Quiconque a perdu des actifs cryptographiques en 2026 les a principalement perdus à cause d’une clé volée plutôt que d’une erreur de programmation. Le 4 septembre 2026, le service commercial crypto.news a dressé le bilan des huit premiers mois : au moins 1,3 milliard de dollars de dégâts dans DeFi, et pour la première fois depuis le début des enregistrements, les clés privées compromises devancent les failles du code des contrats intelligents. Pour vous, en tant qu’investisseur, cela déplace la question que vous devez vous poser. Il indique désormais qui détient les clés et combien d'entre elles il faut pour déplacer votre balance. Le fait qu’une demande ait été auditée n’est que la moitié de la réponse.
Les clés privées volées dépassent les bugs des contrats intelligents : ce que montrent les chiffres de 2026
Une clé privée est la chaîne de caractères utilisée pour signer une transaction ; celui qui le détient peut disposer du solde associé, quel que soit son propriétaire. Cette propriété est exactement ce qui en fait la cible la plus gratifiante.
Ce changement apparaît dans deux enquêtes indépendantes. crypto.news estime les dommages totaux DeFi pour les huit premiers mois de l'année à un minimum de 1,3 milliard de dollars, en s'appuyant sur les analyses de CertiK et TRM Labs. Blockscout, qui exploite un explorateur de blockchain, a daté le point de bascule dès le 21 juillet 2026 : en mai 2026, les comptes compromis et les clés volées représentaient pour la première fois plus de la moitié de toutes les attaques DeFi en nombre d'incidents.
Les deux enquêtes comptent différemment, l'une selon le montant des pertes et l'autre selon le nombre d'incidents. Le véritable constat est qu’ils pointent toujours dans la même direction. De plus, la liste des pertes de Rekt.news enregistre plus de trente exploits supérieurs à trois millions de dollars pour 2026.
Pourquoi le nombre d'incidents compte plus que la somme record
Les pertes individuelles importantes font grimper les statistiques et en disent peu sur votre propre risque. Le nombre d’incidents en dit plus : il décrit la fréquence à laquelle une route d’attaque fonctionne. Un itinéraire qui fonctionne chaque semaine est réutilisé contre des cibles plus petites une fois que les plus grandes ont été éliminées.
Qu'est-ce qu'une clé compromise et comment elle disparaît
Compromis signifie que la clé est toujours là, mais qu'une deuxième partie la connaît également. Rien ne semble cassé, rien ne signale une erreur et la perte ne devient visible qu'une fois le solde épuisé.
Les itinéraires menant à ce point sont rarement spectaculaires sur le plan technique. Logiciel malveillant sur l'ordinateur où se trouve un fichier de portefeuille. Les détails de connexion d'une violation de données qui correspondent à un compte car le même mot de passe a été utilisé plus d'une fois. Un échange de numéro chez l'opérateur mobile, afin d'intercepter un SMS de confirmation. Un composant de développement falsifié qu'une équipe intègre sans contrôle. Et la variante la plus simple, qui fonctionne quand même : quelqu'un se fait passer pour un support et demande la phrase de récupération.
Pour 2026, Blockscout ajoute un cas qui montre la portée : chez MetaMask, selon le rapport, un employé d'origine nord-coréenne a été impliqué dans le développement pendant environ un mois avant d'être licencié. Le point commun de toutes ces routes est qu’elles ciblent l’être humain et non la blockchain.
Drift, KelpDAO et AFX Trade : trois cas où la clé était la voie d'entrée
Trois incidents documentés rendent cette tendance tangible, et dans aucun d’entre eux, une faille dans le code des contrats publié n’a été le déclencheur.
À Protocole de dériveenviron 285 millions de dollars ont disparu le 1er avril 2026. Sur le compte fourni par crypto.news, les attaquants ont réussi à obtenir une clé d'administration sur une période de plusieurs mois, puis ont finalisé la sortie en 128 secondes. La préparation a pris des mois ; l'exécution a duré deux bonnes minutes.
À VarechDAOune connexion pont via LayerZero a été touchée le 18 avril 2026. Les chiffres sur l'ampleur de la perte diffèrent légèrement : crypto.news donne environ 290 millions de dollars, Blockscout environ 292 millions de dollars. Les deux chambres attribuent l'incident à des acteurs ayant des liens avec la Corée du Nord ; crypto.news attribue au groupe TraderTraitor de l'orbite de Lazarus au moins 575 millions de dollars avec l'affaire Drift, soit environ 44 % de toutes les pertes de l'année.
Le troisième cas était plus proche des utilisateurs européens. Au criminel DEX Commerce AFX sur Arbitrum, environ 24,15 millions de dollars ont été versés le 22 juillet 2026. cryptoticker.io a signalé l'incident le 24 juillet 2026 avec une perte d'environ 24 millions de dollars ; le chiffre le plus précis provient du bilan annuel établi par crypto.news.
Coldcard : Comment une faille du micrologiciel a transformé la garde personnelle en un risque à clé unique
L’affaire qui a façonné le débat de 2026 concernait avant tout un dispositif conçu pour l’auto-garde. Une faille dans le micrologiciel d’un portefeuille matériel signifiait que les phrases de récupération générées étaient prévisibles. Le total des pertes a augmenté au fil des semaines à mesure que de plus en plus d'adresses affectées faisaient surface : TRM Labs l'évalue à environ 116 millions de dollars, tandis que crypto.news énumère le cas à environ 130 millions de dollars au 30 juillet 2026. Les premiers rapports de fin juillet étaient encore bien en dessous de ce montant.
Pour vous, la leçon compte plus que la somme. Un appareil qui reste hors ligne et ne touche jamais Internet vous protège contre les accès à distance. Il ne vous protège pas contre une clé déjà faible lors de sa génération. Toute personne ayant généré une phrase sur un tel appareil pendant la période concernée doit la considérer comme exposée et déplacer le solde vers une phrase nouvellement générée ; les étapes sont décrites dans notre guide pour générer une nouvelle graine après la faille du firmware.
Pourquoi un audit de code réussi ne dit rien sur la sécurité de votre balance
Un audit est un examen du code des contrats publié par une maison spécialisée. Il indique qu’aucune des faiblesses recherchées n’a été trouvée dans ce code au moment de l’examen. Sur la question de savoir qui conserve les clés qui administrent ce contrat, et comment, cela ne dit rien.
Ronghui Gu, co-fondateur de la maison d'audit CertiK, l'a expliqué à crypto.news en une seule phrase : un protocole peut passer un audit de code sans faille et perdre quand même des millions parce qu'une clé d'administration a été compromise. Le badge d'audit présent sur la page d'accueil d'une application décrit donc une partie du terrain, et notamment celle qui en 2026 n'était plus la plus dangereuse.
La question à poser à la place
Plutôt que de chercher le badge d'audit, il vaut la peine de s'intéresser aux droits administratifs : existe-t-il un accès administratif permettant de déplacer des fonds ou d'échanger des contrats ? Se trouve-t-il sur une seule adresse ou sur une adresse avec plusieurs signataires autorisés ? Et existe-t-il un verrouillage temporel qui permet à un changement de prendre effet uniquement après une période d'attente ? Les projets sérieux répondent à cela dans leur documentation. Là où la réponse manque, c’est en soi une réponse.
Configuration à vérificateur unique : le point unique silencieux dans les ponts et les applications inter-chaînes
Un vérificateur est l'entité qui confirme qu'un message provenant d'une blockchain est authentique sur une autre. Dans une configuration à vérificateur unique, une seule entité fait cela. En cas d'échec ou de reprise, il n'y a pas de deuxième avis pour s'y opposer.
crypto.news estime à 47 % la part des applications LayerZero exécutées dans ce paramètre. Il ne s’agit pas d’un défaut au sens d’un trou ; c'est un défaut délibéré qui permet d'économiser des coûts. Pour vous, cela signifie ceci : lorsque vous envoyez un solde via un pont, la sécurité de ce transfert peut dépendre d'un seul confirmateur plutôt que de la blockchain en laquelle vous avez réellement confiance.
Multisig et MPC : comment en finir avec la clé unique
Le levier le plus efficace contre le vol de clé est de rendre la clé unique redondante. Il existe pour cela deux méthodes établies.
Multisignature désigne une adresse qui nécessite plusieurs signatures avant qu'une transaction ne soit valide, deux clés déposées sur trois par exemple. Une clé volée ne suffit alors plus et une clé perdue ne vous exclut pas non plus.
MPC signifie calcul multipartite. Ici, la clé complète n'existe jamais au même endroit et à aucun moment ; plusieurs participants calculent ensemble la signature à partir de leurs actions. Le résultat ressemble à du multisig, mais sur la blockchain, cela ressemble à une adresse unique ordinaire.
Les deux ont un prix. Multisig signifie plus d'appareils, plus de copies de sauvegarde et plus d'efforts à chaque paiement. MPC vous lie généralement à un fournisseur dont le logiciel gère les partages. Pour de petites sommes, cet effort est souvent disproportionné ; à partir de l’ordre de grandeur où une perte serait préjudiciable, le rapport s’inverse. Les appareils qui peuvent être combinés pour une telle configuration et leur coût sont indiqués dans notre comparaison de portefeuilles matériels. Pour la partie de vos avoirs que vous déplacez quotidiennement, un portefeuille logiciel reste le choix le plus pratique.
Portefeuille matériel, portefeuille logiciel ou dépositaire réglementé : où appartiennent vos avoirs
Il n’existe pas de forme de stockage unique adaptée à chaque montant. Ce qui a du sens, c'est une répartition par objectif, et vous pouvez la régler en un après-midi.
Le montant avec lequel vous échangez ou payez appartient à un portefeuille logiciel sur votre téléphone ou à un compte d'échange. La surface d'attaque y est la plus grande, c'est pourquoi seul ce que vous pourriez absorber en perdant devrait y rester. Les avoirs à long terme appartiennent à un appareil qui reste séparé de votre ordinateur quotidien, et au-dessus d'une somme qui ferait mal, à un arrangement nécessitant plusieurs signatures.
Pour une partie de votre patrimoine, un dépositaire surveillé peut également être la bonne réponse, surtout si vous ne vous confiez pas la direction clé. Depuis la fin de la période de transition MiCA le 1er juillet 2026, seuls les fournisseurs agréés peuvent proposer la garde dans l'UE, et la licence peut être vérifiée publiquement. Cela déplace le risque sans le supprimer : vous échangez le risque de votre propre clé contre le risque du fournisseur. La pondération du Bitcoin dans votre portefeuille n’a d’ailleurs aucune différence dans cette décision ; la question de la garde se pose également pour chaque poste.
Cinq points de contrôle pour votre propre configuration
Les points suivants vous coûtent ensemble environ une heure et couvrent les itinéraires par lesquels les clés ont effectivement disparu en 2026.
Tout d’abord, faites le point. Notez les adresses et les comptes qui détiennent votre solde et quelle clé contrôle chacun d'eux. Si une seule chaîne de caractères contrôle plus de la moitié de vos avoirs, vous avez trouvé le seul point sur lequel porte cet article.
Deuxièmement, l’origine de l’expression de récupération. Vérifiez sur quel appareil et sur quelle version du firmware votre phrase a été générée. Si cela tombe dans une période pour laquelle le constructeur a reconnu un défaut, vous bougez plutôt que d'attendre.
Troisièmement, le numéro de portable. Partout où une confirmation est envoyée par SMS, configurez un verrou de portage ou un mot de passe client avec votre opérateur et passez également à une application d'authentification. L’échange de numéro est l’une des attaques les moins chères qui soient.
Quatrièmement, les mots de passe proviennent de violations de données. Si vous utilisez un mot de passe pour un compte Exchange que vous avez déjà utilisé ailleurs, remplacez-le. Les fournisseurs de cryptomonnaies ont perdu plusieurs fois des données clients via des partenaires de services en 2026 ; la combinaison d’une adresse connue et d’un mot de passe connu est justement le levier.
Cinquièmement, un essai à sec. Imaginez que votre ordinateur quotidien soit entre les mains de quelqu'un d'autre à partir d'aujourd'hui. Pourriez-vous quand même atteindre votre équilibre, et l’attaquant n’y parviendrait-il pas ? Si vous répondez non à l’une ou l’autre des questions, vous avez votre prochaine tâche.
Ce que cette vérification ne fait pas
Il ne vous protège pas contre une faille dans un protocole que vous utilisez, ni contre la défaillance d'un dépositaire. Cela élimine la route d’attaque qui était la plus fréquente en termes de nombre d’incidents en 2026. Cela, et rien de moins.
Vérification de votre risque clé : ce qu'il faut retenir
- Trouvez votre point unique. Parcourez vos adresses et marquez celles où une seule touche contrôle un montant qui vous serait pénible. Pour cette partie de vos avoirs, envisagez un appareil avec un stockage séparé ; les modèles et leurs prix sont dans la comparaison des portefeuilles matériels.
- Séparez l’utilisation quotidienne des avoirs. Ce que vous déplacez reste dans un portefeuille sur votre téléphone ; ce qui reste sur place va ailleurs. La comparaison des portefeuilles logiciels montre quels portefeuilles logiciels conviennent à la partie quotidienne.
- Vérifiez la licence avant de déposer. Si vous souhaitez conserver une partie de votre patrimoine, vérifiez d'abord si le fournisseur dispose d'une licence européenne valide. Les maisons qui se rencontrent sont répertoriées dans l'aperçu des échanges cryptographiques réglementés.
(Au 7 septembre 2026. Cet article ne constitue pas un conseil en investissement. Les prix et les structures de frais changent ; vérifiez les conditions auprès du fournisseur avant d'acheter.)
Voir l’article original en anglais
