En juillet 2026, le code de BonkDAO, l'organisation dirigeante de memcoin sur Solana, fonctionnait parfaitement. Malgré cela, environ 20 millions de dollars ont été retirés du Trésor. Personne n’a rien piraté au sens habituel du terme : le vote était réel.
Dans le nouveau matériel ForkLog, nous expliquons comment les attaques contre le contrôle deviennent la norme, le facteur humain est le choix numéro un des pirates informatiques et l'analyse IA des anciens contrats intelligents est un fléau pour la cybersécurité et en même temps un passe-partout pour les attaquants.
Attaque contre la décentralisation
Le 6 juillet 2026, BonkDAO a connu une prise de contrôle de gouvernance décentralisée qui a entraîné le vol d'environ 4,43 billions de jetons BONK dans le trésor. L'attaquant a exploité les faiblesses fondamentales de l'architecture DAO et la passivité de la communauté pour effectuer une transaction légale du point de vue du code.
Le schéma d'attaque était le suivant : sous couvert d'une initiative de routine de la proposition d'amélioration de Bonk n°76, qui impliquait de récompenser les participants votants, le pirate informatique a ajouté une fonction malveillante qui impliquait le transfert de fonds du Trésor vers son adresse.
Pour réussir à voter, l'attaquant a dépensé environ 4,4 millions de dollars en échanges centralisés, achetant ainsi le 1% de l'émission totale de BONK nécessaire pour atteindre le quorum. Dans un contexte de participation extrêmement faible, ces fonds ont suffi à contrôler près de 100 % des votes. Après six jours, l'offre a été exécutée automatiquement.
L'attaque réussie a révélé des vulnérabilités critiques dans le système de contrôle du DAO. Il n'existait aucun mécanisme permettant de retarder l'exécution des décisions qui donneraient aux développeurs le temps d'annuler une transaction anormale. De plus, le quorum pour disposer de sommes colossales était trop bas et l'équipe ne disposait pas d'un droit de veto d'urgence.
L'attaquant a lu la charte de l'organisation avec autant d'attention que n'importe quel participant consciencieux et y a trouvé un point faible.
Ce n’est pas le premier cas de ce genre. Un an plus tôt, une tentative similaire avait été faite contre le protocole DAO du composé. En juillet 2024, des attaquants ont tenté de retirer 499 000 jetons COMP (environ 24,1 millions de dollars au taux de change du moment de l'incident) de la trésorerie du protocole en utilisant une proposition d'amélioration malveillante. Avec un taux de participation typique dans l'organisation de 4 à 5 % de l'offre totale de jetons, un tel paquet était suffisant pour prendre le contrôle du vote. Contrairement à Bonk, cette attaque a été repérée et repoussée, mais seulement après que la proposition a été acceptée – par le biais de négociations.
Le faible taux de participation et la concentration des jetons dans une seule main ne sont pas une exploitation d'un bug dans le code, mais un problème avec les mécanismes de décentralisation du Web3.
Début 2026, Vitalik Buterin, co-fondateur d’Ethereum, a appelé la communauté cryptographique à développer des formes de DAO plus avancées et plus efficaces.
Le programmeur a qualifié le modèle de gestion dominant basé sur les jetons d’improductif et de faible. La conception actuelle fonctionne, dit-il, mais elle est inefficace, vulnérable aux détournements et « ne parvient absolument pas à atténuer les défauts de la politique humaine ». C'est là que Buterin voyait la raison du scepticisme de la communauté à l'égard du concept de telles organisations.
L'audit n'est-il pas un indicateur ?
Selon SlowMist, en 2025, le nombre d'incidents sur Web3 a diminué de près de moitié, passant à environ 200 contre 410 un an plus tôt. Dans le même temps, les pertes totales sont passées de 2 milliards de dollars en 2024 à 2,9 milliards de dollars en 2025.
Selon les experts de Chainalysis, les dégâts causés par les piratages étaient plus élevés : 3,4 milliards de dollars. Ils ont calculé que trois cas représentaient 69 % de toutes les pertes – pour la première fois dans l’histoire, l’écart entre l’attaque la plus importante et la moyenne était de 1 000 fois.
Alors qu'ils recherchent des failles dans le contrôle DAO sans une seule ligne d'exploit, les problèmes avec le code sont à l'opposé : les bugs qu'il contient sont techniques, connus depuis longtemps – ils n'en ont tout simplement pas été prévenus à l'avance pour une raison quelconque.
Selon les analystes de Kerberus, 90 % des contrats intelligents piratés en 2025 ont été audités avec succès. La plupart des attaques réussies n'ont pas nécessité la recherche de vulnérabilités complexes du jour zéro : les attaquants ont utilisé des méthodes connues du secteur depuis des années :
- erreurs de réentrance : une autre exécution de la fonction avant la fin de l'appel précédent ;
- erreurs de contrôle d'accès – lorsqu'une fonction critique pour la sécurité est accessible à un cercle de personnes plus large que prévu ;
- manipulation d'oracles – distorsion des données sur le prix d'un actif sur lequel repose le contrat intelligent ;
- erreurs logiques dans le système de protocole métier lui-même que les scanners ne détectent pas.
Les protocoles de pontage entre chaînes nécessitent plus que d’autres des révisions de code de haute qualité.
Selon les données de Phemex d'avril 2026, les ponts ont perdu collectivement plus de 2,8 milliards de dollars depuis 2022, soit environ 40 % de tous les fonds volés sur Web3. Le fait est que la complexité des messages cross-chain crée une large surface d'attaque, physiquement difficile à évaluer pleinement par les spécialistes : un grand nombre de composants indépendants doivent fonctionner en parallèle, et il suffit de se tromper sur l'un d'eux.
L’année 2026 a démontré plusieurs exemples illustratifs avec différents vecteurs d’attaque :
- Le 8 janvier, le protocole de vérification Ethereum Truebit a perdu 26,4 millions de dollars en raison d'un débordement d'entier dans le code. L’attaque a été menée sur un contrat intelligent obsolète pour l’achat/l’émission de jetons TRU, déployé il y a environ cinq ans. Une erreur logique classique qui aurait pu être découverte si l'audit avait été réexécuté après la mise à jour.
- Le 21 février, les attaquants ont pris le contrôle de la clé privée du validateur de pont IoTeX, ont mis à jour le contrat vers une version malveillante, contournant la vérification de la signature, et ont retiré 4,4 millions de dollars, créant simultanément plus de 111 millions de jetons CIOTX et CCS.
- Le 18 avril, le plus grand exploit DeFi de l'année a été une attaque contre le protocole de restauration liquide Kelp : environ 116 500 rsETH ont été retirés du pont vers LayerZero pour 292 millions de dollars. L'incident est devenu possible grâce à la configuration avec un seul validateur de messages cross-chain et une attaque sur RPC-Infrastructure LayerZero.
Les badges d'organisations de cybersécurité comme CertiK et Code4rena n'ont pas réussi à protéger les actifs d'une industrie encore relativement jeune.
Les nouveaux vecteurs d’attaque nécessitent une restructuration des mécanismes de défense déjà mis en œuvre EST-des spécialistes, malgré les problèmes posés par le développement des technologies d’intelligence artificielle.
Invite au lieu d'auditeur
Alors que les experts enquêtaient sur des modèles de vulnérabilités répétitifs, ils ont rencontré un adversaire pour qui une telle analyse est une tâche de routine, résolue à une vitesse inaccessible à toute équipe d'experts réels.
Le 1er décembre 2025, Anthropic a annoncé l'utilisation de modèles d'IA pour trouver des failles dans les contrats intelligents et a découvert de nouveaux exploits totalisant 4,6 millions de dollars.
Pour le tester, les programmeurs ont compilé le banc SCONE, composé de 405 contrats intelligents qui ont été effectivement piratés entre 2020 et 2025. Au cours de la simulation, les réseaux de neurones ont réussi à attaquer 207 d'entre eux, retirant un total de 550,1 millions de dollars. Une partie importante d'entre eux aurait pu être consultée LLM à partir des données d’entraînement.
Pour réduire le risque de relecture de la mémoire, Anthropic a testé séparément 34 contrats intelligents piratés après mars 2025.
Dans la pratique, cela se produit déjà. En juin, les spécialistes de Chainalysis ont signalé avoir enregistré une activité anormale dans les réseaux – plusieurs tentatives presque identiques de piratage simultané de différents contrats, ce qui indique une recherche automatisée de vulnérabilités, et non le travail manuel d'un pirate informatique individuel qui ne serait pas physiquement capable d'attaquer simultanément des dizaines de cibles.
La barrière à l’entrée dans le piratage diminue sensiblement plus rapidement que la qualité de la protection n’augmente. Il y a quelques années à peine, trouver une vulnérabilité exploitable dans le contrat de quelqu'un d'autre nécessitait un spécialiste Solidity expérimenté, capable de relire manuellement le code et de comprendre sa logique. À en juger par les résultats de SCONE-bench, pour une partie importante des attaques typiques, cette tâche peut désormais être réduite à la formulation de la requête correcte.
La clé est plus importante que le contrat
Aucun audit de contrat intelligent n’aurait pu empêcher les vols les plus importants des deux dernières années.
Selon un rapport Chainalysis de 2024, le vol de clé privée était responsable d’environ 40 % des fonds volés, soit plus que tout autre vecteur d’attaque, y compris les vulnérabilités des contrats intelligents.
Depuis 2020, les attaques contre l'infrastructure cryptographique sont de plus en plus dirigées non pas directement contre la blockchain, mais contre les services et l'infrastructure qui l'entourent – les échanges, les portefeuilles et les interfaces par lesquelles les gens gèrent les actifs.
Le hack Bybit est indicatif en ce sens. Le 21 février 2025, la bourse a perdu 1,46 milliard de dollars en ETH, ce qui est devenu le plus grand vol ponctuel de l'histoire de l'industrie de la cryptographie. Les attaquants ont interféré avec le processus de transfert régulier de fonds d'un portefeuille froid vers un portefeuille chaud : dans l'interface Safe, les signataires ont vu les données usurpées et ont approuvé une transaction apparemment correcte, qui a en fait transféré le contrôle du portefeuille aux cybercriminels.
En juin 2026, le Humanity Protocol a subi une attaque similaire : les attaquants ont accédé aux clés via une copie de sauvegarde stockée sur l'ordinateur du développeur, qui était infecté par un malware. Les pertes s'élèvent à environ 31 millions de dollars.
Qu'est-ce qui fonctionne ?
Lorsque ce n’est pas le code qui est piraté, mais le processus de prise de décision, les audits de contrats intelligents à eux seuls ne suffisent plus. Par conséquent, l’industrie modifie à la fois les outils et l’approche de stockage et de confirmation des transactions :
- MPCLes portefeuilles sont des installations de stockage de crypto-monnaie qui utilisent une technologie informatique multipartite. Au lieu d’une clé secrète complète, ils créent plusieurs parties indépendantes stockées séparément les unes des autres. Cela élimine un point de défaillance unique et simplifie la restauration de l'accès ;
- abstraction d'un compte avec un mécanisme de récupération sociale d'accès – la perte ou le vol d'une clé n'entraîne plus une perte permanente de fonds ;
- L'authentification par mot de passe est une méthode de connexion à des comptes sans mot de passe, à l'aide de paires de clés cryptographiques et d'une confirmation d'identité par biométrie (empreinte digitale ou scan du visage) ou par code PIN de l'appareil. Mesure anti-phishing ;
- l'utilisation de matériel et de portefeuilles cryptographiques froids alors qu'auparavant ils s'appuyaient sur des solutions logicielles sur les machines de travail des employés.
Aucun de ces mécanismes ne serait superflu dans les cas de Bybit et de Humanity Protocol – les deux incidents étaient précisément basés sur la compromission de logiciels et d'appareils de travail.
La protection passe progressivement de contrôles ponctuels à une surveillance dynamique des menaces en temps réel. Les projets mettent en œuvre des systèmes automatisés tels que Forta Network et Hypernative, qui surveillent les activités anormales dans le pool de mémoire avant même qu'une transaction malveillante ne soit incluse dans un bloc.
Le modèle de réponse préventive a déjà montré son efficacité dans la pratique. Le 2 septembre 2025, lorsque des attaquants ont tenté d'attaquer le protocole d'atterrissage de Vénus, le système de surveillance Hexagate de Chainalysis a enregistré le déploiement d'un contrat intelligent suspect et une activité anormale 18 heures avant la phase principale de l'attaque. 20 minutes avant la transaction finale, censée vider les pools, le protocole s'est automatiquement mis en pause. Les fonds sont restés en sécurité et les pirates ont gaspillé des ressources en paiements d'essence.
L'architecture de Web3 a été conçue à l'origine dans le but radical d'éliminer complètement la dépendance humaine, laissant le contrôle aux mathématiques immuables. Les statistiques de piratage de ces dernières années montrent l’effet inverse. Un code parfaitement écrit et revérifié est complètement impuissant si le développeur ouvre un lien de phishing et que la communauté décentralisée s'endort pendant le rachat de DAO. Peut-être que la principale vulnérabilité systémique de l’économie blockchain ne réside pas du tout dans les algorithmes, mais dans le fait qu’il y a encore des gens aux deux extrémités du fil ?
Voir l’article original en russe
