Le troisième trimestre 2026 restera le plus désastreux pour la sécurité des cryptomonnaies depuis début 2025. La société Hacken a recensé 107 incidents ayant coûté 1,18 milliard de dollars au secteur, soit 55 % de plus qu'au trimestre précédent. Seul le premier trimestre 2025, avec 1,6 milliard de pertes, avait fait pire.
Quatre affaires concentrent 80 % des dégâts :
- Bitget — environ 387 millions de dollars, via une infrastructure de prestataire tiers compromise ;
- Liquid Network — environ 320 millions ;
- le protocole Tectonic — 120 millions ;
- une faille du firmware du portefeuille matériel Coldcard — environ 115 millions.
Les 103 autres incidents sont bien plus modestes : la perte médiane n'atteint que 670 000 dollars. C'est l'accumulation de petites brèches, pas une seule catastrophe, qui gonfle la facture.
Le constat le plus gênant du rapport n'est pas le chiffre total mais son origine. Hacken a établi que 77 % des pertes — 906 millions — proviennent de failles qu'aucun audit classique ne vérifie : prestataires tiers vulnérables, correctifs rédigés mais jamais déployés, infrastructures jamais incluses dans la revue. Un badge « audité » sur le site d'un projet en dit de moins en moins sur la sécurité réelle des fonds : il couvre le code du contrat, pas les clés de signature, ni les serveurs des partenaires, ni le processus de mise à jour.
La nature des attaques a aussi changé. Les contrôles d'accès défaillants — clés privées volées, panneaux d'administration compromis — expliquaient auparavant 88 % des pertes ; cette part est tombée à 40 % ce trimestre. Les failles dans le code même des smart contracts ont pris le relais, présentes dans 71 des 107 incidents pour 228 millions de dollars de dégâts.
Tout n'est pas perdu. Les projets ont récupéré ou annulé 387 millions, un tiers du total. Des hackers éthiques ont restitué volontairement 272 millions pris à Liquid Network, soit 85 % du butin. Les validateurs de Cronos sont allés plus loin en revenant 114 minutes en arrière sur la chaîne pour récupérer 111 millions détournés via Tectonic. Les opérateurs ont couvert 410 millions supplémentaires sur leurs propres réserves. Il reste 384 millions — près d'un tiers du total — toujours entre les mains des attaquants.
