Le changement de 763,9 millions de dollars : pourquoi les audits de contrats intelligents n'ont pas pu arrêter le pire trimestre de Web3

Panne de sécurité au deuxième trimestre 2026

Le deuxième trimestre 2026 a été la période la plus grave pour la sécurité du Web3 depuis le deuxième trimestre 2025, les acteurs malveillants ayant extrait 763,9 millions de dollars à travers 67 incidents de sécurité. Le changement déterminant du trimestre a été un changement fondamental dans les profils de vulnérabilité : le code n'est plus la principale surface d'attaque ; les contrôles opérationnels et la gestion des clés le sont.

Plus de 88 % des pertes totales provenaient de compromis opérationnels plutôt que de failles dans la logique des contrats intelligents. Le capital institutionnel est déjà en train de s'ajuster, déplaçant les priorités en matière de diligence raisonnable des audits ponctuels vers une surveillance continue, une gouvernance à accès privilégié et des cadres d'autorisation multi-participants.

Selon le rapport trimestriel de Hacken sur la sécurité et la conformité, les compromissions de clés et d'infrastructures représentaient 88,3 % de tous les fonds volés, soit environ 674,5 millions de dollars. Les bogues de contrats intelligents restent le type d'attaque le plus courant (44 incidents sur 67), mais ne représentent qu'environ 11 % des pertes totales. Environ 75,5 % de toutes les pertes proviennent de seulement deux incidents attribués à des auteurs de menaces nord-coréens, tandis que seulement 9 % des projets suivis maintiennent une surveillance continue et 4 % combinent des audits, des bug bounties et une surveillance en direct.

L’une des principales conclusions du deuxième trimestre est que 14 protocoles audités ont été violés – un indicateur frappant du fossé grandissant entre ce qu’un audit de contrat intelligent évalue réellement et où les acteurs de la menace frappent réellement. Pour les experts en sécurité, ces violations mettent en évidence le défaut fatal de traiter une révision de code à un moment donné comme un bouclier de sécurité global.

« La plus grande idée fausse est qu'un audit est un certificat de sécurité », a déclaré Leo Fan, fondateur de Cysic. « Il s'agit en fait d'une évaluation ciblée d'une base de code particulière à un moment donné. Un audit ne couvre pas automatiquement les appareils signataires, l'infrastructure cloud, les autorisations opérationnelles, le bytecode déployé, les mises à niveau ultérieures, les dépendances tierces ou les anciens contrats qui restent appelables. »

Eric Swartz, associé fondateur et avocat général de Panther Hollow Ventures, a souligné que traiter les audits comme une ligne d'arrivée laisse les protocoles exposés. « Un audit vous indique à quoi ressemblait un système à un moment donné », a déclaré Swartz. « Cela ne garantit pas que les futures mises à niveau, les changements opérationnels ou les nouvelles méthodes d'attaque n'entraîneront pas de risque. Les équipes les plus solides considèrent les audits comme une partie d'un programme de sécurité beaucoup plus large. »

Samuel Videau, CTO chez Genius, a souligné que la section portant sur la portée d'un rapport d'audit révèle souvent ce qui n'a pas été évalué. « Près de 90 % des pertes du deuxième trimestre provenaient des clés, des signataires et de l'infrastructure, tous en dehors de cette section, et 14 projets audités ont quand même été épuisés », a déclaré Videau. « Le bulletin scolaire n'est pas le programme de sécurité. »

Himanshu Sahay, CTO et co-fondateur d'Arch, a souligné que les audits ne peuvent pas suffire à eux seuls. « Un audit est une évaluation ponctuelle importante du code et de l'architecture qui ont été examinés, mais il ne peut pas prendre en compte chaque risque opérationnel ou modification future d'un système », a déclaré Sahay. « La sécurité doit être considérée comme un processus continu. »

Contourner le code : le ventre mou de l'infrastructure hors chaîne

Entre-temps, à mesure que les défenses des contrats intelligents mûrissent et que la logique en chaîne devient de plus en plus difficile à compromettre, les acteurs de la menace ont pivoté de manière décisive. Plutôt que de franchir des portes d’entrée fortement gardées, les attaquants contournent systématiquement entièrement le code pour exploiter les dessous de l’infrastructure hors chaîne.

« La surface la plus sous-estimée est le plan de contrôle hors chaîne : appareils signataires, procédures de génération et de rotation de clés, identités cloud, pipelines CI/CD, services backend, validateurs de pont et chemins d'administration d'urgence », a déclaré Fan. « Les équipes sécurisent souvent le stockage des clés mais accordent moins d’attention à la manière dont les clés sont réellement utilisées… lorsqu’elles sont compromises, les attaquants peuvent produire des transactions techniquement valides en chaîne, ce qui rend la prévention et la détection beaucoup plus difficiles. »

Le périmètre cloud lui-même présente un faux sentiment de sécurité pour de nombreux développeurs Web3.

« L'hypothèse la plus importante est que le recours à un fournisseur de cloud majeur sécurise par défaut une application », a déclaré Jerald David, PDG de Lynq. « Les fournisseurs de cloud sécurisent l'infrastructure sous-jacente, mais les équipes sont toujours responsables de la configuration des systèmes, de la gestion des informations d'identification et des personnes qui y ont accès.

Videau, quant à lui, a averti qu'une architecture inappropriée peut annuler la protection multisig. « L'ensemble de l'opération fonctionne sur des rôles de service trop autorisés et des pipelines CI/CD qui peuvent toucher les clés de production, et si un compte de service peut lire votre clé de signature, votre multisig est un théâtre », a déclaré Videau. « Les contrats obsolètes détenant toujours des droits d'administrateur sont un autre vecteur : le code que vous avez expédié il y a deux ans est une porte ouverte, et les attaquants ne se soucient pas de ce que vous considérez comme étant une portée. »

À mesure que les répartiteurs institutionnels recalibrent leurs modèles de risque, la barre en matière de déploiement de capitaux s’est considérablement relevée. « Prêt pour l'institution » n'est plus défini par un rapport d'audit propre, mais par la preuve de maturité opérationnelle, de gouvernance de niveau entreprise et de contrôles de gestion clés résilients.

«Je regarde d'abord la maturité opérationnelle», a déclaré David. « L'équipe peut-elle expliquer clairement comment les capitaux circulent dans le système, où se trouvent les principaux points de contrôle et comment les risques sont surveillés ? Les institutions ont besoin de prévisibilité et de transparence. »

Sahay a souligné qu’aucun contrôle ne garantit à lui seul un soutien institutionnel. « Les institutions veulent comprendre comment on accède aux systèmes critiques, comment les autorisations sont gérées, comment l'activité est surveillée et quels processus existent en cas de problème », a déclaré Sahay. « C’est la combinaison de contrôles stricts, de transparence et de discipline opérationnelle qui, en fin de compte, renforce la confiance. »

Lors de l’évaluation des protocoles, Fan se concentre sur la carte des privilèges : qui peut déplacer les actifs, remplacer les signataires ou modifier les protections. « Si je devais identifier un contrôle le plus associé à la confiance institutionnelle, ce serait l'autorisation multipartite pour chaque chemin de déplacement et de mise à niveau d'actifs », a déclaré Fan. « Les institutions veulent la preuve qu’une action unilatérale est impossible. »

Swartz a ajouté que les institutions donnent la priorité à la manière dont les équipes gèrent l'adversité. « Les institutions savent qu'aucun protocole n'est totalement sans risque », a déclaré Swartz. « Ce qui compte, c'est que l'équipe dispose d'une bonne gouvernance, de contrôles internes solides, d'une transparence en matière de risques et d'un plan clair pour réagir en cas de problème. »

Les cinq experts conviennent que Web3 doit adopter des piles de défense à plusieurs niveaux intégrant une surveillance en temps réel, une gestion disciplinée des clés et des bug bounties réactifs pour se protéger contre l'évolution des menaces.

« Les actifs numériques fonctionnent 24 heures sur 24, mais certaines parties de l'infrastructure qui les soutient fonctionnent toujours selon les calendriers financiers traditionnels », a noté David. « À mesure que le marché devient plus institutionnel, les infrastructures qui soutiennent le mouvement et l’installation des capitaux doivent également devenir plus résilientes. »

Perspectives pour le deuxième semestre 2026 : réalignement des piles de défense

Les experts préviennent quant à eux que la seconde moitié de 2026 apportera une situation similaire. Plutôt que de brûler les cycles en essayant de rétro-ingénierie des contrats intelligents audités, les acteurs de la menace devraient continuer à emprunter la voie de la moindre résistance : les contrôles opérationnels, les cibles humaines et les infrastructures clés.

« Je m'attends à ce que les attaques de contrôle d'accès opérationnel continuent de dominer les pertes : ingénierie sociale, vol d'informations d'identification, compromission de signataires, intrusion dans le cloud ou CI/CD et attaques sur l'infrastructure de validation hors chaîne », a prédit Fan. « Les bogues individuels liés aux contrats intelligents continueront, mais les attaquants continueront de cibler le chemin le plus court vers l'autorité. »

Videau a conclu en appelant à réaligner les dépenses de sécurité sur les risques réels : « Dépensez là où se situent les pertes. Près de 90 % des fonds volés ont transité par des clés, des signataires et des infrastructures, mais les budgets continuent d'être consacrés aux audits de contrats. Les pires attaques seront celles que personne n'avait prédites, alors construisez comme si votre périmètre avait déjà disparu. »

Trezor One – Portefeuille Matériel de Crypto-Monnaie – Le Stockage à Froid Le Plus Fiable pour Bitcoin, Ethereum, ERC20 et Bien d’autres (Noire)