CertiK : les hackers prennent pour l’instant l’avantage dans la course aux armements

​Le secteur des cryptomonnaies continue de perdre des milliards de dollars à cause des attaques de hackers. Toutefois, certaines des plus grandes menaces ne proviennent pas de vulnérabilités de la technologie blockchain elle-même, mais des faiblesses des systèmes et des personnes qui l’entourent. Dans un entretien avec Traders Union, Natalie Newson, enquêtrice principale spécialisée dans la blockchain chez CertiK, a expliqué pourquoi les hackers gardent une longueur d’avance sur les professionnels de la sécurité, dans quelle mesure les portefeuilles crypto sont réellement sécurisés et ce que les utilisateurs peuvent faire pour protéger leurs fonds.

Les hackers changent de tactique

Au premier semestre 2026, le secteur des cryptomonnaies a perdu environ 1,31 milliard de dollars lors de 344 incidents de sécurité, selon le rapport Hack3D de CertiK. À première vue, la situation semble s’être améliorée par rapport à l’année dernière, mais Natalie Newson estime que ces chiffres donnent une image trompeuse de la réalité.

Cette amélioration apparente s’explique en grande partie par le piratage de Bybit, d’un montant de 1,45 milliard de dollars, au premier semestre 2025. Si l’on exclut cet incident isolé, les pertes du secteur ont en réalité augmenté d’environ 28 % sur un an.

« Ainsi, la situation sous-jacente ne s’est pas améliorée et, à certains égards, elle s’est même aggravée. La majeure partie des dégâts ne provient pas d’un brillant décryptage de code, mais plutôt de portefeuilles compromis et de personnes manipulées par ingénierie sociale. »

Les vulnérabilités du code restent la principale cause des attaques en nombre d’incidents. Au cours des six premiers mois de 2026, CertiK a recensé 204 incidents de ce type, entraînant environ 152 millions de dollars de pertes. Toutefois, les compromissions de portefeuilles se sont révélées les plus destructrices : seulement 33 incidents ont causé plus de 444 millions de dollars de pertes.

Les attaques de phishing ont entraîné 366 millions de dollars de pertes supplémentaires. Bien que le nombre d’incidents de phishing ait diminué de plus de moitié par rapport à l’année précédente, les pertes financières n’ont reculé que de 11 %.

« Les attaquants délaissent les campagnes de masse au profit d’une poignée d’attaques d’ingénierie sociale hautement ciblées, et quatre incidents seulement ont représenté environ 85 % de l’ensemble des pertes liées au phishing. »

La plus grande vulnérabilité se situe en dehors de la blockchain

Les hackers ont tendance à cibler les écosystèmes où d’importants capitaux sont concentrés. Au premier semestre 2026, Ethereum a enregistré le plus grand nombre d’incidents, avec 153 attaques ayant entraîné environ 523 millions de dollars de pertes. Solana a subi nettement moins d’attaques, mais les pertes ont tout de même atteint 315 millions de dollars.

Une part importante des dégâts provient de seulement deux piratages. En avril, des attaquants ont volé 291 millions de dollars à Kelp DAO et 285 millions de dollars à Drift Protocol. À eux deux, ces incidents ont représenté près de 44 % des pertes totales du secteur des cryptomonnaies sur la période de six mois.

« La plus grande faiblesse ne réside pas vraiment dans la blockchain elle-même. Elle se situe dans la couche off-chain dont dépend tout le reste : la gestion des clés, les processus de signature, les interfaces front-end et les infrastructures telles que les fournisseurs RPC. »

Ces faiblesses off-chain contribuent à expliquer pourquoi même des projets ayant fait l’objet d’audits de sécurité indépendants peuvent encore être victimes de hackers.

« Un audit constitue un instantané d’un code précis à un moment précis, et non un label d’approbation permanent. »

Newson souligne également la tendance croissante des attaquants à cibler d’anciens smart contracts en fonctionnement depuis plus d’un an. Leurs vulnérabilités ont pu passer inaperçues lors des examens précédents. C’est pourquoi CertiK recommande de compléter les audits par une surveillance continue, des programmes de bug bounty et des contrôles de sécurité supplémentaires après toute modification du code.

L’IA confère un avantage temporaire aux hackers

L’intelligence artificielle transforme le rapport de force entre les cybercriminels et les entreprises qui protègent le secteur des cryptomonnaies. Les hackers peuvent désormais créer des deepfakes convaincants, générer des messages de phishing en plusieurs langues et automatiser des opérations frauduleuses.

L’IA aide également les attaquants à identifier plus rapidement les vulnérabilités du code, réduisant l’expertise technique nécessaire pour lancer des attaques sophistiquées. De leur côté, les entreprises de cybersécurité utilisent la même technologie pour analyser le code à grande échelle, détecter les transactions suspectes et retracer des opérations complexes de blanchiment de cryptomonnaies.

« Les deux camps en tirent parti et, à l’heure actuelle, il s’agit d’une véritable course aux armements. »

Pourtant, les deux camps opèrent sous des contraintes très différentes. Contrairement aux criminels, les entreprises de cybersécurité doivent respecter les exigences réglementaires et veiller à ce que leurs outils produisent des résultats fiables.

« À court terme, je pense que les attaquants ont l’avantage, car ils adoptent de nouveaux outils sans aucune contrainte de conformité ou de précision. »

L’équilibre pourrait s’inverser à plus long terme. Newson estime que les professionnels de la sécurité pourraient finir par prendre l’avantage grâce à leur accès à de grandes quantités de données et à leur capacité à déployer leurs défenses à grande échelle. Toutefois, cela nécessitera que le secteur des cryptomonnaies investisse plus activement dans ces technologies.

Les hackers passent des attaques numériques à la violence physique

Les criminels ciblent de plus en plus directement les détenteurs de cryptomonnaies, recourant à la violence physique et à l’intimidation pour accéder à leurs actifs. Ces attaques peuvent prendre la forme d’enlèvements, d’invasions de domicile et d’extorsions. Parmi les victimes figurent des fondateurs de projets crypto, des dirigeants d’entreprise, des investisseurs fortunés et même des membres de leur famille.

Connus sous le nom de « wrench attacks », ces actes criminels impliquent une coercition physique visant à contraindre les victimes à abandonner leurs cryptomonnaies. Leur progression s’explique par le caractère instantané et irréversible des transferts de cryptomonnaies, les fuites de données personnelles et l’exposition publique des investisseurs eux-mêmes.

« Il y a aussi une ironie dans tout cela : à mesure que la sécurité numérique s’améliore, l’être humain devient le point d’entrée le plus facile. »

Newson conseille aux personnes détenant d’importantes quantités de cryptomonnaies d’éviter de communiquer publiquement des informations sur leurs actifs et d’utiliser des mécanismes de sécurité empêchant une seule personne de transférer l’intégralité des fonds de manière autonome.

Il s’agit notamment des portefeuilles multisignatures et des transactions à verrouillage temporel. De telles mesures peuvent rendre le vol plus difficile, même sous la contrainte physique, car les criminels ne peuvent pas simplement accéder à un portefeuille ni forcer immédiatement son propriétaire à transférer les fonds.

Les cold wallets sont-ils toujours fiables ?

Les menaces physiques soulèvent également des questions quant au stockage des cryptomonnaies. Même les appareils qui restent déconnectés d’Internet dépendent de la fiabilité de leur firmware, de leurs chaînes d’approvisionnement et des actions de leurs propriétaires.

Cependant, Newson ne pense pas que ces risques rendent les hardware wallets obsolètes.

« Le stockage à froid reste la meilleure option dont disposent la plupart des gens. »

L’experte recommande d’acheter les appareils directement auprès des fabricants, de vérifier et de mettre régulièrement à jour leur firmware, et de conserver les phrases de récupération en lieu sûr.

Pour les avoirs importants, elle conseille également de recourir à des configurations multisignatures afin que la sécurité des actifs ne dépende pas d’un seul appareil ou fabricant. Le fait de conserver les clés privées hors ligne offre toujours une protection substantielle contre les attaques en ligne.

Le Web3 pourra-t-il un jour être sécurisé ?

Sur les 1,31 Md$ perdus au premier semestre 2026, seuls environ 115 M$ ont été gelés ou récupérés, selon CertiK. Les fonds restants n’avaient pas été gelés ou récupérés au cours de la période couverte par le rapport.

La perte moyenne par incident s’élevait à environ 3,8 M$, mais la médiane était nettement inférieure, autour de 139 000 $. Cela indique un grand nombre d’attaques de moindre ampleur touchant des projets moins connus et leurs utilisateurs.

Newson estime que le secteur crypto peut améliorer considérablement sa sécurité, mais que cela nécessitera une approche différente du développement des produits.

« Personne ne pense au chiffrement lorsqu’il utilise les services bancaires en ligne, et c’est le niveau que le Web3 doit atteindre. »

Selon elle, les portefeuilles crypto devraient expliquer clairement ce que les utilisateurs sont en train de signer et les avertir avant toute interaction avec des services potentiellement malveillants. De meilleurs outils permettant de récupérer l’accès et les fonds après des incidents de sécurité sont tout aussi importants.

Les utilisateurs ne devraient pas avoir besoin d’une connaissance approfondie de la technologie blockchain pour gérer leurs actifs en toute sécurité.

« Le risque ne sera jamais nul, pas plus qu’il ne l’est dans la finance traditionnelle, mais la direction est la bonne. »

En définitive, l’avenir du Web3 dépendra non seulement des progrès réalisés par les blockchains et les smart contracts, mais aussi de la capacité du secteur à protéger efficacement les utilisateurs ordinaires contre les erreurs, la fraude et les nouvelles formes d’attaque.