« Projet audité » : beaucoup d’entre nous lisent ce badge comme une garantie. Le nouveau rapport de la société de sécurité Hacken (T3 2026, relayé par CoinDesk et Cointelegraph le 18 octobre) montre pourquoi c’est une erreur. Entre juillet et septembre, 1,18 milliard de dollars ont été volés dans 107 incidents, soit 55 % de plus qu’au trimestre précédent. Et dans 77 % des cas, l’argent n’est pas sorti par la partie qui avait été auditée.

📋 Les chiffres clés (Hacken, juillet-septembre 2026)

• 1,18 milliard de dollars perdus, 107 incidents, +55 % par rapport au T2.

• Le pire trimestre depuis début 2025 et le vol de Bybit (1,4 milliard à lui seul).

• 906,8 millions de dollars (77 %) liés à un fournisseur ou un outil de développement piraté, à un correctif de sécurité public jamais installé, ou à un composant resté en dehors du dernier audit.

• Failles dans les smart contracts (les programmes automatiques sur la blockchain) : 48 % des pertes, contre 12 % au T2.

• Problèmes de clés, d’accès et d’organisation interne : 40 % des pertes, contre 88 % au T2.

• Quatre gros incidents font environ 80 % du total : Bitget, Liquid Network, Tectonic et le logiciel du portefeuille Coldcard. À l’inverse, 98 incidents sont sous 10 millions et la perte médiane est de 670 000 dollars.

🧠 Pourquoi un audit ne suffit pas

Un audit, c’est une équipe d’experts qui relit le code d’un projet pour y chercher des failles. Mais elle ne relit que ce qu’on lui demande de relire : on appelle ça le « périmètre ».

Comme le résume Andrii Matiukhin, cofondateur de Hacken, à CoinDesk : « Le problème, c’est toujours le périmètre. » Auditer tout ce qui touche à l’argent coûte cher, donc beaucoup d’équipes ne font vérifier que quelques contrats. Les clés, le système qui signe les retraits, les logiciels achetés à d’autres entreprises et les réglages restent souvent hors du contrôle.

Exemple du trimestre : chez Bitget, selon le rapport, les pirates sont passés par une faille dans un produit de sécurité fourni par une autre société pour atteindre le système de retraits. Les montants cités varient selon les médias (au moins 352 millions selon CoinDesk, 387 millions selon Cointelegraph).

💸 Où est parti l’argent ?

• Environ 387 millions (33 %) ont été rendus ou annulés. Chez Liquid Network, des hackers se disant « chapeaux blancs » ont rendu 272 millions. Chez Tectonic, les validateurs de Cronos ont carrément effacé 114 minutes d’historique de la blockchain pour annuler environ 111 millions de prêts frauduleux.

• Environ 410 millions ont été remboursés par les plateformes elles-mêmes, dont 387 millions par le fonds de protection des utilisateurs de Bitget.

• Environ 384 millions (32 %) n’ont été ni rendus ni couverts.

Nuance importante : quand des validateurs peuvent revenir en arrière sur la blockchain, ça sauve des victimes, mais ça montre aussi que ce réseau est moins décentralisé qu’on le croit.

👤 Exemple : Awa, à Ziguinchor

Awa vend du poisson fumé et garde une petite épargne en stablecoins. Un ami lui conseille une plateforme de rendement « auditée ». Ce que le rapport lui apprend :

1. Demander ce qui a été audité, par qui et quand. Un audit d’il y a un an sur un seul contrat ne dit rien du système de retraits actuel.

2. Mettre à jour son application de portefeuille dès qu’une mise à jour de sécurité sort : plusieurs piratages ont touché des failles déjà connues et corrigées publiquement.

3. Acheter un portefeuille physique uniquement chez le fabricant ou un revendeur officiel.

4. Ne pas tout laisser au même endroit, et vérifier si la plateforme a un fonds de protection des utilisateurs (et ce qu’il couvre vraiment).

5. Se méfier des promesses de rendement : un tiers des pertes du trimestre n’a jamais été récupéré.

⚖️ La nuance

• Hacken vend lui-même des audits : le message « les audits sont trop limités » sert aussi ses intérêts. Les chiffres restent cohérents avec ceux d’autres sociétés de sécurité, même si les totaux varient selon la méthode (Oak Security compte par exemple environ 1,07 milliard sur 20 incidents majeurs).

• Hacken dit aussi avoir trouvé, sur deux grosses plateformes de dérivés ou de marchés de prédiction, plus de 700 millions protégés par des clés jugées insuffisantes. Il ne les nomme pas et précise n’avoir trouvé aucune faille active.

✅ À retenir

1. 1,18 milliard volés au T3 2026, +55 % en un trimestre.

2. 77 % des pertes venaient de ce que l’audit ne couvrait pas, ou de correctifs non installés.

3. Un tiers rendu, un tiers remboursé par les plateformes, un tiers perdu.

4. Un badge « audité » est un point de départ, pas une assurance.

💬 Et toi : avant de déposer ton argent sur une plateforme, tu vérifies l’audit, le fonds de protection, ou rien du tout ? Dis-le en commentaire.

Pas un conseil financier. Sources : Hacken, rapport T3 2026 ; CoinDesk et Cointelegraph (18 oct. 2026) ; Oak Security. #SecuriteCrypto #Hack #Afrique #EducationCrypto #Web3