Pourquoi DeFi continue de perdre des millions de dollars en exploits

Cette 2026 a été l’une des pires années jamais enregistrées en matière de piratage informatique DéFiet nous sommes à peine à la moitié du chemin.

Au cours des cinq premiers mois de 2026, plus de 840 millions de dollars ont été perdus dans les piratages DeFi, le seul mois d'avril représentant plus de 600 millions de dollars volés, menés par deux des plus grandes attaques de l'année : l'exploit KelpDAO de 292 millions de dollars et la violation du protocole Drift de 285 millions de dollars.

Les pertes se sont poursuivies en mai, THORChain ayant interrompu ses opérations après que des chercheurs en sécurité ont détecté un prétendu exploit inter-chaînes qui a affecté plus de 10 millions de dollars.

TrustedVolumes, protocole d'écho, Étape Finance, vraibit, Laboratoires de résolution, Protocole Volo, Rhéa Finance, le pont Verus-Ethereumet bien d'autres complètent une liste de victimes qui semble être un test de résistance de chaque hypothèse de confiance sur laquelle s'appuie DeFi, selon les données de DeFiLlama.

Les experts consultés par Décrypter Ils s’accordent largement sur le fait que les récents piratages DeFi révèlent des faiblesses structurelles dans les ponts et les systèmes de gestion, tandis que les progrès de l’IA pourraient aider les attaquants à trouver plus rapidement les vulnérabilités.

Natalie Newson, chercheuse principale en blockchain chez la plateforme de sécurité Web3 CertiK, a déclaré Décrypter que même si le mois d’avril a été exceptionnellement grave en termes d’exploits cryptographiques, la tendance générale reste plus stable et inférieure au pic d’incidents enregistré en 2023.

« Avril 2026 a été un mauvais mois pour les exploits cryptographiques ; il n'y a eu que trois jours sans exploit au cours desquels au moins 10 000 $ ont été volés », a-t-il déclaré.

« Cependant, lorsque nous regardons la situation dans son ensemble, le nombre d'incidents (hors phishing) a été assez constant et reste inférieur au pic de 2023 », a noté Newson, ajoutant que la gravité du mois d'avril était due à 14 exploits qui ont dépassé 1 million de dollars de pertes, derrière seulement les 16 enregistrés en septembre 2025.

Le facteur Corée du Nord

Ari Redbord, directeur mondial des politiques et des affaires gouvernementales chez TRM Labs, a déclaré Décrypter que le rebond peut être attribué à un seul acteur étatique qui, en cinq ans, est passé du statut d'acteur marginal à celui de menace déterminante pour le secteur.

« Le principal moteur est la Corée du Nord, et cette campagne devient plus précise, pas plus large », a déclaré Redbord, soulignant que les acteurs liés à la Corée du Nord représentaient 76 % des pertes mondiales dues aux piratages cryptographiques au cours des quatre premiers mois de 2026, contre 64 % en 2025 et moins de 10 % en 2020.

« La Corée du Nord utilise non seulement la technologie pour attaquer l'écosystème, mais aussi une ingénierie sociale sophistiquée et bien planifiée », a-t-il ajouté.

Le plus gros piratage DeFi de l'année jusqu'à présent a frappé KelpDAO le 18 avril, lorsque les attaquants ont drainé environ 116 500 rsETH, l'équivalent d'environ 292 millions de dollars, d'un pont inter-chaînes.

LayerZero, dont l'infrastructure de messagerie supportait le pont, a indiqué dans le dernier rapport post-mortem que l'attaque avait débuté le 6 mars, lorsqu'un développeur avait été victime d'ingénierie sociale et avait vu ses clés de session compromises.

Le protocole de messagerie inter-chaînes indiquait que l'attaque avait été attribuée par Mandiant, CrowdStrike et des chercheurs indépendants à l'acteur menaçant nord-coréen TraderTraitor, également connu sous le nom d'UNC4899.

La raison structurelle pour laquelle DeFi continue d’absorber les coups, a ajouté Redbord, dépend de l’endroit où se trouve l’argent et de la manière dont il circule.

« La complexité inter-chaînes de DeFi en fait un environnement riche en cibles : les ponts produisent systématiquement les pertes les plus importantes par incident, et les modèles de défaillance se répètent avec une cohérence frappante car le problème principal est architectural », a-t-il noté.

Modèles récurrents

Raz Niv, co-fondateur et CTO de la plateforme de sécurité en chaîne Blockaid, a déclaré Décrypter que trois modèles techniques continuent d'apparaître dans les incidents les plus importants de l'année : des failles dans le contrôle des accès privilégiés, des mises à jour de proxy malveillantes dans lesquelles les attaquants remplacent les contrats de mise en œuvre par des versions avec des portes dérobées et des lacunes dans la vérification des messages entre chaînes.

Concernant l'accès privilégié, Niv a noté que la société surveillait « les événements anormaux de « rôle accordé » et les élévations de privilèges non autorisées », avec des incidents tels que l'exploit Echo Protocol remontant à des clés d'administrateur compromises ou mal configurées.

« Les attaquants se frayent un chemin vers des clés privées ou exploitent des seuils multisig mal conçus », a-t-il ajouté.

Il a souligné des failles dans les contrôles d'accès privilégiés, les mises à jour de proxy malveillantes et les systèmes de vérification inter-chaînes, indiquant que les attaques récentes révèlent des faiblesses plus profondes dans les hypothèses qui relient des infrastructures de plus en plus complexes.

« Le fil conducteur n'est pas la complexité elle-même », a déclaré Niv. « C'est que chaque couche d'abstraction (proxys, rôles d'administrateur, messagerie inter-chaînes) introduit des hypothèses de confiance que les attaquants sondent méthodiquement. »

L'influence de l'IA

Niv a souligné que l’IA transforme de plus en plus la découverte d’exploits, tout en prévenant que son impact est souvent mal compris.

Les modèles actuels sont de plus en plus efficaces pour identifier les vulnérabilités connues à grande échelle et « automatisent ce que font les auditeurs spécialisés », a-t-il déclaré, avertissant que « la véritable préoccupation n’est pas que l’IA remplace les attaquants humains », mais que l’IA « amplifie les attaquants » en prenant en charge la reconnaissance et en les libérant pour se concentrer sur des techniques plus sophistiquées.

« La bonne nouvelle est que les défenseurs peuvent utiliser les mêmes outils. La surveillance et la simulation assistées par l'IA deviennent essentielles pour les équipes de sécurité qui tentent de suivre le rythme », a ajouté Niv.

Avec l’augmentation des piratages DeFi, Newson a souligné une tendance similaire, notant que « les progrès de l’IA sont probablement un facteur contributif, bien que ce ne soit pas le seul ».

Il a ajouté que CertiK a constaté une augmentation de l'exploitation d'anciens contrats non vérifiés, ce qui conduit à « l'hypothèse logique selon laquelle l'IA aide à trouver des vulnérabilités ».

De même, Redbord a déclaré que « des acteurs malveillants déploient l'IA à grande échelle » dans la reconnaissance, l'ingénierie sociale et la conception d'exploits, ajoutant que la sophistication observée dans des attaques comme Drift semble « cohérente avec les flux de travail assistés par l'IA ».

Les analystes de TRM estiment que les opérateurs nord-coréens intègrent de plus en plus d'outils d'IA dans leurs opérations, notant que « la réponse est de déployer l'IA en défense de manière aussi agressive que les adversaires la déploient en attaque ».

Au-delà du code

Redbord a noté que les piratages DeFi sont « un problème qui peut être résolu », mais a indiqué que l'industrie doit être plus honnête quant à l'endroit où les échecs se produisent réellement.

Il a noté que « les audits protègent contre les erreurs de code », mais pas contre les campagnes sophistiquées d'ingénierie sociale comme Drift, où des mandataires nord-coréens auraient passé des mois à cultiver l'accès avant la violation.

« Le modèle qui fonctionne est la coordination public-privé en temps réel », a ajouté l'expert.

Newson a noté que 2026 pourrait représenter « un point d'inflexion de l'évolution », indiquant que l'industrie apprend que la cybersécurité est un « problème global » qui englobe « l'IA, la RPDC, ou les infrastructures et les personnes ».

« Peu importe la perfection de vos calculs en chaîne si vos processus humains hors chaîne sont vulnérables », a-t-il déclaré, notant que l'industrie s'oriente de plus en plus vers des « solutions pratiques et structurelles » pour faire face aux risques d'infrastructure et d'ingénierie sociale.

coup dur pour faire confiance

Les dommages causés à la confiance dans l’écosystème DeFi sont plus difficiles à quantifier mais faciles à observer.

L'exploit Kelp DAO a déclenché une vague de retraits de 6,2 milliards de dollars auprès d'Aave seul, avant qu'un effort de sauvetage dirigé par le PDG d'Aave Stani Kulechov, surnommé « DeFi United », ne lève 132 650 ETH équivalent à environ 303 millions de dollars pour couvrir les créances irrécouvrables.

La réponse coordonnée montre que l’industrie peut se mobiliser. Cela montre également combien de capital est nécessaire pour couvrir un seul exploit sur un pont.

Newson a noté que les conséquences dépendent entièrement de la personne touchée.

« Les vétérans de l'industrie peuvent considérer les six dernières semaines comme normales, juste la prochaine norme évolutive et une expérience difficile dont il faut tirer des leçons », a-t-il déclaré.

Il a noté que l'impact des exploits répétés semble très différent pour les nouveaux acteurs du marché, avertissant que pour les utilisateurs qui perdent des fonds importants, les conséquences ne sont pas une « expérience d'apprentissage » mais soulèvent plutôt des « questions existentielles » sur la « viabilité et la sécurité » à long terme des crypto-monnaies, les solutions techniques arrivant souvent trop tard pour réparer les dommages.