Cette année, les pirates ne volent pas de l’argent : ils « mettent tout en pièces ».
Alors que tout le monde avait les yeux rivés sur les graphiques en chandeliers, un démantèlement systématique des fondements de la confiance dans tout le secteur des cryptomonnaies s’est achevé dans l’ombre. Ne croyez pas qu’il s’agisse simplement d’une faille fortuite dans un projet : reliez les événements de cette année, et vous découvrirez une toile d’étranglement suffocante.
Les dessous de CEX : les clés privées sont intactes, mais l’argent a disparu
La plus grande farce de l’année : l’exchange centralisé Binance s’est fait dérober la somme astronomique de 6,3 milliards de dollars. Le pirate n’a pas touché aux clés privées : il a piraté l’ordinateur portable d’un ingénieur DevOps et, grâce au mécanisme EIP-7702, a aspiré les actifs sans relâche, tel un vampire.
Bitget s’est fait voler environ 388 millions de dollars. Des hackers ont infiltré le système interne et falsifié directement des ordres de retrait.
Mais ce n’est pas encore le pire. Le pire, c’est Gate.io (芝麻开门).
En juillet, un utilisateur s’est fait vider 1,7 million de dollars d’actifs. La plateforme a affirmé que l’utilisateur avait passé l’authentification multifacteur et que la procédure s’était déroulée sans problème ; mais l’utilisateur a insisté sur le fait qu’il n’avait reçu aucun code de vérification. Ce cas de 1,7 million de dollars a directement déclenché un effondrement de la confiance : dans la semaine qui a suivi l’incident, les sorties nettes de Gate ont atteint 200 millions de dollars.
Vous comprenez ? Face à une panique systémique, les utilisateurs sanctionnent toujours la plateforme plus vite que celle-ci ne peut prouver son innocence. Même sans perdre de clé privée, une seule étape du processus qui n’a pas été minutieusement examinée suffit à détruire la confiance bâtie sur une valorisation de plusieurs dizaines de milliards.
L’impuissance d’AAVE : pas piraté, mais « traversé de part en part »
Cet été, les poids lourds de la DeFi ont découvert ce que signifie l’expression « quand la porte de la ville prend feu, les poissons de l’étang en pâtissent ».
Les contrats intelligents d’Aave n’ont pas été piratés cette année, mais, en tant que plus grand pôle de prêt, la plateforme est devenue le « distributeur de billets » et la « décharge » des hackers.
Effet domino n° 1 : après le vol chez Binance, les hackers ont déposé 60 millions d’USDT sur Aave, puis emprunté directement environ 46 millions de dollars en ETH pour les convertir en espèces. Aave a été contraint de geler en urgence les marchés V3/V4 et de réduire de plusieurs milliards les plafonds d’emprunt.
Effet domino n° 2 : après le piratage de KelpDAO en avril, qui a entraîné le vol de 292 millions de dollars, les créances irrécouvrables et les fonds illicites ont afflué en masse dans le pool stETH d’Aave. Le taux d’utilisation des fonds a dépassé 85 % en quelques heures, le jeton AAVE s’est effondré en une journée et la TVL a fondu instantanément de 8 milliards de dollars.
En quoi Aave est-il fautif ? En rien. C’est simplement parce qu’il est si colossal qu’il est devenu la « décharge ultime » des risques de tout le secteur. Quand les hackers y déposent leurs fonds volés en guise de garantie, la composabilité dont la DeFi est si fière devient une faille fatale, que les hackers peuvent exploiter pour s’infiltrer à leur guise.
Le cercle vicieux : les ponts inter-chaînes et les portefeuilles matériels
Regardons aussi ce qui se passe sur la blockchain. KelpDAO a falsifié des messages inter-chaînes, la vérification du pont inter-chaînes de zkLink a échoué, et la sidechain Liquid a créé des jetons à partir de rien. Les ponts inter-chaînes sont devenus des planches à billets pour les hackers.
Plus grave encore, une faille dans le générateur de nombres aléatoires du portefeuille Coldcard a permis de reconstruire des clés privées sans même toucher à l’appareil, entraînant le vol de près de 114 millions de dollars ; les « attaques à la clé à molette » contre les grosses fortunes de la crypto — cambriolages et violences pour extorquer des informations — se multiplient.
Vous pensez être en sécurité une fois vos cryptos transférées sur un portefeuille froid ? Le matériel peut avoir des bugs, et vous pourriez bien être vous-même dans le viseur.
La plus grande horreur : la convergence des fonds d’origine étatique
Le détective on-chain ZachXBT a mis au jour le maillon le plus inquiétant : les 6,3 milliards volés à Binance et les 388 millions dérobés à Bitget ont finalement transité par THORChain pour aboutir à la même adresse de blanchiment.
Cela signifie qu’il ne s’agit pas de hackers isolés, mais d’une force de cyberattaque étatique (TraderTraitor) qui mène une offensive systématique et écrasante. Ils s’en prennent simultanément aux plateformes centralisées, à la DeFi et aux ponts inter-chaînes, tandis que les défenseurs sont dispersés et que chacun gèle les fonds de son côté.
Le gel des fonds arrête l’hémorragie, mais ne guérit pas
Tether a gelé 2 milliards, et Binance a comblé le trou de 6,3 milliards avec ses propres fonds. Mais le marché a voté avec ses pieds : 230 000 personnes ont été liquidées et le bitcoin est passé sous les 77 000 dollars.
Cela envoie un signal glaçant : l’issue des incidents de sécurité est désormais une question de bilan. Sans argent pour indemniser les victimes, la confiance s’effondre.
Pour finir, j’aimerais vous poser une question très concrète :
Quand le système interne d’une plateforme centralisée peut être falsifié, que les pools de la DeFi peuvent être contaminés par des fonds illicites, que les ponts inter-chaînes peuvent être falsifiés et que même le générateur de nombres aléatoires d’un portefeuille froid peut tomber en panne…
Dans la répartition actuelle de vos actifs, quelle part repose réellement sur le principe de « ne dépendre d’aucun point de confiance unique » ?
Continuez-vous à faire confiance aux plateformes d’échange « trop grandes pour faire faillite », ou préférez-vous retirer vos fonds vers un portefeuille froid, ou les répartir sur plusieurs chaînes ?
Partagez votre stratégie anti-piratage dans les commentaires : voyons qui est le véritable « maître de la survie ».