DeFi : 27 hacks en avril, 630M$ volés, le secteur à genoux
Avril 2026 restera dans les mémoires comme l'un des mois les plus dévastateurs pour la DeFi. 27 protocoles attaqués, 629,6 millions de dollars volés en 30 jours. Soit presque une attaque par jour. Pour comparaison, mars 2026 n'avait comptabilisé que 14 incidents pour 41,2 millions de pertes. L'accélération est brutale.
Derrière ce chiffre record, deux hacks dominent tout. Le 1er avril, Drift se fait vider de 285 millions de dollars. Le 18 avril, c'est Kelp qui encaisse 293 millions de dollars de pertes. Ces deux seules attaques concentrent 91% du total mensuel. Le reste — 25 hacks supplémentaires — représente la marge.
Le vrai signal d'alarme, ce n'est pas le montant. C'est la fréquence. Décembre 2020 reste le mois le plus coûteux en valeur absolue. Mais un rythme d'une attaque par jour sur un mois entier, ça n'avait jamais été vu à cette échelle.
Les conséquences sont immédiates. Après le hack de Kelp, les utilisateurs ont retiré 14 milliards de dollars de TVL des protocoles en quelques jours. Une hémorragie massive. L'initiative DeFi United a tenté de colmater la brèche avec 300 millions de dollars d'engagement collectif, mais le mal est fait.
L'analyste 0x.Bênav l'écrit sans détour dans une note récente : "2026 a été une catastrophe pour la sécurité de la DeFi. Non pas parce que les attaques deviennent plus sophistiquées. Mais les mêmes vulnérabilités continuent d'apparaître, les mêmes erreurs se répètent."
Le diagnostic pointe vers un angle mort souvent ignoré : ce ne sont pas les smart contracts qui défaillent. La plupart sont audités. Ce sont les pratiques de gouvernance, la gestion des clés privées et les failles d'infrastructure qui ouvrent la porte aux attaquants. Des problèmes humains, pas techniques.
Les données sont issues de DeFiLlama, qui compile l'ensemble des incidents on-chain en temps réel.
Ce que ça change : la DeFi ne peut plus se permettre de traiter la sécurité comme un argument marketing. Tant que la gouvernance et la gestion des accès restent bâclées, les audits de smart contracts ne servent à rien. Le secteur doit repenser ses standards de fond en comble — ou accepter de perdre définitivement ses utilisateurs.
