Les exploits basés sur l'IA et les failles inter-chaînes ont ramené les risques de sécurité crypto au premier plan en 2026, avertissent les experts de CertiK, avec des pertes dépassant déjà les 600 millions de dollars.

Selon la firme de sécurité blockchain, les attaquants ont eu recours à un mélange d'ingénierie sociale, de faiblesses d'infrastructure et d'outils de plus en plus sophistiqués pour mener à bien certaines des plus grandes violations de l'année.

Les pertes ont été fortement concentrées sur une poignée d'incidents à fort impact. Le seul mois d'avril a vu deux vols majeurs liés à des acteurs nord-coréens. 

L'un d'eux impliquait un exploit de 293 millions de dollars chez Kelp DAO, où une défaillance de l'infrastructure de messagerie cross-chain liée à LayerZero a permis aux attaquants de contourner les protections basées sur des hypothèses de confiance. Une autre violation a visé le protocole Drift, entraînant environ 280 millions de dollars de pertes.

Natalie Newson, enquêtrice senior en blockchain chez CertiK, a déclaré que le rythme et la nature des attaques indiquent qu'un environnement de menaces plus complexe est en train de se dessiner. Les deepfakes en temps réel, les campagnes de phishing, les compromissions de la chaîne d'approvisionnement et les vulnérabilités inter-chaînes, a-t-elle noté, sont susceptibles d'être au centre des exploits majeurs à l'approche de 2026.

Un incident antérieur a mis en évidence comment les outils d'IA sont déjà utilisés dans la pratique. Le 15 avril, le fournisseur de portefeuilles crypto Zerion a révélé que des hackers liés à la Corée du Nord avaient mené une campagne d'ingénierie sociale prolongée, extrayant finalement environ 100 000 $ de ses hot wallets.

« La meilleure façon pour les investisseurs de se protéger est d'être conscients des menaces actuelles auxquelles ils peuvent être confrontés… Par exemple, pour vous protéger contre le phishing, vérifiez toujours l'authenticité des URL et des smart contracts », a déclaré Newson.

Les préoccupations de sécurité ne se limitent pas aux attaques externes. Les pratiques de stockage restent un point faible, en particulier pour les participants individuels. 

« L'utilisation de cold wallets peut aider à sécuriser les actifs que vous n'utilisez pas régulièrement et vous permet de signer des transactions sans jamais exposer vos clés privées », a-t-elle ajouté.

L'attention s'est également portée sur la manière dont l'intelligence artificielle modifie les deux côtés de l'équation. Les outils capables de générer des deepfakes convaincants et d'automatiser le développement d'exploits deviennent plus faciles d'accès. 

« Il existe désormais des deepfakes plus convaincants, des agents d'attaque autonomes et des 'IA agentiques' qui peuvent analyser de manière autonome les smart contracts à la recherche de bugs, rédiger du code d'exploit et exécuter des attaques à la vitesse de la machine », a ajouté Newson.

Plus tôt ce mois-ci, un acteur de la menace connu sous le nom de « Jinkusu » proposerait des outils de cybercriminalité conçus pour contourner les vérifications Know Your Customer (KYC) dans les banques et sur les plateformes crypto, en s'appuyant sur la manipulation vocale et la technologie des deepfakes.

Parallèlement, l'utilisation défensive de l'IA commence à se développer. L'automatisation accrue a entraîné une augmentation des soumissions de primes aux bugs dans l'ensemble de l'industrie, même si toutes les découvertes ne sont pas valides. Un exemple est Claude Mythos, un système d'IA développé par Anthropic, qui a été testé dans des déploiements limités pour identifier les vulnérabilités dans les principaux systèmes d'exploitation.