Les piratages de cryptomonnaies ont atteint 1,18 milliard de dollars au total, répartis sur 107 incidents recensés au troisième trimestre 2026, selon la société de sécurité Hacken.

Dans son rapport sur le troisième trimestre, Hacken attribue 77 % des pertes (environ 906 millions de dollars) à des fournisseurs ou outils de développement compromis, à des correctifs rendus publics mais pas encore déployés, ou à d’autres composants qui n’avaient pas fait l’objet d’un audit de sécurité.

Les quatre incidents les plus importants comprennent le piratage de Bitget, qui a coûté 387 millions de dollars, l’exploitation de la faille du réseau Liquid, qui a coûté 320 millions de dollars, celle de Tectonic, qui a coûté 120 millions de dollars, et la vulnérabilité du micrologiciel de Coldcard, à laquelle sont associées des pertes estimées à 115 millions de dollars.

Ce T3 a été le trimestre le plus coûteux en matière de piratages de cryptomonnaies depuis le T1 2025, lorsque la perte de 1,4 milliard de dollars de Bybit, imputée à la Corée du Nord, avait porté le total à 1,6 milliard de dollars.

Montant total et répartition des pertes au T3. Source : Hacken

Environ 80 % des pertes du trimestre étaient concentrées dans quatre des incidents les plus importants, tandis que 98 incidents sur les 107 recensés ont entraîné des pertes inférieures à 10 millions de dollars. La perte médiane pour l’ensemble des 107 incidents s’élevait à 670 000 dollars.

Si les compromissions de fournisseurs et les défaillances d’infrastructure ont été à l’origine d’une grande partie des sommes dérobées, les incidents liés aux contrats intelligents ont été les plus fréquents : ils ont représenté 228 millions de dollars de pertes sur 71 incidents, ce qui en fait le vecteur d’attaque le plus exploité.

Environ un tiers des pertes a été restitué ou annulé après les piratages de cryptomonnaies du T3

Sur les 1,18 milliard de dollars perdus, environ 387 millions ont été restitués ou annulés, soit près de 33 % des pertes brutes récupérées.

Après le piratage du réseau Liquid, des « hackers éthiques » autoproclamés ont restitué 272 millions de dollars, soit environ 85 % de la valeur dérobée.

Lors de l’incident Tectonic, les validateurs de Cronos ont annulé 114 minutes d’historique de la blockchain déjà validé, effaçant ainsi environ 111,2 millions de dollars sur les 120,4 millions de dollars d’emprunts concernés. Par ailleurs, les émetteurs de stablecoins Circle et Tether ont gelé environ 340 000 dollars liés au vol chez Bitget.

Les opérateurs ont couvert 410 millions de dollars supplémentaires de pertes des utilisateurs avec leurs propres fonds. Le fonds de protection des utilisateurs de Bitget a couvert 387 millions de dollars, tandis que Triple-A, Coinsbuy et TAC ont remboursé environ 22 millions de dollars, indemnisant ainsi intégralement les utilisateurs, alors que les actifs dérobés sont restés entre les mains des attaquants.

Environ 384 millions de dollars, soit 32 % des pertes brutes, n’ont été ni restitués ni couverts.

Montant des pertes couvertes par les opérateurs, comparé au montant restitué ou annulé. Source : Hacken

Hacken a exhorté les acteurs du secteur à renforcer la cybersécurité des fournisseurs tiers, des outils de développement et des autres infrastructures externes susceptibles d’échapper aux audits de sécurité.

L’entreprise a également recommandé aux protocoles d’élargir le périmètre des audits de sécurité afin d’y inclure les oracles, les passerelles interchaînes, les systèmes de conservation, les autorités de signature et d’autres composants privilégiés.

Magazine : dans les coulisses du « faux raid policier » qui a contraint au transfert d’un million de dollars en bitcoins