Une prépublication associée à la société ack3 révèle que 72,1 % des pertes du protocole DeFi en 2026 provenaient d'attaques sur des composants que leurs audits n'ont jamais examinés, avec des cas tels que ICON, aelf et SODAX comme exemples.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Une nouvelle étude révèle que les protocoles DeFi ont perdu près de 885 millions de dollars pour les attaques qui se sont produites complètement en dehors du champ de leurs audits de sécurité. Les résultats, contenus dans une prépublication associée au cabinet de recherche ack3, révèlent une lacune structurelle : une grande partie du code et de l'infrastructure que les utilisateurs supposent être « audités » n'a jamais été examinée par les auditeurs.
L'ouvrage analyse 135 incidents signalés au cours du premier semestre 2026 et conclut qu'après avoir exclu deux grands cas atypiques, le 72,1% de pertes Cela provenait de vecteurs extérieurs à ceux examinés par les audits. En d’autres termes, les attaques n’ont pas exploité des bogues que les évaluateurs avaient négligés dans le cadre de leur mission, mais plutôt des composants qui n’ont jamais été directement mis sur la table.
Pourquoi DeFi perd autant malgré son audit
La conclusion inconfortable est que le sceau « audité » confère une sécurité plus grande que la réalité. Un audit couvre un ensemble limité de contrats intelligents dans une version spécifique du code. Tout le reste (intégrations avec d'autres protocoles, ponts entre chaînes, modules ajoutés après révision, infrastructure hors chaîne ou mécanismes de gouvernance) tombe généralement en dehors du périmètre contracté.
Les données de la prépublication qui documente les 135 incidents suggèrent que ce périmètre est précisément l'endroit où se concentre l'argent perdu. L'ensemble de données ack3 a également été publié dans un format lisible par machine, permettant une vérification au cas par cas du type de défaillance ayant frappé chaque protocole.
La nuance des « deux valeurs aberrantes » est pertinente. Sans les exclure, la photo est déformée car quelques attaques de taille disproportionnée peuvent gonfler ou modifier les pourcentages globaux. Une fois supprimés, 72,1 % offrent une image plus représentative du risque quotidien auquel sont confrontés les protocoles de taille moyenne.
Les cas d'août qui illustrent le problème
Plusieurs incidents récents fournissent un contexte opérationnel à cette statistique. La Fondation ICON a publié le 30 août une analyse post-mortem d'un exploit de relecture sur son réseau, un type d'attaque qui exploite la réexécution de transactions légitimes et qui entre rarement dans le cadre d'un audit contractuel standard.
En parallèle, le réseau aelf a annoncé une pause du réseau le 18 août suite à un incident de sécurité, avec un point d'avancement le 26 août sur la réponse. L’arrêt d’une chaîne entière est une mesure exceptionnelle qui reflète la gravité des pannes qui échappent au code audité et affectent le fonctionnement du protocole dans son ensemble.
Le cas SODAX illustre les limites des audits : son dossier d’audit public comprend un examen de sa couche relais à partir de novembre 2025, mais l’existence d’un rapport ne garantit pas que chaque composant critique – les ponts et relais inter-chaînes sont souvent le maillon faible – a été couvert avec la même profondeur.
Ce que cela signifie pour les investisseurs et les utilisateurs
L’étude ne prétend pas que les audits sont inutiles, mais plutôt que leurs promesses sont mal calibrées. Faire confiance à un protocole uniquement parce qu’il porte le sceau d’une entreprise réputée ignore une question essentielle : ce qui a été audité exactement et ce qui a été laissé de côté. La portée de chaque examen est généralement indiquée dans le rapport lui-même, mais peu d’utilisateurs le lisent.
Les ponts entre chaînes restent le point le plus sanctionné du secteur. L’interconnexion entre protocoles, qui multiplie les opportunités de performances, multiplie également les surfaces d’attaque qu’aucun audit unique ne couvre entièrement. Lorsque l’argent circule entre plusieurs chaînes et contrats, la sécurité dépend du maillon le plus faible de la chaîne entière, et non du composant le mieux examiné.
Pour l’écosystème DeFi, le message est que la sécurité n’est pas un état atteint et certifié une fois, mais plutôt un processus continu. Chaque mise à jour de code, chaque nouvelle intégration et chaque module de gouvernance rouvre la surface des risques. Tant que les audits continueront à se limiter à des photographies statiques d’un code à un moment donné, l’écart entre ce qui a été audité et ce qui a été réellement exposé continuera à alimenter des chiffres comme les 885 millions de dollars documentés dans ce rapport.
Le débat sous-jacent pointe vers des normes plus larges : des examens incluant l'infrastructure hors chaîne, une surveillance permanente et une transparence sur les composants non couverts. En attendant, le label « audité » restera un signal partiel et non une garantie.