de dollars. Les smart contracts n’ont jamais été touchés.

Clés, multisigs et cloud : la centralisation cachée au cœur du Web3

La centralisation cachée du Web3 est peut-être le risque systémique le plus sous-estimé du secteur. Halborn a découvert, dans son analyse des 100 plus gros hacks DeFi, que seulement 19 % des protocoles piratés utilisaient des portefeuilles multisig et seulement 2,4 % employaient du cold storage. Les attaques off-chain représentaient 80,5 % des fonds volés dans leur jeu de données.

Trail of Bits a publié en juin 2025 un cadre de maturité décrivant quatre niveaux de contrôle d’accès aux smart contracts. Le niveau 1 utilise un seul compte externe : une clé privée compromise équivaut à une perte totale. Le niveau 2 utilise un multisig centralisé mais conserve un point de contrôle unique. Les niveaux 3 et 4 ajoutent des timelocks, la séparation des rôles et, en dernière étape, une immutabilité radicale.

Les hacks de Bybit, WazirX et Radiant Capital ont tous exploité des architectures de niveau 2. Le hack de Drift Protocol a révélé une autre défaillance de centralisation : un multisig 2-sur-5 sans aucun timelock sur les fonctions d’administration.

L’infrastructure cloud introduit un autre vecteur de centralisation. Le hack de Resolv Labs (25 millions de dollars, mars 2026) a impliqué une compromission d’AWS Key Management Service.

L’attaquant a accédé à l’environnement cloud où une clé de signature privilégiée était stockée, puis l’a utilisée pour minter 80 millions de tokens de stablecoin non adossés.

Resolv avait passé 18 audits indépendants de smart contracts et maintenait une prime Immunefi de 500 000 dollars. Aucun de ces dispositifs ne couvrait les politiques IAM d’AWS.

De nombreux protocoles dits « décentralisés » dépendent entièrement de fournisseurs d’infrastructure centralisés pour leurs interfaces utilisateur. Le frontend de Safe{Wallet} était hébergé sur AWS S3/CloudFront sans Subresource Integrity hashing pour détecter une modification de code. Cette faille a rendu possible l’attaque contre Bybit.

Le problème du frontend : quand les utilisateurs se font pirater avant que la blockchain ne soit touchée

Une catégorie croissante d’attaques cible les interfaces web des protocoles DeFi plutôt que leurs contrats on-chain. Dans chaque cas documenté, les smart contracts sont restés sûrs et opérationnels. La vulnérabilité se trouvait entièrement dans la couche d’infrastructure Web2 qui connecte les utilisateurs à ces contrats.

Curve Finance a subi un détournement DNS le 12 mai 2025 lorsque des attaquants ont obtenu l’accès au registrar de domaine iwantmyname et modifié la délégation DNS pour rediriger le trafic vers un faux site statique malveillant.

Pendant la panne du frontend, les smart contracts de Curve ont traité plus de 400 millions de dollars de volume on-chain, démontrant que les contrats fonctionnaient parfaitement tandis que le frontend était utilisé comme arme.

Il s’agissait de la deuxième attaque DNS de Curve via le même registrar. Curve a ensuite migré vers le domaine curve.finance et plaidé pour l’adoption d’ENS par l’ensemble du secteur.

Aerodrome et Velodrome (21 nov. 2025) ont perdu environ 700 000 dollars lorsque des détournements DNS ont redirigé les utilisateurs vers des sites de phishing. MetaMask et Coinbase Wallet ont affiché des avertissements dans les deux minutes suivant la première transaction malveillante, mais les utilisateurs qui ont interagi avant ces avertissements ont perdu des fonds.

D’autres attaques DNS ont frappé Arrakis Finance (jan. 2025), OpenEden (févr. 2026) et Neutrl (mars 2026).

L’attaque contre Neutrl a été confirmée comme provenant d’une attaque de social engineering visant directement le fournisseur DNS.

Le schéma est constant : compromettre le registrar de domaine, modifier les enregistrements DNS, rediriger les utilisateurs vers un clone de phishing, collecter les autorisations de portefeuille, puis drainer les actifs. Les registrars de domaine fonctionnent comme des points de défaillance centralisés pour des protocoles supposément décentralisés.

Also Read: Cloudflare Follows Google, Sets 2029 Deadline To Go Quantum-Proof

Network reverses blockchain rollback decision following developer backlash over $3.9 million exploit (Image: Shutterstock)

Pourquoi les audits ne suffisent plus

Les audits standards de smart contracts couvrent les vulnérabilités au niveau du code : réentrance, dépassement de capacité, bugs de contrôle d’accès et modèles de vulnérabilité connus.

Ils ne couvrent généralement pas la sécurité du frontend et de l’interface, les API et l’infrastructure backend, la gestion des clés d’administration, les vecteurs de social engineering, les attaques sur la chaîne d’approvisionnement des dépendances, la sécurité DNS et des domaines, ni la robustesse du modèle économique.

Trail of Bits a indiqué explicitement en juin 2025 que les attaques sur les clés privées sont un vecteur émergent que les audits et concours de smart contracts, trop étroitement ciblés, manquent régulièrement. La société a noté que les cabinets d’audit natifs blockchain signalent rarement les problèmes architecturaux de contrôle d’accès comme des constats formels.

Les preuves sont nombreuses :

Cetus Protocol a passé trois audits de sociétés réputées avant de perdre 223 millions de dollars à cause d’un bug dans une bibliothèque mathématique tierce
Resolv Labs a passé 18 audits indépendants avant de perdre 25 millions de dollars suite à une compromission de l’infrastructure AWS
Le fournisseur de wallet de Bybit, Safe{Wallet}, a été minutieusement audité, mais la vulnérabilité provenait de l’ordinateur portable compromis d’un développeur
L’exploit de rounding de Balancer a accumulé des erreurs d’arrondi sub-wei à travers des séquences de batch swaps adverses, une classe d’attaque qu’un test standard, opération par opération, ne peut pas détecter

Les audits restent utiles. Les protocoles non audités font face à environ 70 % de probabilité d’exploit au cours de leur première année, contre 15 à 20 % pour les protocoles audités. Mais la dépendance de l’industrie à la mention « audité par X » comme certification de sécurité déforme fondamentalement ce que les audits valident réellement. Ce sont des instantanés ponctuels de la correction du code, et non des évaluations de sécurité globales.

Also Read: Bitcoin Can Be Made Quantum-Safe Without An Upgrade, But There's A Catch

À quoi ressemble un design plus sûr après la vague de hacks de 2026

Vyper, le langage de smart contracts « pythonique » créé par Vitalik Buterin en 2017, incarne une philosophie de sécurité par la simplicité qui contraste fortement avec la richesse fonctionnelle de Solidity. Vyper exclut délibérément l’héritage, les modificateurs, la surcharge d’opérateurs et l’assembly inline.

Il fournit une vérification automatique des dépassements de capacité, des décorateurs nonreentrant intégrés, des tableaux avec validation des bornes et un typage strict.

Plus de 7 959 contrats Vyper sécurisent actuellement plus de 2,3 milliards de dollars de valeur totale verrouillée.

Le langage a connu sa propre crise de sécurité en juillet 2023 lorsqu’une vulnérabilité dans le garde de réentrance des anciennes versions du compilateur a permis l’exploit de Curve Finance. La réponse a été systématique : 12 audits avec des sociétés dont ChainSecurity et OtterSec, deux experts sécurité engagés à plein temps, deux programmes de bug bounty, et un système de surveillance de contrats indexant 30 000 contrats sur 23 chaînes.

Le développement est resté actif en 2025 et 2026. La version 0.4.2 « Lernaean Hydra » (mai 2025) a notamment interdit l’appel de fonctions nonreentrant depuis d’autres fonctions nonreentrant, éliminant toute une classe de vulnérabilités potentielles.

Les principaux utilisateurs incluent Curve Finance, Yearn Finance V3 et Velodrome/Aerodrome.

La philosophie de conception de Vyper, selon laquelle les fonctionnalités que vous retirez comptent plus que celles que vous ajoutez, est en phase avec le consensus de sécurité émergent. Lorsque les vecteurs d’attaque dominants sont humains et opérationnels plutôt que situés au niveau du code, un langage qui produit un code plus lisible et plus facilement auditables offre de véritables avantages structurels.

Also Read: Only 10% Of New CEX Tokens Survive Their First Year, CoinGecko Data Reveals

Culture de la sécurité vs théâtre de la sécurité dans le Web3

Les bug bounties se sont imposés comme l’une des défenses les plus rentables. Immunefi a versé plus de 112 millions de dollars de bounties au total pour plus de 3 000 rapports de bugs validés. Les rapports de sévérité critique représentent 87,8 % de tous les paiements. La plateforme affirme avoir protégé plus de 190 milliards de dollars de fonds utilisateurs.

Les chiffres économiques sont convaincants. Le total des bounties jamais payés (112 millions de dollars) représente environ 3,3 % des pertes dues aux hacks pour la seule année 2025. Même un seul exploit évité générerait un retour sur investissement énorme. Les programmes de bounty actifs atteignent désormais une échelle significative, avec Usual offrant un maximum de 16 millions de dollars sur Sherlock et Uniswap v4 offrant 15,5 millions de dollars sur Immunefi.

Les plateformes d’audit compétitives ont évolué parallèlement aux bounties traditionnels. Code4rena organise des concours avec 16 600 chercheurs enregistrés et environ 100 participants par audit.

Sherlock opère un modèle complet de cycle de vie combinant concours d’audit, bug bounties et couverture d’assurance, après avoir sécurisé plus de 100 milliards de dollars de valeur totale verrouillée.

Cependant, les bug bounties partagent une limitation fondamentale avec les audits. Les données d’Immunefi montrent que 77,5 % des paiements vont à la découverte de bugs dans les smart contracts. Les vecteurs d’attaque les plus dommageables de 2025, incluant les compromissions de la chaîne d’approvisionnement, le social engineering et les brèches d’infrastructure, restent largement en dehors du périmètre de ce que les chercheurs en bounty peuvent tester.

L’industrie a besoin de structures d’incitation équivalentes pour l’évaluation de la sécurité opérationnelle. La seule revue de code ne correspond plus à l’origine réelle des pertes.

Also Read: Gemini Survey Reveals 51% Of Gen Z Adults Worldwide Own Crypto

Ce que les utilisateurs, les builders et les investisseurs devraient faire différemment en 2026

Les données de 2025 et 2026 montrent clairement que la sécurité doit aller bien au-delà des audits de smart contracts pour englober l’ensemble de la stack opérationnelle.

Pour les builders de protocoles, le minimum vital en matière de sécurité inclut désormais :

Des portefeuilles multisig avec timelocks sur toutes les fonctions administratives
Un contrôle d’accès basé sur les rôles, appliquant le principe du moindre privilège
La signature via hardware wallet pour toutes les opérations privilégiées
Une surveillance continue des changements de permissions, des mises à jour et des transferts de grande valeur
Le hachage Subresource Integrity pour tout le code frontend, plus DNSSEC et la prise en compte d’alternatives hébergées via ENS plutôt que des registrars de domaine centralisés

La sécurité de la chaîne d’approvisionnement exige l’épinglage des dépendances, la limitation de la prolifération de packages, le verrouillage des pipelines CI/CD avec des identifiants de courte durée et la vérification des artefacts de release. Les plans de réponse aux incidents doivent être testés par des exercices, pas simplement rédigés puis oubliés.

Pour les utilisateurs, les défenses pratiques sont simples. Les hardware wallets restent essentiels pour toute détention significative. Les outils de simulation de transaction comme Pocket Universe revendiquent 180 000 utilisateurs et plus de 1 milliard de dollars de fonds protégés.

La révocation régulière des autorisations illimitées de tokens, le fait de mettre en favori des URLs de confiance plutôt que de suivre des liens, et le maintien de portefeuilles séparés réduisent tous le rayon d’impact d’une seule signature compromise.

La leçon de signature à l’aveugle du hack de Bybit s’applique aussi aux particuliers. Il faut toujours vérifier les détails de la transaction sur l’appareil de signature lui‑même, et pas seulement sur l’interface qui demande la signature.

Pour les investisseurs qui évaluent des protocoles, le label « audité par X » est nécessaire mais radicalement insuffisant. Les indicateurs de sécurité significatifs incluent plusieurs audits par des cabinets divers, des programmes de bug bounty actifs avec des récompenses importantes, des configurations multisig transparentes avec une distribution géographique, des timelocks sur les mises à niveau.fonctions visibles sur la blockchain et capacité démontrée de réponse aux incidents.

L’absence de ces indicateurs doit être considérée comme un signal d’alarme explicite, quel que soit l’historique d’audit.

Also Read: From Joke To ETF? PEPE's Wall Street Moment Raises Big Questions

Conclusion

Le paysage de la sécurité crypto en 2025 et 2026 révèle un paradoxe. La technologie devient plus sécurisée alors que l’industrie perd plus d’argent que jamais.

Les pertes liées aux exploits de smart contracts ont diminué à mesure que la qualité du code on-chain s’est améliorée grâce à de meilleurs outils, davantage d’audits, des plateformes de revue compétitives et des langages conçus avec la sécurité à l’esprit comme Vyper. Mais ces progrès ont été submergés par une escalade rapide des attaques sur l’infrastructure et les opérations.

Les modèles de sécurité construits uniquement autour de la revue de code ne couvrent désormais qu’environ 12 % de l’exposition réelle aux pertes. Les 88 % restants résident dans les ordinateurs portables des développeurs, les identifiants AWS, les bureaux d’enregistrement de noms de domaine, les dispositifs des signataires de multisig, les processus de recrutement des employés et les pipelines de déploiement du frontend. Ce sont des problèmes Web2 qui exigent des défenses Web2 appliquées à des organisations Web3 qui manquent souvent de la culture de sécurité institutionnelle nécessaire pour les mettre en œuvre.

Les protocoles qui survivront à la prochaine vague d’attaques menées par des États seront ceux qui sécuriseront non seulement leur code, mais aussi leurs équipes, leur infrastructure et leurs hypothèses de confiance comme un système unifié. Tout le reste n’est que théâtre de sécurité habillé du vernis de la décentralisation.