Pendant des années, la peur du détenteur de cryptos avait un visage : le bug dans un contrat intelligent, la faille logique qu'un pirate exploite en quelques transactions. En 2026, ce visage a changé. Désormais, ce sont les clés et les accès humains que les pirates visent en premier. Et le montant dérobé par les piratages DeFi donne le vertige.
Un milliard envolé, et une bascule de méthode
Selon le rapport Hack3d de CertiK, relayé par la presse spécialisée, les piratages DeFi ont coûté environ 1,3 milliard de dollars sur les huit premiers mois de 2026. Un décompte indépendant situait déjà les pertes au dessus du milliard dès la fin avril. La trajectoire est claire, quelle que soit la source.
Le vrai basculement est ailleurs. Pour la première fois dans les relevés de CertiK, la compromission de clés privées et d'accès administrateurs dépasse les bugs de contrats comme première cause de pertes en valeur. Ingénierie sociale, vol de sessions, détournement de signatures de validateurs : les attaquants visent moins le programme que les personnes qui le contrôlent. Comme le résume Ronghui Gu, cofondateur de CertiK, un protocole peut réussir un audit de code parfait et perdre malgré tout des millions à cause d'une seule clé d'administration compromise.
Deux attaques qui résument l'année
Deux affaires illustrent la méthode. Le 1er avril, Drift Protocol a perdu environ 285 millions de dollars. Les fonds ont été siphonnés en 128 secondes, après qu'un attaquant a obtenu une clé d'administration par ingénierie sociale. Aucun exploit de contrat exotique. Une manipulation humaine, puis une porte grande ouverte.
Le 18 avril, KelpDAO a subi une perte d'environ 290 millions de dollars. Là encore, pas de faille dans le code du protocole lui même, mais des clés de session d'un développeur compromises et une infrastructure technique empoisonnée. Les enquêteurs ont relié les deux attaques au groupe Lazarus, la structure de piratage nord coréenne. À elles seules, ces deux affaires représentent une part majeure du butin de l'année. CertiK attribue à Lazarus au moins 575 millions de dollars, soit près de 44 pour cent des pertes de 2026.
Ce n'est pas la première fois qu'un exploit majeur secoue un réseau. Nous avions suivi le cas de Cronos, qui a gelé sa blockchain après un exploit à 75 millions. La différence, en 2026, tient à la cible : l'attaque vise les accès plutôt que les lignes de code.
Même le matériel n'est pas à l'abri
Tous les piratages DeFi ne visent pas des protocoles. Un cas sort du lot et concerne directement l'auto-conservation. Fin juillet, un défaut de firmware sur un portefeuille matériel Coldcard aurait rendu certaines graines de récupération vulnérables, pour un préjudice rapporté autour de 130 millions de dollars. Un portefeuille matériel est censé être le dernier rempart. Quand c'est son logiciel interne qui flanche, le risque remonte d'un cran.
La leçon n'est pas d'abandonner l'auto-conservation. C'est de comprendre où se situe désormais le point faible. Il s'étend à toute la chaîne, de votre appareil jusqu'à vos habitudes, bien au-delà du seul contrat que vous signez. Notre guide pour détenir ses cryptos en France rappelle les gestes de base, qui restent la meilleure défense.
Ce que cela change pour vous
Trois réflexes valent mieux qu'un long discours. Vérifiez la provenance de chaque logiciel de wallet et de chaque mise à jour de firmware avant de l'installer. Méfiez vous des messages qui vous pressent d'agir vite, car l'ingénierie sociale exploite l'urgence. Et gardez à l'esprit qu'un audit de code affiché par un protocole ne protège pas ses clés d'administration.
L'argent volé, lui, revient rarement. Les enquêtes récupèrent parfois une fraction des fonds, gelée sur une plateforme ou bloquée à temps, mais l'essentiel disparaît. Tant que la faille se déplace vers les humains et leurs accès, la vigilance de chacun pèsera autant que la qualité du code sous-jacent.