Plus grosses arnaques et plus gros piratages crypto de 2026 à ce jour

Les piratages, escroqueries et exploits crypto ont causé plus de 1,3 milliard de dollars de pertes brutes au premier semestre 2026, plusieurs incidents majeurs dominant le total enregistré. TL;DR

• Les hacks, scams et exploits crypto ont causé 1,316 milliard de dollars de pertes brutes au premier semestre 2026.
• Kelp DAO, Drift Protocol et une victime unique d’hameçonnage ciblé représentaient environ 65% de ce total.
• Les plus gros incidents ont compromis l’infrastructure RPC, les permissions administratives, les systèmes de signature ou des appareils privilégiés plutôt que le code public des smart contracts.
• Ce classement a été préparé le 17 juillet, laissant 167 jours, soit 45,8% de l’année, pour de nouveaux incidents, des récupérations et des attributions révisées susceptibles de modifier la liste.

Les pertes de sécurité en crypto ont atteint 1,316 milliard de dollars sur 344 incidents au premier semestre 2026, selon le rapport sécurité H1 de CertiK. Environ 115,3 millions de dollars ont été gelés ou restitués, réduisant la perte ajustée à environ 1,2 milliard. L’amélioration apparente par rapport à 2025 nécessite du contexte. Le total du premier semestre 2025 incluait l’incroyable faille Bybit de 1,45 milliard de dollars. Une fois ce seul événement exclu, CertiK estime que des pertes comparables ont augmenté d’environ 28% en 2026. La répartition de ces pertes est tout aussi importante que le total. Le coût moyen d’un incident était d’environ 3,82 millions de dollars, tandis que la perte médiane n’était que de 138 703 dollars. Le coût moyen était donc plus de 27 fois supérieur à la médiane, montrant que quelques défaillances extrêmes ont entraîné le résultat global. Trois incidents seulement, Kelp DAO, Drift Protocol et un vol d’hameçonnage ciblé de 284 millions de dollars, représentaient environ 65% de toutes les pertes déclarées sur le premier semestre. Un classement des pertes nécessite plus d’un seul chiffre Les rapports d’incidents crypto comparent fréquemment des données qui mesurent différentes formes de dommages.

Pertes brutes

La valeur retirée d’un protocole ou d’une victime avant les récupérations.

Extraction réalisée

Les actifs que l’attaquant a réussi à convertir en valeur économique transférable.

Perte nette

Le montant qui manque encore après gels, retours, remboursements et récupérations.

Passifs des utilisateurs

Les créances dues par une plateforme, qui peuvent être plus importantes ou plus faibles que les produits initiaux de l’attaquant.

Exposition notionnelle

La valeur théorique des actifs émis frauduleusement ou placés à risque, même lorsque l’attaquant ne pouvait pas monétiser l’intégralité du montant.

Le classement ci-dessous utilise principalement les pertes brutes déclarées. Les récupérations, les valorisations contestées et les différences entre les produits de l’attaquant et les passifs de la plateforme sont indiqués séparément. Pour les incidents impliquant la création de tokens non adossés, l’extraction réalisée est plus significative que la valeur nominale de l’offre frauduleuse. Sinon, un attaquant qui crée 100 millions de dollars d’un token illiquide mais extrait 1 million de dollars de collatéral réel pourrait être classé de façon incorrecte comme ayant volé l’intégralité des 100 millions. Les plus importantes pertes crypto déclarées de 2026

1. Kelp DAO – 292 millions de dollars Le 18 avril, des attaquants ont fait en sorte que le contrat de pont Ethereum de Kelp DAO libère environ 116 500 rsETH sans brûlage correspondant de token sur la chaîne source. L’enquête de Chainalysis a révélé que les attaquants avaient compromis deux nœuds RPC internes utilisés par le réseau de Decentralized Verifier de LayerZero tout en perturbant simultanément un endpoint RPC externe via une attaque par déni de service distribué. Les nœuds manipulés ont rapporté un brûlage côté chaîne source qui n’avait jamais eu lieu. Comme la configuration du pont de Kelp reposait sur un seul vérifieur, aucun second réseau indépendant n’était requis pour confirmer si le brûlage rapporté était réel. Le contrat de destination a reçu un message correctement formaté et signé, puis a libéré les actifs exactement comme programmé. La défaillance venait de l’infrastructure fournissant l’information au contrat, pas de l’exécution de cette information par le contrat. Kelp a stoppé rapidement les contrats concernés pour empêcher une seconde tentative de retrait impliquant environ 40 000 rsETH, soit environ 95 millions de dollars. Le Arbitrum Security Council a ensuite gelé 30 766 ETH liés à l’activité en aval de l’attaquant. Chainalysis et LayerZero attribuent l’opération au groupe Lazarus de Corée du Nord, plus précisément à son sous-groupe TraderTraitor. L’attribution a été réalisée par des parties directement impliquées dans l’enquête, bien que les conclusions concernant des acteurs sponsorisés par l’État puissent encore évoluer à mesure que de nouvelles preuves émergent. Le montant gelé n’efface pas l’échec initial de comptabilisation du pont. Les pertes brutes, les fonds récupérables, les produits de l’attaquant et tout déficit d’adossement restant doivent être traités comme des chiffres distincts.
2. Drift Protocol – 285 millions de dollars Drift Protocol a perdu environ 285 millions de dollars le 1er avril après que des attaquants aient obtenu le contrôle administratif de son Security Council. D’après Chainalysis, des individus se faisant passer pour des représentants d’une entreprise de trading quantitatif ont passé des mois à établir des relations avec des contributeurs de Drift. Les membres du Security Council ont finalement été persuadés de signer des transactions en utilisant la fonctionnalité de durable-nonce de Solana, qui permet de conserver des transactions valablement signées et de les exécuter à une date ultérieure. Ces transactions ont transféré le contrôle administratif à une adresse contrôlée par l’attaquant. Une fois cette autorité obtenue, les attaquants ont supprimé les limites de retrait, approuvé un token appelé CVT, quasiment sans valeur, comme collatéral, lui ont attribué une valorisation artificielle, puis ont déposé 500 millions d’unités. La position résultante a été utilisée pour retirer USDC, SOL, ETH et d’autres actifs portant une valeur externe réelle. La prise de contrôle administrative s’est produite via deux transactions exécutées une seconde d’intervalle, mais les retraits suivants ont continué sur une période plus longue. Décrire l’ensemble de la perte de 285 millions comme survenu en 10 secondes serait donc inexact. Chainalysis a fondé une partie de sa reconstruction sur l’enquête interne de Drift et a noté que le compte n’avait pas encore été vérifié indépendamment via une revue réalisée par un tiers. Des preuves préliminaires étaient cohérentes avec des opérations nord-coréennes précédentes, mais l’attribution formelle restait en attente. Drift a ensuite évoqué environ 295 millions de dollars de pertes pour les utilisateurs. Ce chiffre plus élevé semble représenter des passifs de la plateforme plutôt que les produits initiaux de l’attaquant et ne devrait pas être traité comme une estimation alternative de la même quantité.
3. Perte d’hameçonnage ciblé rapportée par CertiK – 284 millions de dollars Un seul individu a perdu environ 284 millions de dollars lors d’un incident d’ingénierie sociale ciblée en janvier, selon CertiK. L’identité de la victime et la séquence complète de l’attaque n’ont pas été divulguées publiquement. Cela limite les conclusions qu’il est possible de tirer de manière responsable concernant la configuration du portefeuille, la méthode précise d’ingénierie sociale et les perspectives de récupération. L’ampleur reste toutefois significative. Un portefeuille contrôlé en privé a produit presque autant de dégâts financiers que la faille de Drift Protocol et a dépassé les pertes combinées de la plupart des plus petites exploits de protocoles enregistrés au cours du premier semestre de l’année. CertiK a comptabilisé 366,3 millions de dollars de pertes liées à l’hameçonnage sur 63 incidents au S1. Le nombre de cas d’hameçonnage a diminué de 52,3% par rapport à la même période en 2025, mais les pertes n’ont baissé que de 10,8%. Quatre incidents représentaient environ 85% de toutes les pertes liées à l’hameçonnage. Les données suggèrent un changement dans le choix des cibles plutôt que la disparition de l’hameçonnage. Les campagnes larges restent courantes, mais le résultat financier est de plus en plus déterminé par une petite série d’opérations soigneusement préparées, dirigées vers des personnes ou organisations contrôlant une richesse onchain substantielle.
4. Step Finance – Environ 40 millions de dollars Step Finance a déclaré qu’environ 40 millions de dollars avaient été drainés de sa trésorerie le 31 janvier après la compromission d’appareils utilisés par des membres de son équipe exécutive. Dans sa mise à jour officielle de l’incident, le projet a indiqué qu’il avait récupéré environ 3,7 millions de dollars d’actifs Remora, ainsi qu’un autre million de dollars sur d’autres positions.

Déclaration sur l’incident de sécurité récent

Dans les premières heures de l’après-midi du 31 janvier (APAC), environ $40M a été drainé de la trésorerie de Step Finance. Cela est dû à la compromission des appareils de notre équipe exécutive.

Immédiatement après avoir détecté la faille, nous avons commencé à travailler…

— Step☀️ (@StepFinance_) le 2 février 2026

Des estimations onchain antérieures plaçaient la perte plus près de 27 millions de dollars, car elles se concentraient sur les environ 261 854 SOL identifiés initialement comme quittant les portefeuilles de la trésorerie. Le chiffre ultérieur de Step inclut un groupe plus large d’actifs affectés. Utiliser l’estimation brute de 40 millions de dollars du projet tout en rapportant séparément le montant récupéré donne une image plus complète que de choisir un seul chiffre sans expliquer pourquoi les estimations diffèrent. Les conséquences financières d’une attaque peuvent aussi dépasser le montant transféré à l’attaquant. Le financement d’urgence, les frais juridiques, l’indemnisation des utilisateurs, les opérations interrompues et le chiffre d’affaires perdu peuvent faire que l’impact commercial final soit plus important que le retrait onchain initial. 5. Humanity Protocol – 36 millions de dollars Humanity Protocol a subi une attaque le 9 juin après qu’un appareil compromis a exposé des données de portefeuille et des clés privées associées à des comptes de projet privilégiés. Dans son explication officielle, Humanity a indiqué que l’attaquant avait copié les clés privées depuis l’appareil et les avait utilisées pour exécuter l’attaque onchain. Le projet a également indiqué que le contrat du token Ethereum H était protégé par un multisig propre distinct et que son pont principal canonique sur le mainnet n’avait pas été compromis.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) 12 juin 2026

Les estimations publiées varient d’environ 31 millions à 36 millions de dollars, en partie parce que les tokens H dérobés ont été valorisés à des prix de marché différents et à des étapes différentes de l’incident. Le problème structurel le plus important était toutefois la concentration de plusieurs identifiants privilégiés sur un seul point d’accès compromis. Un arrangement par multi-signature n’offre une protection significative que lorsque ses clés sont séparées entre des personnes, des appareils, des emplacements et des environnements administratifs. Plusieurs identifiants stockés sur le même ordinateur compromis ou récupérables depuis celui-ci peuvent satisfaire un seuil de signature onchain tout en fonctionnant comme un seul point de défaillance pratique. 6. Resolv Protocol – Environ 26,8 millions de dollars Resolv Protocol a été exploité le 22 mars après qu’un attaquant a compromis son infrastructure cloud et obtenu l’accès à une clé contrôlée via AWS Key Management Service. Resolv a utilisé un service hors chaîne pour autoriser la création de USR après que les utilisateurs ont déposé un collatéral. D’après l’analyse d’incident de CertiK, l’attaquant a effectué des dépôts USDC légitimes relativement faibles, puis a utilisé le rôle de service compromis pour autoriser environ 80 millions d’USR sur deux transactions. Le contrat a vérifié que l’autorisation provenait du service approuvé. Il imposait une sortie minimale mais n’appliquait pas un montant maximal lié au collatéral déposé par l’utilisateur. Une fois le service privilégié compromis, l’attaquant pouvait produire des signatures cryptographiquement valides mais économiquement non soutenues. Cela ne signifie pas que les services de gestion de clés cloud sont intrinsèquement inadaptés à l’infrastructure crypto. Le véritable problème de conception était le niveau d’autorité économique non limitée accordé à un seul rôle de service. Une clé protégée peut toujours devenir un point de défaillance catastrophique lorsque le contrat qui reçoit ses signatures n’applique pas indépendamment des ratios de collatéral, des plafonds d’émission, des limites de transaction ou une vitesse de retrait. 7. Truebit – 26 millions de dollars Truebit a été exploité le 8 janvier via une vulnérabilité de dépassement d’entier (integer-overflow) dans un contrat de bonding-curve déployé en 2021. Le contrat avait été compilé avec Solidity 0.5.3, avant l’introduction de la protection automatique contre les dépassements dans Solidity 0.8.0. Un attaquant a fourni une valeur exceptionnellement grande qui a fait en sorte que le calcul arithmétique s’enroule vers un nombre proche de zéro. Cela a permis de frapper de grandes quantités de TRU pour presque aucun ETH, puis de les racheter contre de l’ETH réel détenu par le contrat. Chainalysis a estimé la perte principale à 26,2 millions de dollars. CertiK a placé le montant combiné plus près de 26,6 millions de dollars, incluant environ 224 000 dollars extraits par un second attaquant. La mise en œuvre vulnérable n’avait pas été vérifiée publiquement sur Etherscan. Cela n’a pas empêché les attaquants de l’examiner. Le bytecode du contrat peut être décompilé, le comportement des anciens compilateurs peut être identifié, et des vulnérabilités suspectées peuvent être testées via des simulations ou des forks de blockchain. Truebit est l’exception majeure la plus claire au schéma plus large observé en 2026. Sa perte provenait de la logique d’exécution publique, plutôt que d’une autorité opérationnelle compromise. Cela montre aussi pourquoi les contrats dormants doivent rester dans les périmètres d’audit, de monitoring et de bug-bounty aussi longtemps qu’ils conservent des fonds ou des permissions. Pourquoi Echo Protocol ne figure pas comme un vol de 76,7 millions de dollars Echo Protocol est parfois décrit comme ayant subi une perte de 76,7 millions de dollars parce qu’un attaquant a utilisé une clé administrateur compromise pour frapper 1 000 eBTC non adossés portant cette valeur notionnelle. L’attaquant n’a pas extrait 76,7 millions de dollars d’actifs réels. D’après Merkle Science, 45 des eBTC frauduleux ont été déposés dans le protocole de lending Curvance. L’attaquant a emprunté environ 11,29 WBTC, d’une valeur d’environ 867 000 dollars, avant que les 955 eBTC non adossés restants ne soient brûlés. Les chiffres exacts sont donc :

• Émission frauduleuse : environ 76,7 millions de dollars en eBTC notionnels.
• Actifs réels extraits : environ 867 000 dollars en WBTC.
• Offre non adossée restante : brûlée après l’incident.

Classer l’intégralité du montant notionnel comme volé exagérerait le dommage réalisé d’environ 90 fois. Echo expose toutefois un problème important de risque de collatéral. L’oracle de Curvance a correctement reconnu la valeur de marché attribuée aux eBTC, mais il n’a pas pu déterminer que ces tokens particuliers avaient été créés sans adossement. L’intégrité des prix n’est pas la même chose que l’intégrité de l’émission. Les protocoles de lending acceptant un collatéral émis à l’extérieur ont besoin de contrôles pour la création anormale d’offre, les changements d’autorité d’émission, les dépôts soudains de collatéral, la vérification de l’adossement et le risque administratif au niveau de l’émetteur. Un flux de prix correct ne peut pas répondre à lui seul à ces questions. La défaillance commune était le Control Plane Les plus grands incidents de 2026 ne partageaient pas une seule vulnérabilité de code. Ils partageaient des faiblesses dans les systèmes responsables de décider ce que le code était autorisé à faire. En terminologie d’infrastructure traditionnelle, la couche d’exécution traite l’activité ordinaire, tandis que le control plane détermine les permissions, les configurations, les sources de données de confiance et les actions exceptionnelles.

Cette distinction correspond de près aux plus grands incidents :

Kelp : un vérifieur a accepté une version fabriquée de l’activité côté chaîne source.

Drift : des signatures valides ont transféré le contrôle administratif.

Step : des appareils exécutifs compromis ont exposé l’autorité de trésorerie.

Humanity : un endpoint compromis a exposé des clés privilégiées.

Resolv : un rôle de service compromis a créé des autorisations valides mais économiquement non soutenues.

Echo : une seule clé administrateur pouvait accorder une autorité d’émission sans plafond.

Truebit : l’exception était une faille arithmétique dans le code de contrat legacy.

CertiK a enregistré 204 incidents de vulnérabilités de code au cours du premier semestre de l’année, produisant environ 151,6 millions de dollars de pertes. Les compromissions de portefeuilles ont causé 444,5 millions de dollars sur seulement 33 incidents. Cela donne une moyenne d’environ 743 000 dollars par incident de vulnérabilité de code et 13,5 millions de dollars par incident de compromission de portefeuille. En moyenne, une compromission de portefeuille était environ 18 fois plus coûteuse. La comparaison ne rend pas moins importantes les audits de smart contracts. Elle montre que l’audit du contrat, en excluant ses signataires, ses dépendances RPC, ses interfaces administratives, ses rôles cloud et ses contrôles d’urgence, laisse une part substantielle du système financier non testée. Cinq contrôles qui traitent les défaillances réelles Imposer des limites économiques après l’authentification Une signature valide doit prouver qui a approuvé une action. Elle ne doit pas accorder une autorité économique illimitée. Le minting, le bridging, l’approbation de collatéral et les retraits peuvent toujours être limités via des tailles maximales de transaction, des limites glissantes, des ratios de collatéral, des délais, des plafonds spécifiques aux actifs, et des pauses automatiques. Ces contrôles ne préviendront peut-être pas une compromission d’identifiants, mais ils peuvent empêcher une clé compromise de créer immédiatement une responsabilité illimitée. Mesurer l’indépendance, pas le nombre de clés Un multisig 3-sur-5 n’est pas véritablement distribué lorsque trois clés peuvent être récupérées depuis un seul ordinateur portable ou contrôlées via le même compte d’entreprise. Les recommandations de NIST sur la gestion des clés mettent l’accent sur des contrôles de cycle de vie incluant l’autorisation, les sauvegardes, la responsabilisation, la séparation des tâches, la réponse en cas de compromission et la protection du matériel de clé. Les protocoles devraient identifier si des signataires supposés indépendants partagent des appareils, des gestionnaires de mots de passe, des locataires cloud, des procédures de récupération, des emplacements physiques ou des lignes de reporting. Surveiller les relations, pas seulement les transactions Chaque transaction individuelle dans l’exploit de Kelp semblait valide. La défaillance détectable était l’absence de relation entre les deux chaînes : des rsETH ont été libérés sur Ethereum sans brûlage sur la chaîne source. Le monitoring des ponts doit rapprocher en continu les verrous, les brûlages, les mints et les libérations sur chaque réseau concerné. Des vérifications d’invariants similaires peuvent comparer le collatéral déposé aux tokens frappés, les réserves à l’offre en circulation, et les limites de retrait approuvées aux sorties réelles. Simuler l’intention administrative avant de signer Les hardware wallets protègent les clés privées, mais ne peuvent pas déterminer si un utilisateur légitime approuve une transaction malveillante. Les transactions administratives doivent être décodées et simulées dans un environnement séparé avant exécution. Les signataires doivent voir les changements de permission qui en résultent, les actifs de collatéral nouvellement approuvés, les paramètres de tarification, les limites de retrait, les upgrades de contrat et les transferts de propriété, pas seulement une empreinte (hash) de transaction ou une invite de wallet opaque. Garder les contrats legacy à l’intérieur du périmètre de sécurité Un contrat ne devient pas plus sûr simplement parce qu’il a fonctionné sans incident pendant plusieurs années. Tout déploiement qui détient des actifs, traite des rachats, contrôle les permissions du protocole, ou reste connecté à des produits actuels, devrait disposer de code source vérifié, d’hypothèses de compilation documentées, d’un monitoring actif, et d’une inclusion dans les programmes d’audit et de bug-bounty. La décompilation assistée par IA peut réduire le temps dont les attaquants ont besoin pour identifier d’anciennes failles arithmétiques, des erreurs de contrôle d’accès ou de validation. La sécurité par l’obscurité devient moins efficace à mesure que ces outils s’améliorent. L’IA amplifie des modèles de fraude existants L’IA n’a pas créé les vulnérabilités fondamentales derrière Kelp, Drift, Resolv ou Echo. Son effet immédiat est plutôt de réduire le coût de la recherche de cibles, de l’usurpation d’identité, de la localisation et de la communication soutenue. Le Crypto Crime Report 2026 de Chainalysis, qui analyse l’activité 2025, a constaté que les opérations de scam avec des liens identifiables à des fournisseurs de services IA étaient environ 4,5 fois plus rentables que les scams sans ces liens. Cette preuve ne doit pas être présentée comme une démonstration que chaque attaque sophistiquée en 2026 utilisait de l’IA. Elle indique que les opérations assistées par IA produisaient déjà de meilleurs rendements et pouvaient rendre plusieurs techniques établies plus faciles à mettre à l’échelle :

Identité synthétique

Imitation par deepfake de vidéos et voix.

Reconnaissance avancée

Recherche ciblée sur les réseaux sociaux et professionnels.

Ingénierie sociale multilingue

Conversations longues et persistantes dans plusieurs langues.

Hameçonnage adaptatif

Interfaces clonées et pages d’hameçonnage personnalisées.

Recherche automatisée de vulnérabilités

Analyse automatisée de contrats et bytecode décompilé.

Le développement probable est une combinaison de méthodes sociales et techniques. L’ingénierie sociale permet d’obtenir les identifiants ou l’autorisation ; des permissions existantes du protocole transforment ensuite cet accès en perte financière. La régulation change la responsabilisation, pas la mécanique des exploits La période transitoire MiCA de l’Union européenne s’est achevée le 1er juillet 2026. Les prestataires de services d’actifs crypto couverts nécessitent généralement désormais une autorisation pour continuer à opérer dans l’UE, selon le champ de la réglementation et les décisions nationales de supervision. MiCA peut renforcer la gouvernance, la garde (custody), les contrôles opérationnels et la responsabilisation. Elle ne peut pas déterminer si un pont utilise des vérifieurs indépendants, si des clés privilégiées sont correctement séparées, ou si un signataire autorisé comprend une transaction malveillante. La loi US GENIUS Act a été promulguée le 18 juillet 2025 et établit un cadre fédéral pour les stablecoins de paiement. Elle ne constitue pas un régime général de cybersécurité pour chaque bridge, exchange, wallet ou protocole DeFi. La régulation détermine qui est responsable et quelles garanties devraient exister. L’ingénierie sécurité détermine si un message forgé, une clé compromise ou une approbation malveillante peut exécuter l’action avant que ces garanties ne répondent. Ce qu’il faut surveiller pour le reste de 2026 Le tableau final de sécurité en 2026 doit être évalué à travers plus que la somme des pertes marquantes en une seule manchette.

Renseignement sur la sécurité : indicateurs clés

Concentration des pertes

Si quelques incidents extrêmes continuent de dominer le total annuel.

Surface d’attaque

Si les compromissions de portefeuilles, administratives, cloud et d’infrastructure restent plus coûteuses que les exploits de code.

Dommage ajusté à la récupération

Combien manque encore après gels, remboursements et retours négociés.

Qualité de l’attribution

Si des liens préliminaires avec des groupes sponsorisés par des États sont étayés par des enquêtes terminées.

Adoption des contrôles

Si les protocoles introduisent une vérification indépendante, la simulation de transactions, la séparation des clés et des limites économiques opposables avant le prochain gros incident.

Ce classement est un instantané préparé le 17 juillet, pas un enregistrement final de l’année. Près de 46% de 2026 reste à couvrir, et les chiffres historiques des pertes pourraient continuer à évoluer avec des récupérations d’actifs, des révisions des prix des tokens, de nouveaux portefeuilles identifiés, et des distinctions plus nettes entre exposition notionnelle et vol réalisé. Les éléments avancent vers une conclusion plus étroite : les incidents à plus forte valeur ciblent de plus en plus les systèmes de control autour des smart contracts, des signataires, des appareils, de l’infrastructure RPC, des services privilégiés et des réseaux de vérification, plutôt que la logique des contrats seule.

Cet article est fourni à titre uniquement informatif. Les valorisations des incidents peuvent changer en raison des mouvements de prix des actifs, des récupérations, des attributions révisées et des différences entre l’exposition brute, l’extraction réalisée et les pertes nettes.