Les plates-formes cryptographiques ont perdu 3,63 milliards de dollars sur 245 incidents de sécurité documentés entre janvier 2025 et juillet 2026, selon le rapport sur l'état de la sécurité cryptographique de CoinGecko publié le 27 août.
Résumé
- Les plateformes de cryptographie ont perdu 3,63 milliards de dollars sur 245 incidents documentés entre janvier 2025 et juillet 2026.
- Les dix attaques les plus importantes représentaient plus de 72,5 % de tous les fonds volés enregistrés dans le monde.
- Les plateformes auditées ont représenté 147 incidents et 88,44 % des pertes signalées sur l'ensemble de la période d'étude.
- Seuls 11 % des incidents impliquaient des vulnérabilités couvertes par les audits de routine des contrats intelligents, a rapporté publiquement CoinGecko.
- La couverture d'assurance active en chaîne a chuté de 20,2 % à 130,2 millions de dollars tandis que cinq protocoles ont été supprimés ou pivotés.
Les pertes étaient fortement concentrées. Les dix attaques les plus importantes ont représenté plus de 72,5 % de la valeur totale volée, tandis que les compromissions au niveau des infrastructures et de la chaîne d'approvisionnement ont causé plus de 1,8 milliard de dollars de pertes.
CoinGecko a identifié la compromission de clé privée comme le principal risque pour les échanges centralisés. Les applications décentralisées ont perdu environ 546 millions de dollars à cause des exploits des contrats intelligents, tandis que les deux catégories de plates-formes ont également été confrontées à des manipulations d'Oracle et à des défaillances de mécanismes internes.
Les chiffres représentent l'ensemble de données d'incidents de CoinGecko. Le résumé publié n'indique pas clairement si tous les actifs récupérés ou gelés ont été déduits, de sorte que les 3,63 milliards de dollars doivent être traités comme une estimation de perte déclarée plutôt que comme une perte nette totale finale.
Les pertes de sécurité cryptographiques se sont concentrées sur des attaques majeures
La violation de Bybit en février 2025 a été l'incident le plus important inclus, représentant environ 1,44 milliard de dollars. L’attaque impliquait une infrastructure de signature de transactions compromise plutôt qu’un défaut dans un contrat d’échange intelligent.
D'autres incidents majeurs incluent la violation de KelpDAO d'une valeur de 292 millions de dollars, l'attaque du Drift Protocol de 285 millions de dollars et l'exploit Cetus de 223 millions de dollars. Leurs différentes méthodes montrent pourquoi un seul contrôle de sécurité ne peut pas couvrir la totalité de la surface d'attaque du secteur.
Les attaques d'infrastructure peuvent cibler les clés privées, les appareils des employés, les interfaces frontales, les dépendances logicielles et les opérateurs de pont. Ces composants se situent souvent en dehors des contrats intelligents examinés lors des audits conventionnels.
Les groupes soutenus par l’État ont également adopté des opérations plus longues et plus complexes. Comme indiqué précédemment, deux attaques liées à la Corée du Nord ont coûté environ 577 millions de dollars en raison de l’ingénierie sociale et des compromissions des infrastructures de pont plutôt que de simples failles contractuelles.
Les audits n’ont couvert qu’une minorité des faiblesses exploitées
CoinGecko a découvert que 147 des 245 plates-formes concernées, soit environ 60 %, avaient effectué un audit de sécurité indépendant avant d'être attaquées. Ces plateformes représentent 88,44% des pertes enregistrées.
Cette constatation n’établit pas que les auditeurs ont approuvé la composante vulnérable. CoinGecko a déclaré qu'environ 11 % seulement des incidents impliquaient des failles qui entraient dans le cadre des audits de routine des contrats intelligents.
Ces défaillances importantes ont néanmoins causé des pertes d’environ 396 millions de dollars. La plupart des autres incidents impliquaient une infrastructure externe, des mises à jour logicielles non auditées, des informations d'identification compromises ou des mécanismes de gouvernance que l'audit n'a pas évalué.
Un audit est également un instantané d'une version de code particulière. Les modifications apportées après l'examen peuvent introduire de nouvelles vulnérabilités. Son efficacité dépend de la portée, de la méthodologie, de l'expérience de l'auditeur et de la question de savoir si les développeurs ont résolu les conclusions.
Dans le même ordre d'idées, l'examen de sécurité de Ripple a identifié 96 problèmes avant que le code concerné n'atteigne les utilisateurs, montrant que les audits peuvent éviter les pertes lorsque les résultats arrivent avant l'activation. Ils ne peuvent remplacer la surveillance continue et la sécurité opérationnelle.
La capacité d’assurance en chaîne a diminué à mesure que les attaques augmentaient
La couverture active des principaux protocoles d'assurance en chaîne a diminué de 20,2 %, passant de 163,2 millions de dollars à 130,2 millions de dollars. Les paiements cumulés sont restés proches de 33 millions de dollars, selon CoinGecko.
Cinq des neuf protocoles suivis étaient devenus inactifs ou avaient été transférés dans d'autres domaines d'activité en août 2026. CoinGecko a attribué ce retrait en partie au risque élevé, aux primes élevées et à la difficulté d'attirer des fournisseurs de capitaux.
Le chiffre de couverture de 130,2 millions de dollars ne doit pas être comparé directement aux 3,63 milliards de dollars en tant que ratio de couverture formel. La première est une mesure ponctuelle, tandis que la seconde couvre les incidents cumulés sur 19 mois.
Les politiques contiennent également des définitions étroites. Certains couvrent les échecs vérifiés des contrats intelligents, mais excluent le phishing, le vol de clé privée, les erreurs des employés, la volatilité du marché et les pertes impliquant des chaînes non prises en charge.
Les bourses s’appuient de plus en plus sur des réserves autofinancées
Les bourses centralisées ont de plus en plus établi des fonds de protection des investisseurs au lieu d’acheter une assurance externe complète. Ces réserves peuvent permettre un remboursement plus rapide après une violation.
Toutefois, un fonds de protection n’est pas automatiquement équivalent à une assurance réglementée. La couverture dépend des conditions de l'échange, de la conservation des réserves, de la composition des actifs et du pouvoir discrétionnaire sur les événements éligibles.
Les attestations de réserves répondent à un autre problème en montrant qu'une bourse contrôle les actifs correspondant aux soldes des clients. Ils n'établissent pas une gestion sécurisée des clés et ne prouvent pas que toutes les responsabilités ont été divulguées.
Le prochain test du rapport sera de savoir si les plateformes étendent les audits au-delà des contrats intelligents aux systèmes opérationnels, aux ponts et aux dépendances logicielles. Les assureurs doivent également déterminer s’il est possible d’offrir une protection plus large sans rendre les primes inabordables.
Voir l’article original en anglais
