Une chaîne n’est pas plus solide que son maillon le plus faible. Record battu, trophée peu enviable. Blockaid a vérifié 212 incidents de sécurité sur les six premiers mois de 2026, davantage que sur l’ensemble de l’année 2025, pour un butin cumulé supérieur à 1,1 milliard de dollars.
La sécurité crypto vit son semestre le plus attaqué jamais recensé, en nombre d’incidents s’entend, pas en montants dérobés. Car en valeur, la facture recule : 2,58 milliards de dollars s’étaient évaporés en 2025, dont 1,5 milliard sur le seul piratage de Bybit. Les attaquants frappent donc plus souvent, mais repartent avec moins à chaque coup.
- Blockaid a vérifié un nombre record de 212 incidents de sécurité au premier semestre 2026, surpassant le total de 2025, mais avec un butin moindre de plus de 1 milliard de dollars.
- Environ 55 % des vols ont été attribués à des acteurs nord-coréens, ciblant principalement Drift et KelpDAO, sans exploiter de failles de smart contract.
Plus de piratages, moins de butin
Trois cabinets, trois méthodes de décompte, une même trajectoire. Blockaid recense 3,4 fois plus d’exploits dépassant son seuil de gravité qu’en 2025 tout entier, pour 1,1 milliard de dollars de pertes dans son rapport semestriel.
Immunefi arrive à 972 millions de dollars sur 207 incidents, et QuillAudits à 935,3 millions sur 87 piratages strictement DeFi. La fréquence grimpe, les montants baissent : voilà le seul point sur lequel tout le monde s’accorde.
Le repli n’a rien de cosmétique. Les pertes liées aux exploits purement techniques ont fondu de 74% par rapport au pic de 2022. Audits systématiques, bug bounties à sept chiffres, surveillance des transactions en temps réel : casser du code coûte désormais plus cher que ce qu’il rapporte.
Une partie de la hausse du nombre d’incidents tient d’ailleurs simplement à une observation plus fine qu’il y a deux ans. Le maillon faible, lui, a changé d’adresse. Il se situe désormais du côté des humains qui détiennent les clés, pas du côté du code qui les protège.
Lazarus n’a plus besoin de casser du code
Environ 55% des sommes volées au premier semestre, un peu plus de 600 millions de dollars, sont attribuées à des acteurs liés à la Corée du Nord, via trois dossiers principaux dont deux suffisent à comprendre la méthode. 285 millions de dollars siphonnés chez Drift Protocol, sur Solana. 292 millions chez KelpDAO, via le protocole de messagerie inter-chaînes LayerZero. Aucun des deux ne repose sur une faille de smart contract.
Chez Drift, des mois d’approche, de faux partenaires institutionnels et jusqu’à des rencontres physiques ont amené des signataires du multisig (un portefeuille dont chaque opération exige l’accord de plusieurs détenteurs de clés) à valider des transactions d’apparence anodine. Le vol, lui, a duré douze minutes.
Chez KelpDAO, les assaillants ont compromis des nœuds RPC utilisés par le réseau de vérificateurs de LayerZero, saturé les nœuds sains de requêtes pour forcer le basculement vers les nœuds corrompus, puis fait valider un message inter-chaînes frauduleux par une configuration reposant sur un seul vérificateur. Bilan : 116 500 rsETH émis sans contrepartie. Blockaid ne voit d’ailleurs aucune raison que la recette s’essouffle : l’ingénierie sociale via LinkedIn pour compromettre un signataire de multisig a produit deux des quatre plus gros incidents du semestre, sans qu’aucun obstacle structurel ne s’y oppose.
L’IA s’installe des deux côtés du guichet
Le semestre a aussi produit son inédit : 216 000 dollars détournés chez Bankr, premier piratage d’un agent IA jamais recensé. L’attaquant a offert un NFT d’adhésion au portefeuille piloté par le chatbot Grok, ce qui a ouvert des permissions de transfert, avant d’y glisser une instruction malveillante encodée en morse.
Cette technique, l’injection de consigne (prompt injection), consiste à dissimuler un ordre dans une donnée que l’agent traite comme une commande légitime. Blockaid en attend d’autres au second semestre.
Les mêmes modèles travaillent pourtant aussi pour l’autre camp. Anthropic a annoncé que Claude Mythos Preview, une version de recherche non déployée publiquement, a trouvé deux failles inédites dans des algorithmes cryptographiques établis. La première vise HAWK, un schéma de signature post-quantique en lice au troisième tour de la compétition du NIST (l’agence américaine de normalisation). En 60 heures de travail, Mythos a fait chuter le coût théorique de récupération d’une clé de 2 puissance 64 à 2 puissance 38 opérations, soit environ 67 millions de fois moins de calcul.
Le correctif impose de doubler la taille des clés, ce qui efface l’argument commercial du schéma : des signatures compactes, donc moins d’espace de bloc consommé.
La seconde attaque touche une version réduite à 7 tours de l’AES (contre 10 pour l’AES-128 réellement déployé), le chiffrement qui protège le trafic HTTPS et les serveurs des plateformes d’échange. Claude a d’abord refusé de chercher, jugeant qu’il n’y avait « rien de facile à trouver » sur le chiffrement par blocs le plus étudié au monde, avant de produire, après plusieurs relances de ses opérateurs humains, une technique baptisée Möbius Bridge, entre 200 et 800 fois plus rapide que la meilleure attaque connue.
Il a aussi cassé une variante à 13 tours de LEA (un standard coréen pour appareils connectés) en moins d’une heure sur un simple ordinateur de bureau. Vérifier ces résultats a demandé plusieurs centaines d’heures aux chercheurs d’Anthropic, quand la découverte elle-même n’en avait pris qu’une poignée.
Rien de ce qui tourne en production n’est atteint : HAWK n’a jamais été déployé, et Bitcoin repose toujours sur ECDSA, un algorithme distinct.
La préparation avance néanmoins sans attendre l’arrivée d’ordinateurs quantiques, avec le Bitcoin Security Consortium et ses 15 millions de dollars promis sur trois ans par BlackRock, Coinbase et Strategy. Sur les 212 incidents du semestre écoulé, aucun ne vient pourtant d’un algorithme cassé. Les pertes se logent ailleurs : dans des clés mal gardées, des ponts mal configurés, et des signataires trop confiants.
L’article 212 piratages en 6 mois : Le semestre le plus attaqué de l’histoire crypto est apparu en premier sur Journal du Coin.
