Les projets de cryptographie doivent réviser régulièrement les anciens contrats intelligents, car les outils d'IA accélèrent la recherche de vulnérabilités et réduisent la pertinence des audits ponctuels. Cointelegraph écrit à ce sujet en référence à TRM Labs et au rapport CertiK.
Dans un commentaire à la publication, Ari Redbord de TRM Labs a noté que les méthodes d'attaque évoluent plus rapidement que l'audit réalisé lors du lancement du protocole ne pouvait être pris en compte.
« Nos données plaident en faveur d'une vérification continue », a-t-il souligné.
Dans un rapport du premier semestre, les analystes de CertiK ont indiqué que les pertes dans le secteur Web3 s'élevaient à environ 1,32 milliard de dollars sur 344 incidents. En tenant compte des fonds gelés et restitués, la société a estimé la perte nette à environ 1,2 milliard de dollars.
Le principal vecteur du nombre d'incidents était les vulnérabilités du code : CertiK a enregistré 204 cas de ce type pour 151,6 millions de dollars. L'entreprise a noté séparément une augmentation de la part des attaques sur les contrats de plus d'un an. Selon elle, cela témoigne d'un retour systématique des attaquants vers d'anciennes bases, et pas seulement vers des projets récemment lancés.
Pourquoi les anciens audits ne suffisent plus
Un contrat intelligent peut rester actif pendant des années après l’audit initial. Pendant ce temps, les outils de détection de bugs évoluent, de nouvelles techniques d'exploitation apparaissent et les anciens protocoles peuvent perdre les équipes de support et l'attention des auditeurs.
CertiK a averti que la « fenêtre de vulnérabilité maximale » ne se ferme pas après le lancement. L'entreprise estime que les projets dotés d'infrastructures plus anciennes devraient considérer les réaudits comme une exigence opérationnelle régulière. Cependant, les experts ne prétendent pas qu’il a déjà été prouvé que l’augmentation des attaques contre les anciens contrats était causée par l’IA. Ce modèle est probablement soutenu par les améliorations apportées aux outils automatisés permettant de trouver des vulnérabilités cachées dans de grands volumes de code, indique le rapport.
TRM Labs, dans sa propre enquête, a enregistré 207 attaques de pirates informatiques en six mois, un record pour son échantillon. Dans le même temps, le total des dommages s'est élevé à 972 millions de dollars, soit moins de la moitié du chiffre de la même période en 2025. Les analystes ont expliqué cet écart par la structure des attaques : la majorité des incidents étaient des exploits dans des contrats intelligents – 125 cas sur 207.
Toutefois, les principaux dégâts n’ont pas été causés par eux, mais par des compromissions majeures dans les infrastructures et les opérations, notamment des attaques contre les clés, les signatures et les systèmes de gestion des fonds. Ils représentaient environ 15 % des incidents, mais environ 76 % des biens volés.
Un autre facteur est l’activité des groupes associés à la RPDC. TRM Labs estime avoir volé environ 643 millions de dollars, soit environ les deux tiers de tous les fonds volés au cours du premier semestre. Presque tous ces dégâts proviennent de deux attaques en avril – contre Drift Protocol et KelpDAO.
Affaire Zcash
La publication a cité l'incident de Zcash comme exemple. Le 29 décembre, l'ingénieur en sécurité Taylor Hornby a découvert une vulnérabilité critique dans le pool Orchard, l'un des composants clés des transactions privées. Il existait depuis l’activation d’Orchard en mai 2022 jusqu’au déploiement du correctif d’urgence le 1er juin 2026.
Le bug aurait pu permettre la création silencieuse d’un nombre illimité de fausses ZEC au sein du pool. En raison de sa nature privée, l’équipe n’a pas été en mesure de prouver cryptographiquement si la vulnérabilité avait été exploitée avant l’application du correctif. Cependant, Shielded Labs a indiqué qu’elle jugeait un tel scénario peu probable. Cependant, cet exemple montre que même un code éprouvé avec de nombreuses années d’histoire peut contenir des défauts.
Comment l’IA change la chasse aux vulnérabilités
Anthropic enregistre également la croissance de l’efficacité de l’IA dans ce domaine. La société a publié une étude sur la capacité des agents d’IA à trouver et exploiter les vulnérabilités des contrats intelligents.
Sur le benchmark Banc SCONE les agents ont vérifié 405 contrats effectivement piratés de 2020 à 2025. Pour la partie de l'ensemble présentant des vulnérabilités après la date limite de connaissance du modèle, le résultat sur l'année est passé de 2% à 55,88%. La valeur totale des exploits simulés avec succès est passée de 5 000 $ à 4,6 millions de dollars.
Anthropic a également estimé le coût moyen d'une analyse complète des vulnérabilités par contrat à 1,22 $. La société a averti qu’à mesure que les prix baissent et que les agents deviennent plus compétents, la fenêtre entre l’introduction d’un code défectueux et son exploitation va se réduire.
Cointelegraph a souligné séparément les attaques contre des protocoles déjà fermés ou dont le travail est limité pour les utilisateurs. Ainsi, l’attaquant a retiré environ 2,19 millions de dollars d’Aztec Connect, une solution de transactions privées dont le support a été interrompu en 2023.
Auparavant, les auteurs du rapport du Google Threat Intelligence Group avaient enregistré la popularité croissante de l'IA parmi les cybercriminels. L’unité a découvert pour la première fois un pirate informatique utilisant un bug zero-day développé grâce à l’intelligence artificielle. Il prévoyait de l'utiliser pour une attaque massive, mais les experts de la société ont réussi à prévenir la menace.
Rappelons qu'en novembre 2025, les experts de Google étaient arrivés à la conclusion que plusieurs nouvelles familles de malwares utilisaient de grands modèles de langage pour les attaques de pirates.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE
Voir l’article original en russe
