La crypto est piratée plus souvent, et non moins. Le drainage du Liquid Network montre le véritable problème : $1.5 million dépensés pour protéger $5 milliard d'actifs.
# Pourquoi la crypto continue d'être piratée — $1.5M pour protéger $5 milliard
Points clés
- La crypto est piratée plus souvent, et non moins : environ $1.4 milliard volés lors de 250 attaques en 2026, contre $2.7 milliard lors de 146 en 2025 — des vols moyens plus faibles, mais une fréquence bien plus élevée.
- La [Blockstream](https://blockstream.com) [Liquid Network](https://liquid.net) piratage a exposé l'incitation pourrie en dessous : un budget de sécurité de 1,5 million de dollars protégeant 5 milliards de dollars d'actifs — une dépense de 0,03 %.
- L'auto-proclamé « chapeau blanc » a rendu 3 400 BTC et a conservé 598,5 BTC (environ 47 millions de dollars) comme prime auto-imposée — environ 30 fois le budget de sécurité entier.
- Les clés compromises et l'ingénierie sociale — et non les bugs de contrats intelligents — ont dépassé les exploits de code comme cause principale des pertes DeFi en valeur dollar cette année.
- La leçon durable : le risque de sécurité est désormais une entrée de premier ordre, chiffrable, et les survivants seront les protocoles qui financent la sécurité comme un produit central, et non comme une après-pensée.
Le 6 septembre 2026, quelqu'un s'est enfui avec environ 4 000 Bitcoin — environ 320 millions de dollars — du portefeuille de fédération qui soutient Liquid, la sidechain Bitcoin de Blockstream. Ce n'était pas une clé volée. Le multisig 11-sur-15 a tenu, et les clés d'autorisation de dépegage n'ont jamais été touchées. Un inconnu a trouvé une faille dans Elements, la base de code open-source sur laquelle Liquid fonctionne, a minté des L-BTC non soutenus par de vrais Bitcoin, et les a remboursés par la porte d'entrée comme un client normal. La réserve est passée de 4 200 BTC à 197 BTC en environ 23 minutes.
Puis est venue la partie étrange. L'attaquant n'a pas fui. Ils ont écrit « nous sommes des chapeaux blancs. contactez-nous sur la chaîne » dans une transaction Bitcoin et ont commencé à négocier un remboursement de 320 millions de dollars en public, un message OP_RETURN à la fois. Un jour plus tard, ils ont rendu 3 400 BTC — 85 % du butin — et ont conservé 598,5 BTC, environ 47 millions de dollars, comme prime auto-imposée.
Voici le chiffre qui devrait faire se redresser chaque fondateur, trader et LP : le 9 septembre, l'attaquant a annoncé au monde que Blockstream n'avait alloué que 1,5 million de dollars pour sécuriser 5 milliards de dollars d'actifs. « Votre négligence de vos devoirs est évidente », ont-ils écrit, menaçant de conserver le reste à moins que Blockstream ne paie une prime de 10 %.
Ce ratio est l'histoire entière de la sécurité crypto en 2026. Ce n'est pas un échec technique. C'est un échec d'incitation. Si vous voulez comprendre pourquoi la crypto continue d'être piratée, cessez de lire les analyses post-mortem des contrats intelligents et commencez à lire le tableau budgétaire.
## Pourquoi la surface d'attaque est-elle passée du code aux personnes ?
Pendant une décennie, l'industrie a traité la sécurité comme un problème de revue de code : plus d'auditeurs, plus de vérification formelle, plus de bug bounties pour la réentrance et l'overflow. Les attaquants se sont simplement déplacés vers le haut de la stack. En 2026, les attaques par clés compromises ont dépassé les exploits de smart contracts en tant que cause principale des pertes DeFi en valeur dollar — car c'est là que se trouve désormais la valeur non protégée.
Regardez le pire cambriolage unique de l'année. En avril, [Drift Protocol](https://drift.trade), la plus grande bourse de contrats perpétuels de Solana, a perdu environ $285 million. Ce n'était pas un bug. C'était une opération de renseignement nord‑coréenne de six mois (suivie sous le nom UNC4736, ou AppleJeus). Les agents se sont fait passer pour une société de trading quantitatif, ont rencontré les contributeurs en face à face lors de conférences dans plusieurs pays, et ont déposé plus de $1 million de leur propre capital pour gagner en crédibilité. Ensuite ils ont compromis deux contributeurs — un via un dépôt de code malveillant, un autre via une fausse application de portefeuille TestFlight qui a exploité une faille d'exécution silencieuse de code dans VSCode et Cursor. Les contrats de Drift avaient été audités par Trail of Bits en 2022. Audit propre, vidé en douze minutes via un multisig 2-of-5 sans timelock.
Même schéma, jour différent : KelpDAO a perdu environ $292 million lorsqu'un attaquant a fourni de fausses données à son unique vérificateur de confiance. Tectonic a perdu environ $75 million à cause d'une collatéralisation mince et d'un oracle pump-and-dump. Coldcard a perdu $115–130 million à cause d'un bug de nombre aléatoire du firmware. Aucun de ces cas n'était un zero-day ingénieux. C'étaient des points uniques de confiance, privés de defense-in-depth.
La fréquence est le signe révélateur. 1,4 milliard de dollars sur 250 attaques en 2026, contre 2,7 milliards sur 146 en 2025. Moins de dollars, beaucoup plus d'incidents — le vol moyen est plus petit, plus rapide et de plus en plus automatisé. Les ponts et les infrastructures inter-chaînes représentent désormais 26 attaques (plus de 10 % du total), contre seulement 3 en 2025. C'est la professionnalisation du vol : une longue traîne d'attaquants semi-automatisés qui exploitent les marges sous-financées de l'écosystème.
## Qui gagne quand un « chapeau blanc » conserve 47 millions de dollars ?
Le CTO de Ledger, Charles Guillemet, a qualifié l'épisode Liquid de « plus proche de l'extorsion que du piratage par des chapeaux blancs ». Il a raison sur la méthode — vider d'abord, négocier ensuite, c'est de la coercition, pas une divulgation responsable. Mais la partie inconfortable, c'est le montant. Une vulnérabilité capable de vider 320 millions de dollars en 23 minutes vaut des millions selon n'importe quel standard sérieux de prime de sécurité. La seule raison pour laquelle cela ressemble à un scandale, c'est que Blockstream n'a jamais évalué le risque lui-même. L'attaquant a fait le travail d'évaluation pour eux — et, perversement, le marché est en train d'acquiescer en silence.
Les gagnants sont faciles à nommer. Les chercheurs en sécurité qui ont passé des années à réclamer de vraies primes viennent de recevoir la meilleure offre d'embauche imaginable : la preuve vivante que le gain potentiel de la découverte d'une grosse vulnérabilité est énorme. Les auditeurs, les assureurs et les sociétés de surveillance gagnent — la demande pour leurs services est sur le point de bondir. Les attaquants gagnent, évidemment.
Les perdants : les détenteurs de L-BTC dont les fonds sont restés gelés pendant que le réseau était en pause, en faisant confiance à une chaîne latérale dont les opérateurs ont consacré 0,03 % de la valeur à risque à sa protection. Et la réputation de Blockstream subit la coupure la plus profonde — ce n'était pas une startup débrouillarde, c'est l'entreprise la plus sérieuse en matière de Bitcoin dans le secteur, et même elle a sous-financé la sécurité de plusieurs ordres de grandeur.
## Est-ce déjà arrivé — ou est-ce nouveau ?
Il existe une longue histoire de hackers restituant des fonds volés : Poly Network en 2021 (610 millions de dollars, tout a été restitué), Euler en 2023 (197 millions de dollars, la plupart restitués). Mais il s'agissait de voleurs pris sur le fait qui ont choisi la restitution. Ce qui est différent avec Liquid, c'est le cadrage : l'attaquant s'est présenté comme un chapeau blanc avant même que le vol ne soit découvert, puis a utilisé les fonds restitués comme levier pour obtenir une concession publique.
C'est une nouvelle catégorie — appelez-la du rançongiciel avec un formulaire de divulgation. Et cela ne fonctionne que à cause du problème plus profond et plus ancien : les budgets de sécurité de la crypto sont grotesquement mal alloués par rapport à la valeur en jeu. L'incident Liquid est simplement la première fois qu'un attaquant a publiquement utilisé le budget de sécurité d'un projet comme argument pour le crime. C'est un marqueur de maturation, d'une manière perverse — les attaquants comprennent désormais l'économie de la crypto mieux que beaucoup de fondateurs.
## Où cela va-t-il dans les trois prochaines années ?
Trois prédictions, aucune d'elles sur les prix. Premièrement, les dépenses de sécurité se professionnaliseront ou les protocoles seront exploités. Le ratio de 1,5 million à 5 milliards de dollars est indéfendable et désormais public ; attendez-vous à ce que les projets sérieux convergent vers des points de base à un chiffre du TVL alloués à la sécurité, au minimum, et attendez-vous à ce que le reste soit pillé.
Deuxièmement, le « chapeau blanc avec une arme » deviendra une caractéristique reconnue — bien que laide — du paysage. Que les régulateurs l'appellent de l'extorsion ou que les tribunaux l'appellent du vol, les incitations sont verrouillées : un inconnu a trouvé un bug critique et a été payé 30 fois le budget de sécurité total de la victime. Cela se reproduira, car le marché continue de financer la prime.
Troisièmement, l'assurance et l'attestation deviennent le fossé. Les protocoles qui survivront à l'élimination de 2026–2027 ne seront pas ceux aux contrats les plus ingénieux ; ce seront ceux avec de véritables équipes de sécurité, de véritables primes, des verrous temporels et une couverture. La DeFi est sur le point de devenir ennuyeuse — et l'ennui est précisément ce que les institutions attendent.
## Qu'est-ce que cela signifie pour les traders ?
Considérez le risque de sécurité comme une donnée de premier ordre et valorisable — de la même manière que vous traiteriez le risque de liquidité ou le risque réglementaire, et non comme une simple note de bas de page. La « remise liée au hack » est réelle et cumulative : la TVL de Tectonic s'est effondrée, passant de $121.7 million à environ $3 million après son exploit. Lorsqu'un protocole est piraté, la liquidité ne revient pas. L'asymétrie est brutale — vous n'êtes pas rémunéré pour le risque extrême lié au dépôt de capital dans un pont à vérificateur unique ou un marché de prêt non audité.
La concentration est la corrélation cachée. L-BTC, les sidechains fédérées et les ponts à vérificateur unique ressemblent à une exposition au « Bitcoin » ou à l'« ETH », mais ils comportent un risque logiciel et de contrepartie que l'actif sous-jacent n'a pas. La chaîne de base n'a pas été piratée ; c'est le wrapper qui l'a été. Si votre thèse est « Je veux une exposition au Bitcoin », détenir une version wrapped ou sidechain ajoute discrètement un risque pour lequel vous n'êtes pas payé.
Et l'observation des « pioches et pelles » : le thème récurrent qui s'accentue à chaque cycle de hack n'est pas un token — c'est l'infrastructure de sécurité. Les auditeurs, les assureurs, les sociétés de surveillance et les protocoles qui financent correctement la sécurité sont les endroits où la valeur durable s'accumule. Ceci n'est pas une recommandation ; juste une note sur l'endroit où se trouve désormais la ressource véritablement rare de l'industrie : la confiance.
## L'addition finit toujours par arriver
Blockstream va probablement indemniser intégralement les détenteurs de L-BTC — Adam Back a déclaré que le peg serait couvert 1:1. L'argent, au final, reviendra pour la plupart. Mais la leçon ne s'effacera pas : une industrie qui a levé des milliards pour le marketing et les lancements de tokens a dépensé $1.5 million pour protéger $5 billion — et un inconnu avec un éditeur de texte a dû lui montrer les calculs, de force, pour 30x le budget.
La prochaine fois que quelqu'un vous demandera pourquoi le crypto est constamment piraté, ne lui montrez pas une analyse post-mortem. Montrez-lui le tableur.
## FAQ
Pourquoi le crypto est-il constamment piraté en 2026 ?
La cause principale des pertes est passée des bugs de contrats intelligents aux clés compromises, aux vérificateurs uniques et à l'ingénierie sociale. Les attaquants sont montés dans la pile vers les couches humaine et d'infrastructure, car c'est là que la valeur se trouve sans protection.
Le « chapeau blanc » du réseau Liquid était-il un vrai chapeau blanc ?
Discutable. L'attaquant a restitué 85 % des fonds, mais a conservé environ 47 millions de dollars et a menacé de les garder sans une prime de 10 % — ce que Charles Guillemet, directeur technique de Ledger, et d'autres ont qualifié de « plus proche de l'extorsion que du piratage chapeau blanc ».
Combien Blockstream a-t-il dépensé en sécurité ?
L'attaquant a révélé que Blockstream avait alloué environ 1,5 million de dollars pour sécuriser environ 5 milliards de dollars d'actifs sur Liquid — soit environ 0,03 %.
La faille de Liquid a-t-elle compromis Bitcoin lui-même ?
Non. La couche de base de Bitcoin n'a pas été touchée. Le bug se trouvait dans Elements, le logiciel qui alimente la sidechain Liquid, et dans l'infrastructure fédérée autour du peg. Aucune clé multisig n'a été compromise.
Quelle est la leçon la plus importante pour les utilisateurs de DeFi ?
La sécurité est désormais un risque de premier ordre qui peut être chiffré. Concentrer des fonds dans des ponts à vérificateur unique, des sidechains fédérées ou des protocoles non audités ajoute un risque de queue pour lequel vous n'êtes pas rémunéré — et les protocoles piratés récupèrent rarement leur liquidité.