Au cours des huit premiers mois de 2026 Piratage DeFi ils ont brûlé au moins 1,3 milliard de dollarsmais le chiffre qui devrait vraiment inquiéter le secteur n'est pas le chiffre absolu : c'est la méthode. Pour la première fois depuis l’existence de séries chronologiques fiables, les clés privées compromises ont dépassé les bugs dans les contrats intelligents en tant que principal vecteur d’attaque. Le code, dans la plupart des cas les plus graves, a passé l'audit sans problème. Celui qui a cédé était l’être humain derrière le clavier.
Points clés
- Au moins 1,3 milliard de dollars ont été perdus à cause des protocoles DeFi au cours des huit premiers mois de 2026, selon Forbes et CertiK.
- Drift Protocol a perdu 285 millions de dollars le 1er avril lors d'une attaque d'ingénierie sociale qui a duré plusieurs mois ; KelpDAO a perdu 290 millions le 18 avril via un seul vérificateur compromis sur le pont LayerZero.
- Le groupe nord-coréen Lazarus est responsable d'au moins 575 millions de dollars des pertes de 2026, soit environ 44 % du total.
- Un bug du micrologiciel sur les portefeuilles matériels Coldcard a causé 130 millions de dollars de pertes fin juillet, ce qui rend les graines incertaines.
- En août, PeckShield a dénombré 50 attaques majeures pour 136,3 millions de dollars, Tectonic étant responsable d'environ 74 millions de dollars.
Drift et KelpDAO : deux plans, un script
Le moment déterminant de l’année s’est concentré sur une fenêtre de seulement dix-huit jours. Le 1er avril, Drift Protocol, le plus grand échange perpétuel sur Solana, a subi un retrait de 285 millions de dollars en 128 secondes. Aucune ligne de code n'a été violée : les attaquants ont passé des mois à établir la confiance avec les contributeurs du protocole, en se faisant passer pour une société de commerce quantitatif et en rencontrant des personnes en personne dans plusieurs pays, jusqu'à ce qu'ils aient accès à une clé administrative.
Dix-sept jours plus tard, le 18 avril, c'est KelpDAO qui perd 290 millions de dollarsmais avec une technique différente. Quelqu'un avait déjà piraté les identifiants de session d'un développeur de LayerZero Labs le 6 mars, puis les avait utilisés pour corrompre l'infrastructure RPC qui alimentait le réseau de vérification du pont. Les nœuds externes ont été réduits au silence par une attaque DDoS, tandis que les nœuds compromis ont approuvé un message inter-chaîne usurpé, permettant la création de 116 500 rsETH sans couverture. Les jetons volés ont fini comme garantie sur Aave, qui a vu sa valeur totale verrouillée chuter de 6,28 milliards de dollars en 48 heures, obligeant neuf protocoles à geler les marchés.
Le groupe Lazarus est à l'origine de près de la moitié des pertes
Les enquêteurs ont attribué les deux attaques à TraderTraitor, un sous-groupe de Groupe Lazare Nord-Coréen. Mandiant, CrowdStrike, Elliptic et LayerZero ont confirmé conjointement l'attribution de KelpDAO, tandis qu'Elliptic a lié Drift à la même unité avec un niveau de confiance moyen à élevé.
Le décompte est impitoyable : 285 plus 290 millions de dollars font 575 millions par un seul acteur en seulement 18 jours, soit environ 44 % du total perdu en 2026. Ronghui Gu de CertiK a résumé le problème dans une interview avec Forbes : un protocole peut passer un audit de code sans faille et perdre quand même des millions pour une clé administrative compromise. Ce n’est pas un détail technique : c’est la preuve que la cybersécurité DeFi se joue désormais hors du code, dans la résistance humaine à l’ingénierie sociale.
Bridge toujours dans la ligne de mire : la vulnérabilité qui ne peut être corrigée
Les infrastructures des ponts restent le point faible récurrent. En plus de KelpDAO, 2026 a vu AFX Trade perdre 24,15 millions de dollars en raison de cinq signatures de validateur compromises, VerusCoin a touché deux fois pour un total de 19,14 millions de dollars, et la chaîne de bugs de débordement sur Cosmos EVM impliquant MANTRA, TAC et KiiChain pour environ 20,8 millions de dollars au total. Dans tous ces cas, la faille est la même : quelques signataires ou nœuds de vérification suffisent pour débloquer des fonds sur une chaîne cible, si elle est compromise.
La solution existe déjà, mais reste largement ignorée. Les configurations multi-vérificateurs, dans lesquelles un pont nécessite la confirmation de plusieurs réseaux de vérification indépendants avant de débloquer les fonds, auraient stoppé les attaques KelpDAO et AFX Trade. LayerZero a reproché à KelpDAO d'utiliser une configuration à vérificateur unique ; KelpDAO a répondu en soulignant que de nombreux contrats OApp sur LayerZero utilisent la même configuration risquée. C'est le vrai paradoxe du secteur : la protection technique est là, mais quasiment personne ne la met en œuvre.
Le cas Coldcard et les limites des audits traditionnels
Le 30 juillet, un bug dans le firmware du portefeuille matériel Carte froideproduit par Coinkite, a remplacé le générateur matériel de nombres aléatoires par un logiciel de secours prévisible, réduisant considérablement l'entropie des graines. Les attaquants ont réussi à forcer brutalement les clés sans toucher à aucun réseau, provoquant des pertes estimées à 130 millions de dollars sur des milliers de portefeuilles, selon Galaxy Research. Coinkite a publié un avertissement préliminaire le même jour et le PDG NVK a présenté des excuses publiques, mais une mise à jour du micrologiciel ne peut pas réparer les graines déjà générées avec une entropie compromise – celles-ci doivent être complètement remplacées.
Cet épisode confirme pourquoi les audits traditionnels de contrats intelligents ne suffisent plus. Ils vérifient le code Solidity ou Rust pour détecter des bogues tels que des failles de réentrance, de débordement et de connexion, mais ne touchent pas à la gestion des clés, à la résilience de l'ingénierie sociale ou à l'infrastructure hors chaîne. Drift et KelpDAO avaient tous deux des audits impeccables au moment de l'attaque – la faille était ailleurs.
Le mois d’août confirme la tendance : plus d’attaques, moins de montants
Les données les plus récentes de PeckShield montrent que le phénomène ne s'est pas arrêté après le printemps. En août, ils ont été enregistrés 50 astuces significative, en hausse de 67% par rapport au 30 juillet, mais avec des pertes globales tombant à 136,3 millions de dollarsprès de la moitié par rapport aux environ 270 millions du mois précédent. Le protocole de prêt Tectonic, basé sur Cronos, représentait à lui seul environ 74 millions de dollars, soit plus de la moitié du total mensuel. Les validateurs Cronos ont bloqué la production de blocs avant que l'attaquant ne parvienne à transférer la majorité des fonds identifiés vers Ethereum, puis à remettre le réseau à un état de pré-exploitation et à redémarrer les blocs de 90 896 189.
Hors Tectonic, les 49 incidents restants du mois d'août ont généré des pertes combinées d'environ 62,3 millions de dollars, Moonwell se classant deuxième avec 8,7 millions de dollars et Term Labs troisième avec 8,5 millions de dollars.
Sécurité opérationnelle et gouvernance : la partie manquante
Aucun audit de code ne peut protéger contre une attaque d’ingénierie sociale bien conçue. Les protocoles qui gèrent un capital à neuf chiffres nécessitent des programmes dédiés sécurité opérationnelle: Authentification matérielle pour tous les accès privilégiés, exigences de signatures multiples qui ne peuvent être contournées par un seul signataire et formation qui traite l'ingénierie sociale comme une menace principale et non secondaire. Les retards de verrouillage des actions administratives, combinés à une surveillance en chaîne capable de signaler les transactions privilégiées en file d'attente, auraient probablement modifié le résultat du retrait de Drift, qui s'est produit en seulement 128 secondes sans aucune fenêtre de réaction.
Le tableau qui se dégage de l’ensemble de la saison 2026 raconte celui d’un secteur qui continue de faire confiance à quelques points de contrôle, humains ou techniques, dans un écosystème où s’attaquer à une personne coûte moins cher que rompre un contrat. Tant que les protections connues, depuis les ponts multi-vérificateurs jusqu'aux verrouillages temporels des clés administratives, resteront facultatives plutôt que standard, les mêmes modèles d'attaque continueront de fonctionner.
FAQ
Combien le secteur DeFi a-t-il perdu en piratage en 2026 ?
Au moins 1,3 milliard de dollars au premier semestre 2026, selon le rapport Hack3d de CertiK et Forbes. Le tableau rekt.news répertorie plus de 30 exploits dépassant 3 millions de dollars pour l'année, les deux plus importants, Drift Protocol et KelpDAO, dépassant ensemble 575 millions de dollars. Le chiffre pour l'ensemble de l'année augmentera encore une fois que les pertes du second semestre auront été prises en compte.
Quel a été le plus gros hack DeFi de 2026 ?
KelpDAO a perdu environ 290 millions de dollars le 18 avril, après que des attaquants ont compromis les clés de session d'un développeur LayerZero, corrompu l'infrastructure RPC du pont et créé 116 500 rsETH sans couverture. Les jetons volés se sont retrouvés sur Aave en garantie, provoquant une baisse de 6,28 milliards de dollars de la valeur verrouillée du protocole et un gel des marchés sur neuf plates-formes DeFi différentes.
Comment s’est produite l’attaque contre Drift Protocol ?
Les attaquants se sont présentés comme une société de commerce quantitatif, établissant des relations de confiance avec les contributeurs du Drift Protocol pendant des mois à travers des conférences et des réunions en personne. Ils ont eu accès à une clé administrative et ont retiré 285 millions de dollars en 128 secondes, sans exploiter aucun bug de code.
La Corée du Nord est-elle vraiment responsable de la plupart des piratages cryptographiques ?
Le groupe Lazarus de Corée du Nord, en particulier son unité TraderTraitor, a été associé à au moins 575 millions de dollars de pertes DeFi en 2026 via des attaques sur Drift Protocol et KelpDAO. Compte tenu également du piratage de 1,5 milliard de dollars subi par Bybit en février 2025, le total attribué au groupe au cours des 18 derniers mois dépasse les 2 milliards de dollars. Mandiant, CrowdStrike, Elliptic, le FBI et le Trésor américain ont publié des attributions liant des exploits spécifiques aux opérations de Lazarus.
Pourquoi les ponts cryptographiques continuent-ils à être touchés ?
Les ponts dépendent d'un petit nombre de validateurs ou de nœuds de vérification pour confirmer qu'un message inter-chaînes est authentique avant de débloquer des fonds sur la chaîne de destination. En compromettant un nombre suffisant de signataires, le pont suit simplement ses propres règles, débloquant des fonds contre ce qu'il considère comme une demande valable. L'exploit KelpDAO n'utilisait qu'un seul vérificateur compromis, celui d'AFX Trade Five. Le problème sous-jacent est que de nombreux ponts concentrent la confiance entre trop peu de parties, et beaucoup continuent à utiliser des configurations à vérificateur unique même lorsqu’il existe des alternatives à plusieurs vérificateurs.
Les audits de contrats intelligents peuvent-ils empêcher ces piratages ?
Non, du moins pas le type d’audits que la plupart des protocoles commandent aujourd’hui. Les audits traditionnels vérifient le code pour détecter les bogues tels que les failles de réentrance, de débordement et de contrôle d'accès, mais ne couvrent pas la gestion des clés, la sécurité opérationnelle, la résilience de l'ingénierie sociale ou l'infrastructure hors chaîne. L'exploit KelpDAO s'est produit dans la couche RPC de LayerZero, en dehors de tout périmètre d'audit. Celui sur Drift est né de mois d’ingénierie sociale. Les deux protocoles faisaient l’objet d’audits impeccables au moment de l’attaque.
Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.