464 millions volés en crypto au Q1 2026 : les hackers changent de méthode
Le Web3 a perdu 464,5 millions de dollars au premier trimestre 2026, victimes de hacks et d'arnaques en tout genre. C'est ce que révèle le rapport trimestriel de Hacken, spécialiste de la sécurité blockchain. Pas de méga-hack à la Bybit cette fois — juste une avalanche d'incidents mid-size qui font tout autant mal.
Le phishing et l'ingénierie sociale ont dominé le trimestre avec 306 millions de dollars de pertes sur 43 incidents recensés. À lui seul, un scam sur hardware wallet en janvier a englouti 282 millions de dollars, soit 81% des dégâts du trimestre. Une arnaque, un chiffre, une leçon.
Les exploits de smart contracts ont coûté 86,2 millions de dollars supplémentaires. Les failles de contrôle d'accès — clés compromises, services cloud mal sécurisés — ont ajouté 71,9 millions de dollars à l'addition. Et contrairement à ce qu'on pourrait croire, avoir été audité ne protège pas grand monde : six projets audités, dont Resolv avec 18 audits à son actif, ont quand même perdu 37,7 millions de dollars combinés.
Le PDG de Hacken, Yev Broshevan, est direct : les échecs les plus coûteux "se produisent complètement en dehors de la couche de code". Traduction : auditer les smart contracts ne suffit plus. Les attaquants s'en prennent désormais aux couches opérationnelles et d'infrastructure — là où les audits classiques ne regardent jamais.
Exemple concret : Step Finance s'est fait soutirer 40 millions de dollars via un faux appel de venture capitalist lié à la Corée du Nord. Resolv Labs a perdu 25 millions de dollars à cause d'une clé AWS compromise. Truebit a été vidé de 26,4 millions de dollars par un bug dans un contrat Solidity déployé il y a cinq ans. Venus Protocol a subi une attaque documentée depuis 2022. Rien de nouveau sous le soleil, mais toujours aussi efficace.
Les régulateurs commencent à prendre la mesure du problème. En Europe, MiCA et DORA passent en phase d'application active. Dubaï, Singapour et les Émirats arabes unis resserrent aussi les vis avec des règles de notification d'incident en moins d'une heure et des pénalités renforcées. La DeFi entre dans une ère où l'absence de monitoring en temps réel devient une faute de gestion, pas juste une mauvaise pratique.
Hacken définit désormais un standard "regulator-ready" qui inclut : preuve de réserves quotidienne, surveillance onchain 24h/24, coupe-circuits automatiques sur les fonctions de minting et de gouvernance, et des objectifs de réponse aux incidents mesurés en secondes — pas en jours.
Les clusters nord-coréens restent la menace humaine la plus persistante du secteur. Faux VCs, outils de visioconférence piégés, employés compromis : le manuel opératoire est connu, mais il continue de fonctionner.
Ce que ça change : auditer son code ne suffit plus — les projets qui ne sécurisent pas leur infrastructure, leurs clés et leurs équipes humaines sont des cibles aussi faciles que s'ils n'avaient aucun audit. La sécurité crypto entre dans l'ère industrielle, ou elle disparaît.
