Les plateformes crypto ont perdu 3,63 milliards de dollars à travers 245 incidents de sécurité documentés entre janvier 2025 et juillet 2026, selon le rapport sur l'état de la sécurité crypto de CoinGecko, publié le 27 août.
Les pertes étaient fortement concentrées. Les dix plus grandes attaques ont représenté plus de 72,5 % de la valeur totale volée, tandis que les compromissions d'infrastructure et de chaîne d'approvisionnement ont causé plus de 1,8 milliard de dollars de pertes.
CoinGecko a identifié la compromission de clé privée comme le principal risque pour les plateformes d'échange centralisées. Les applications décentralisées ont perdu environ 546 millions de dollars suite à des exploits de contrats intelligents, tandis que les deux catégories de plateformes ont également été confrontées à la manipulation d'oracles et à des défaillances de mécanismes internes.
Ces chiffres représentent l'ensemble de données d'incidents de CoinGecko. Le résumé publié n'indique pas clairement si tous les actifs récupérés ou gelés ont été déduits, de sorte que les 3,63 milliards de dollars doivent être considérés comme une estimation des pertes signalées plutôt que comme un total net final.
La violation de Bybit en février 2025 a été l'incident le plus important inclus, représentant environ 1,44 milliard de dollars. L'attaque impliquait une infrastructure de signature de transactions compromise plutôt qu'un défaut dans un contrat intelligent de l'échange.
Parmi les autres incidents majeurs, on compte la violation de KelpDAO de 292 millions de dollars, l'attaque du protocole Drift de 285 millions de dollars et l'exploit de Cetus de 223 millions de dollars. Leurs différentes méthodes montrent pourquoi un seul contrôle de sécurité ne peut pas couvrir la surface d'attaque complète de l'industrie.
Les attaques d'infrastructure peuvent cibler les clés privées, les appareils des employés, les interfaces front-end, les dépendances logicielles et les opérateurs de ponts. Ces composants se situent souvent en dehors des contrats intelligents examinés lors des audits conventionnels.
Les groupes soutenus par des États ont également adopté des opérations plus longues et plus complexes. Comme signalé précédemment, deux attaques liées à la Corée du Nord ont siphonné environ 577 millions de dollars par ingénierie sociale et compromissions d'infrastructure de ponts plutôt que par des failles contractuelles ordinaires.
CoinGecko a constaté que 147 des 245 plateformes affectées, soit environ 60 %, avaient effectué un audit de sécurité indépendant avant d'être attaquées. Ces plateformes représentaient 88,44 % des pertes enregistrées.
Cette constatation n'établit pas que les auditeurs ont approuvé le composant vulnérable. CoinGecko a déclaré que seulement environ 11 % des incidents impliquaient des failles qui relevaient de la portée des audits de contrats intelligents de routine.
Ces défaillances relevant du champ d'application ont tout de même causé environ 396 millions de dollars de pertes. La plupart des autres incidents impliquaient des infrastructures externes, des mises à jour logicielles non auditées, des informations d'identification compromises ou des mécanismes de gouvernance que l'audit n'avait pas évalués.
Un audit est également un instantané d'une version de code particulière. Les modifications apportées après l'examen peuvent introduire de nouvelles vulnérabilités. Son efficacité dépend de la portée, de la méthodologie, de l'expérience de l'auditeur et de la résolution des problèmes par les développeurs.
Dans un rapport connexe, l'examen de sécurité de Ripple a identifié 96 problèmes avant que le code affecté n'atteigne les utilisateurs, montrant que les audits peuvent prévenir les pertes lorsque les résultats sont connus avant l'activation. Ils ne peuvent pas remplacer la surveillance continue et la sécurité opérationnelle.
La couverture active des principaux protocoles d'assurance onchain a diminué de 20,2 %, passant de 163,2 millions de dollars à 130,2 millions de dollars. Les paiements cumulés sont restés proches de 33 millions de dollars, selon CoinGecko.
Cinq des neuf protocoles suivis étaient devenus inactifs ou s'étaient orientés vers d'autres domaines d'activité en août 2026. CoinGecko a attribué ce recul en partie au risque élevé, aux primes coûteuses et à la difficulté d'attirer des fournisseurs de capitaux.
Le chiffre de couverture de 130,2 millions de dollars ne doit pas être comparé directement aux 3,63 milliards de dollars comme un ratio de couverture formel. Le premier est une mesure ponctuelle, tandis que le second couvre les incidents cumulés sur 19 mois.
Les polices contiennent également des définitions étroites. Certaines couvrent les défaillances vérifiées de contrats intelligents mais excluent le phishing, le vol de clés privées, les erreurs d'employés, la volatilité du marché et les pertes impliquant des chaînes non prises en charge.
Les plateformes d'échange centralisées ont de plus en plus établi des fonds de protection des investisseurs au lieu de souscrire une assurance externe complète. Ces réserves peuvent offrir un remboursement plus rapide après une violation.
Cependant, un fonds de protection n'est pas automatiquement équivalent à une assurance réglementée. La couverture dépend des conditions de l'échange, de la conservation des réserves, de la composition des actifs et de la discrétion quant aux événements qualifiants.
Les attestations de preuve de réserves abordent un autre problème en montrant qu'un échange contrôle des actifs correspondant aux soldes des clients. Elles n'établissent pas une gestion sécurisée des clés ni ne prouvent que toutes les passifs ont été divulgués.
Le prochain test du rapport sera de savoir si les plateformes étendent les audits au-delà des contrats intelligents pour inclure les systèmes opérationnels, les ponts et les dépendances logicielles. Les assureurs devront également déterminer si une protection plus large peut être offerte sans rendre les primes inabordables.
ETH
BTC