Crypto a perdu $482M au premier trimestre 2026 à cause de piratages et d'exploits.

Je viens de parcourir le rapport de sécurité et conformité du premier trimestre de @hackenclub, donc vous n'avez pas à le faire.
Voici les insights les plus importants ↓
——————————
1️⃣ Montants exploités des protocoles audités vs non audités
Six protocoles audités ont été exploités au T1.
Perte moyenne :
• 6,3 millions de dollars pour les projets audités
• 4,3 millions de dollars pour les non audités
Les projets audités détiennent plus de valeur, ce qui en fait des cibles plus importantes.
Les attaquants ont aussi tendance à cibler ce qui échappe au périmètre de l'audit.
2️⃣ Le plus gros incident jusqu’à présent en 2026
En janvier, une personne se faisant passer pour un support informatique a convaincu un individu de lui remettre ses identifiants de récupération de portefeuille matériel.
L’attaquant est reparti avec $282M en BTC et LTC, qu’il a immédiatement échangés contre $XMR pour rendre la traçabilité presque impossible.
C’est sûrement l’individu le plus malchanceux de 2026.
3️⃣ Les hackers avancent vite... ou pas ?
Dans 76 % des cas, les hackers déplacent les fonds avant que l’équipe ne prenne connaissance du coup.
Le délai moyen de rapport d’un piratage est d’environ 1,5 jour.
On peut se demander si certaines équipes étaient vraiment inconscientes ou si le retard dans l’annonce leur était pratique.
4️⃣ Tendance des exploits de contrats intelligents
Les pertes totales du T1 2026 étaient inférieures à celles du T1 2025, mais seulement parce qu’il n’y a pas eu de piratage catastrophique d’échange ce trimestre.
Les pertes dues aux exploits de contrats intelligents ont en réalité augmenté de 213 % en glissement annuel, atteignant 86,2 millions de dollars sur 28 incidents.
Ce n’est pas vraiment une amélioration si on regarde sous cet angle.
5️⃣ Les hackers nord-coréens continuent de drainer l’espace crypto
Ils ont été responsables de 2,04 milliards de dollars de vols en 2025, représentant 52 % de toutes les pertes annuelles.
Aucun de ces vols n’a été réalisé par des exploits de contrats intelligents.
Chaque incident a utilisé l’ingénierie sociale.
L’appel VC fake qui a mis fin à @StepFinance_ suit le même mode opératoire qu’ils utilisent habituellement, et ça continue de fonctionner grâce à la couche humaine.
6️⃣ Les protocoles RWA sont devenus le secteur le plus vulnérable aux constatations d’audit
Au T1, les protocoles RWA et TradFi ont en moyenne 22,4 problèmes d’audit par revue, plus que tout autre secteur.
La majorité du risque ne réside pas dans la logique du token elle-même.
Il se trouve dans les contrôles de conformité qui sont bien conçus sur papier mais qui ne fonctionnent pas comme ils devraient en pratique.
7️⃣ La correction du code introduit de nouvelles vulnérabilités
1 tentative sur 3 pour corriger une vulnérabilité a accidentellement introduit une nouvelle faille au T1 cette année.
Les projets doivent considérer la revue de code après chaque patch comme une procédure standard s’ils ne veulent pas que cela devienne une tendance.
8️⃣ L’extraction du @VenusProtocol
L’attaquant a passé neuf mois à accumuler discrètement 84 % de l’offre du token avant de déclencher l’exploit.
L’ensemble était visible sur la blockchain pendant toute la durée.
Personne ne l’a repéré.
9️⃣ Le code écrit par IA est sujet aux exploits
En février, @MoonwellDeFi a perdu 1,78 million de dollars à cause de ce qui pourrait être le premier exploit de code généré par IA.
Utiliser l’IA pour coder expose les projets à des vulnérabilités imprévues.
C’est le principal risque de sécurité de 2026.
🔟 Le protocole le plus audité au T1 a quand même été drainé, pour $25M
même pas 18 audits n’ont empêché @ResolvLabs@ d’être vidé.
L’attaquant a compromis leur infrastructure AWS pour voler la clé qui autorisait la création de USR.
Deux transactions plus tard, 80 millions de tokens USR non garantis ont été créés à partir de collatéral $200K , extrayant $25M avant que l’équipe ne mette en pause ses opérations.
——————————
Avec tout ce qui se passe, il est clair que la sécurité dans la crypto est prise très à la légère.
Les équipes devraient repenser leur approche de ce problème avant de se concentrer sur autre chose.
Sinon, on pourrait voir beaucoup plus de victimes apparaître dans les rapports.