Le 12 novembre, Lorenzo Valente, responsable de la recherche sur les actifs numériques chez ARK Invest, a publié sur X un ratio à l’échelle du secteur : depuis 2017, le secteur crypto a essuyé environ 26,9 milliards de dollars de pertes cumulées dues aux piratages, tandis que le total des revenus on-chain sur la même période s’élevait à environ 47 milliards de dollars.
Pour chaque dollar de revenus généré on-chain, environ 57 cents d’actifs sont dérobés.
Il ne s’agit pas de données partielles concernant une année ou une catégorie de protocoles, mais du bilan cumulé de l’ensemble du secteur sur près de dix ans. À ce taux, le coût de la sécurité est désormais inscrit au compte de résultat de l’économie crypto.
Un secteur qui consacre plus de la moitié de ses revenus bruts à payer le prix des vols, c’est déjà anormal en soi. Plus anormal encore : ce taux se maintient depuis près de dix ans.
Une seule attaque représente une grande partie des 57 centimes
26,9 milliards divisés par 47 milliards donnent 57 %. Mais ce ratio n’est pas composé de manière uniforme.
Valente établit une comparaison encore plus frappante : les pertes dues au seul piratage de Binance (6,36 milliards de dollars) dépassent l’ensemble des revenus on-chain générés depuis le début de 2026. Un seul vol a englouti toute la hausse des revenus d’une année entière.
Selon le périmètre de calcul de TRM, les pertes liées à l’incident Binance s’élèvent à 6,36 milliards de dollars ; l’annonce officielle de Binance les estime à environ 6,3 milliards de dollars. Des actifs d’une valeur d’environ 3 milliards de dollars ont été gelés ou interceptés, mais He Yi a clairement indiqué que leur récupération nécessitait encore de suivre les procédures officielles : un gel ne signifie pas une restitution. Environ 3,3 milliards de dollars se trouvent toujours sur des adresses contrôlées par les pirates. Les chances de les récupérer dépendent du traçage on-chain et de la coopération des autorités.
Si l’on soustrait les 6,36 milliards des 26,9 milliards, les quelque 20,5 milliards restants correspondent à l’ensemble des autres incidents survenus depuis 2017. L’incident Binance n’est pas la « cause » de ce ratio ; il en constitue la confirmation la plus récente et la plus importante.
Le goulot d’étranglement de la sécurité : la croissance est privée de carburant
La conclusion de Valente tient en une phrase : « La sécurité est le goulot d’étranglement du développement du secteur des cryptomonnaies. »
Cette affirmation est plus précise que « il y a beaucoup de pirates ». Si le secteur doit consacrer 57 centimes en coûts indirects aux failles de sécurité pour chaque dollar gagné, les ressources disponibles pour le réinvestissement, l’amélioration des produits et la mise en conformité se trouvent systématiquement réduites. Les dépenses de sécurité ne sont pas des dépenses de croissance : c’est une « taxe de défense » qu’il faut payer. La TVL et les revenus d’un protocole peuvent augmenter, mais si une seule faille dans un processus d’autorisation suffit à effacer plusieurs années de revenus cumulés, les effets de capitalisation de la croissance ne peuvent pas s’accumuler.
Les données de 2026 confirment cette analyse en temps réel. Selon les statistiques de DefiLlama arrêtées au 10 novembre, 338 attaques et exploitations de vulnérabilités ont causé environ 8,78 milliards de dollars de pertes depuis le début de l’année. Ce chiffre concerne l’année 2026 seule et n’a pas le même périmètre que les 26,9 milliards cumulés depuis 2017 d’ARK, mais les deux indiquent la même tendance : les pertes s’accélèrent.
Les vecteurs d’attaque évoluent eux aussi. Le domaine d’Across Protocol a été détourné par ingénierie sociale : les attaquants ont ciblé le bureau d’enregistrement Namecheap, modifié le site frontal pour inciter les utilisateurs à signer des autorisations malveillantes, puis environ 350 000 dollars ont quitté les portefeuilles d’utilisateurs sur six chaînes. Le contrat intelligent lui-même n’a pas été compromis. Initia a perdu environ 3,27 millions de dollars à la suite de la fuite de clés GCP : les attaquants ont pénétré l’infrastructure par injection de commandes, volé des accès à GitHub et détourné les fonds via la configuration cloud, sans passer par un contrat. Dans l’incident Binance, les clés privées n’ont pas non plus été décryptées à partir de la courbe elliptique : l’attaque a exploité le mécanisme de délégation des autorisations.
La faille ne se trouve pas dans la cryptographie, mais dans le système opérationnel construit autour d’elle. Domaines, clés cloud, processus d’autorisation : ce sont des principes opérationnels que la finance traditionnelle a appris au fil de plusieurs décennies d’incidents. Le secteur des cryptomonnaies les découvre peu à peu, au prix de 57 centimes pièce.
La leçon achetée pour 26,9 milliards n’a rien de compliqué
Quand on examine les pertes dans le détail, la majeure partie de l’argent n’a pas disparu à cause d’« attaques cryptographiques sophistiquées ». Il s’est écoulé par les processus d’autorisation des portefeuilles chauds, la logique de validation des ponts inter-chaînes, les interfaces du service client des bureaux d’enregistrement de domaines et les identifiants d’accès aux services cloud.
La solution au goulot d’étranglement de la sécurité ne réside pas dans une cryptographie plus complexe, mais dans une discipline d’ingénierie plus fondamentale : privilèges minimaux, autorisations révocables, audits de la chaîne d’approvisionnement et redondance des processus humains. Le billet de Valente n’apporte pas de solution ; il tend un miroir : si un secteur se fait voler 57 centimes sur chaque dollar gagné, sa « maturité » ne se mesure ni à sa capitalisation boursière ni à la taille de ses ETF, mais au moment où ce ratio commencera à baisser.
Remarque : ce contenu est fourni à titre informatif uniquement. Faites vos propres recherches.