Les plateformes crypto ont perdu 3,63 milliards de dollars à travers 245 incidents de sécurité documentés entre janvier 2025 et juillet 2026, selon le rapport State of Crypto Security de CoinGecko publié le 27 août.
Résumé
- Les plateformes crypto ont perdu 3,63 milliards de dollars à travers 245 incidents documentés entre janvier 2025 et juillet 2026.
- Les dix plus grandes attaques représentaient plus de 72,5 % de tous les fonds volés enregistrés dans le monde.
- Les plateformes auditées représentaient 147 incidents et 88,44 % des pertes déclarées au cours de la période d'étude dans l'ensemble.
- Seulement 11 % des incidents impliquaient des vulnérabilités couvertes par les périmètres d'audit de contrats intelligents de routine, a rapporté publiquement CoinGecko.
- La couverture d'assurance onchain active a chuté de 20,2 % à 130,2 millions de dollars, tandis que cinq protocoles ont cessé leurs activités ou se sont réorientés.
Les pertes étaient fortement concentrées. Les dix plus grandes attaques représentaient plus de 72,5 % de la valeur totale volée, tandis que les compromissions d'infrastructure et de chaîne d'approvisionnement ont causé plus de 1,8 milliard de dollars de pertes.
CoinGecko a identifié la compromission de clés privées comme le risque principal pour les échanges centralisés. Les applications décentralisées ont perdu environ 546 millions de dollars à travers des exploits de contrats intelligents, tandis que les deux catégories de plateformes ont également été confrontées à des manipulations d'oracles et à des défaillances de mécanismes internes.
Les chiffres représentent l'ensemble de données d'incidents de CoinGecko. Le résumé publié ne précise pas clairement si chaque actif récupéré ou gelé a été déduit, donc les 3,63 milliards de dollars doivent être considérés comme son estimation de perte déclarée plutôt que comme un total de perte nette final.
Les pertes de sécurité crypto étaient concentrées dans les attaques majeures
La violation de Bybit en février 2025 a été le plus grand incident inclus, représentant environ 1,44 milliard de dollars. L'attaque impliquait une infrastructure de signature de transactions compromise plutôt qu'un défaut dans un contrat intelligent d'échange.
D'autres incidents majeurs comprenaient la violation de KelpDAO de 292 millions de dollars, l'attaque du protocole Drift de 285 millions de dollars et l'exploit de Cetus de 223 millions de dollars. Leurs méthodes différentes montrent pourquoi un seul contrôle de sécurité ne peut pas couvrir l'ensemble de la surface d'attaque de l'industrie.
Les attaques d'infrastructure peuvent cibler les clés privées, les appareils des employés, les interfaces front-end, les dépendances logicielles et les opérateurs de ponts. Ces composants se trouvent souvent en dehors des contrats intelligents examinés lors des audits conventionnels.
Les groupes soutenus par des États ont également adopté des opérations plus longues et plus complexes. Comme précédemment rapporté, deux attaques liées à la Corée du Nord ont drainé environ 577 millions de dollars grâce à l'ingénierie sociale et à des compromissions d'infrastructure de ponts plutôt qu'à des défauts de contrats ordinaires.
Les audits ne couvraient qu'une minorité des faiblesses exploitées
CoinGecko a constaté que 147 des 245 plateformes concernées, soit environ 60 %, avaient effectué un audit de sécurité indépendant avant d'être attaquées. Ces plateformes représentaient 88,44 % des pertes enregistrées.
Cette constatation n'établit pas que les auditeurs ont approuvé le composant vulnérable. CoinGecko a déclaré que seulement environ 11 % des incidents impliquaient des défauts relevant du périmètre des audits de contrats intelligents de routine.
Ces défaillances dans le périmètre ont tout de même causé environ 396 millions de dollars de pertes. La plupart des autres incidents impliquaient une infrastructure externe, des mises à jour logicielles non auditées, des identifiants compromis ou des mécanismes de gouvernance que l'audit n'a pas évalués.
Un audit est également un instantané d'une version particulière du code. Les modifications apportées après l'examen peuvent introduire de nouvelles vulnérabilités. Son efficacité dépend de la portée, de la méthodologie, de l'expérience de l'auditeur et de la question de savoir si les développeurs ont résolu les conclusions.
Dans une couverture connexe, l'examen de sécurité de Ripple a identifié 96 problèmes avant que le code affecté n'atteigne les utilisateurs, montrant que les audits peuvent prévenir des pertes lorsque les résultats arrivent avant l'activation. Ils ne peuvent pas remplacer une surveillance continue et la sécurité opérationnelle.
La capacité d'assurance onchain a diminué alors que les attaques augmentaient
La couverture active des principaux protocoles d'assurance onchain a diminué de 20,2 %, passant de 163,2 millions de dollars à 130,2 millions de dollars. Les paiements cumulés sont restés proches de 33 millions de dollars, selon CoinGecko.
Cinq des neuf protocoles suivis étaient devenus inactifs ou s'étaient orientés vers d'autres domaines d'activité d'ici août 2026. CoinGecko a attribué ce repli en partie au risque élevé, aux primes coûteuses et à la difficulté d'attirer des fournisseurs de capitaux.
Le chiffre de couverture de 130,2 millions de dollars ne doit pas être comparé directement à 3,63 milliards de dollars comme ratio de couverture formel. Le premier est une mesure à un moment donné, tandis que le second couvre les incidents cumulés sur 19 mois.
Les polices contiennent également des définitions étroites. Certaines couvrent les défaillances vérifiées de contrats intelligents mais excluent le hameçonnage, le vol de clés privées, les erreurs des employés, la volatilité du marché et les pertes impliquant des chaînes non prises en charge.
Les bourses s'appuient de plus en plus sur des réserves autofinancées
Les bourses centralisées ont de plus en plus établi des fonds de protection des investisseurs au lieu de souscrire une assurance externe complète. Ces réserves peuvent fournir un remboursement plus rapide après une violation.
Cependant, un fonds de protection n'est pas automatiquement équivalent à une assurance réglementée. La couverture dépend des conditions de la bourse, de la garde des réserves, de la composition des actifs et du pouvoir discrétionnaire sur les événements qualifiants.
Les attestations de preuve de réserves abordent un autre problème en montrant qu'une bourse contrôle des actifs correspondant aux soldes des clients. Elles n'établissent pas une gestion sécurisée des clés ni ne prouvent que tous les passifs ont été divulgués.
Le prochain test du rapport sera de savoir si les plateformes étendent les audits au-delà des contrats intelligents vers les systèmes opérationnels, les ponts et les dépendances logicielles. Les fournisseurs d'assurance doivent également déterminer si une protection plus large peut être offerte sans rendre les primes inabordables.
