Hacken a fait état de 763,9 millions de dollars extraits lors de 67 incidents de sécurité Web3 au deuxième trimestre 2026, marquant la période la plus grave pour la sécurité Web3 depuis le deuxième trimestre 2025. Plus de 88% des pertes totales proviennent de compromissions opérationnelles et de défaillances de gestion des clés plutôt que de failles du code des smart contracts, ce qui représente un changement fondamental de la surface d’attaque Web3. Le trimestre a vu 14 protocoles audités être compromis, les compromissions de clés et d’infrastructure représentant 674,5 millions de dollars, tandis que les bugs de smart contract—bien qu’ils concernent 44 des 67 incidents—n’ont causé que 11% des pertes. Les responsables de la sécurité attribuent ce basculement au fait que les acteurs de la menace contournent systématiquement le code on-chain renforcé pour exploiter les contrôles opérationnels off-chain, les dispositifs de signature et l’infrastructure cloud. Le capital institutionnel réajuste ses priorités de due diligence, s’éloignant des audits ponctuels au profit d’un suivi continu et de cadres d’autorisation multi-participants en réponse à cette crise de sécurité opérationnelle.
Les données d’incidents du deuxième trimestre 2026 révèlent 88% des pertes liées à des compromissions opérationnelles
D’après le rapport trimestriel de sécurité et de conformité de Hacken, les compromissions de clés et d’infrastructure représentaient 88,3% de l’ensemble des fonds volés, soit environ 674,5 millions de dollars. Les bugs de smart contract sont restés le type d’attaque le plus courant—44 incidents sur 67—mais n’ont représenté qu’environ 11% des pertes totales. Environ 75,5% de toutes les pertes provenaient de seulement deux incidents attribués à des acteurs de menace nord-coréens, tandis que seuls 9% des projets suivis assurent un monitoring continu et 4% combinent audits, bug bounties et live monitoring.
Une conclusion clé du deuxième trimestre 2026 est que 14 protocoles audités ont été compromis. Leo Fan, fondateur de Cysic, a déclaré : « La plus grosse idée fausse, c’est qu’un audit est un certificat de sécurité. En réalité, c’est une évaluation cadrée d’une base de code particulière à un instant précis. Un audit ne couvre pas automatiquement les dispositifs de signature, l’infrastructure cloud, les permissions opérationnelles, le bytecode déployé, les mises à jour ultérieures, les dépendances de tiers ni les anciens contrats qui restent appelables. »
Eric Swartz, founding general partner et general counsel de Panther Hollow Ventures, a déclaré : « Un audit vous montre à quoi ressemble un système à un moment donné. Il ne garantit pas que les futures mises à niveau, les changements opérationnels ou les nouvelles méthodes d’attaque n’introduiront pas de risque. Les équipes les plus solides voient les audits comme un élément d’un programme de sécurité bien plus vaste. »
Samuel Videau, CTO chez Genius, a noté que la section « scope » d’un rapport d’audit révèle souvent ce qui n’a pas été évalué : « Presque 90% des pertes du deuxième trimestre viennent des clés, des signers et de l’infrastructure, en dehors de cette section, et 14 projets audités se sont quand même fait drainer. La note de synthèse n’est pas le programme de sécurité. »
Les acteurs de menace contournent le code des smart contracts pour viser l’infrastructure off-chain
Alors que les défenses des smart contracts mûrissent et que la logique on-chain devient de plus en plus difficile à compromettre, les acteurs de la menace se sont tournés vers l’exploitation de l’infrastructure off-chain. Fan a déclaré : « La surface la plus sous-estimée, c’est le plan de contrôle off-chain : dispositifs de signature, procédures de génération et de rotation des clés, identités cloud, pipelines CI/CD, services backend, validateurs de bridge et chemins d’admin d’urgence. Les équipes sécurisent souvent le stockage des clés, mais accordent moins d’attention à la manière dont les clés sont réellement utilisées… une fois compromises, les attaquants peuvent produire des transactions techniquement valides on-chain, ce qui rend la prévention et la détection beaucoup plus difficiles. »
Jerald David, CEO de Lynq, a abordé les hypothèses de sécurité cloud : « La plus grosse hypothèse, c’est que l’utilisation d’un grand fournisseur de cloud rend une application sécurisée par défaut. Les fournisseurs cloud sécurisent l’infrastructure sous-jacente, mais les équipes restent responsables de la manière dont les systèmes sont configurés, de la gestion des identifiants et de la liste des personnes ayant accès. »
Videau a averti que des erreurs d’architecture peuvent annuler la protection multisig : « L’ensemble de l’opération repose sur des rôles de service sur-permissionnés et sur des pipelines CI/CD qui peuvent toucher des clés de production. Et si un seul compte de service peut lire votre clé de signature, votre multisig n’est plus qu’un théâtre. Les contrats dépréciés qui conservent des droits d’admin constituent aussi un vecteur : le code que vous avez expédié il y a deux ans est une porte laissée ouverte, et les attaquants ne se soucient pas de ce que vous considérez dans le périmètre. »
Les allocateurs institutionnels ajustent les exigences de sécurité au-delà des audits
Alors que les allocateurs institutionnels recalibrent leurs modèles de risque, le niveau requis pour déployer du capital a augmenté. David a déclaré : « Je regarde d’abord la maturité opérationnelle. Est-ce que l’équipe peut expliquer clairement comment le capital circule dans le système, où se trouvent les points clés de contrôle et comment les risques sont surveillés ? Les institutions ont besoin de prévisibilité et de transparence. »
Himanshu Sahay, CTO et cofondateur d’Arch, a noté : « Les institutions veulent comprendre comment les systèmes critiques sont accédés, comment les permissions sont gérées, comment l’activité est surveillée et quels processus existent si quelque chose tourne mal. C’est la combinaison de contrôles solides, de transparence et de discipline opérationnelle qui finit par instaurer la confiance. »
Fan se concentre sur la carte des privilèges lorsqu’il évalue les protocoles : « Si je devais identifier un contrôle le plus associé à la confiance institutionnelle, ce serait l’autorisation multi-participants sur chaque chemin de déplacement d’actifs et de mise à niveau. Les institutions veulent la preuve qu’une action unilatérale est impossible. »
Swartz a ajouté : « Les institutions savent qu’aucun protocole n’est totalement exempt de risque. Ce qui compte, c’est de savoir si l’équipe a une bonne gouvernance, des contrôles internes solides, une transparence sur les risques et un plan clair pour réagir lorsqu’un problème survient. »
Les cinq experts s’accordent sur le fait que Web3 doit adopter des piles de défense en couches, en intégrant un monitoring en temps réel, une gestion disciplinée des clés et des bug bounties réactives pour se protéger contre des menaces en évolution. David a noté : « Les actifs numériques fonctionnent 24h/24, mais certaines parties de l’infrastructure qui les soutiennent fonctionnent encore selon des calendriers financiers traditionnels. À mesure que le marché devient plus institutionnel, l’infrastructure qui soutient le mouvement et le règlement du capital doit aussi devenir plus résiliente. »
Des experts de la sécurité prédisent des attaques opérationnelles persistantes au deuxième semestre 2026
Les experts avertissent que le deuxième semestre 2026 verra des attaques opérationnelles qui se poursuivent. Fan a prédit : « Je m’attends à ce que les attaques d’accès et de contrôle opérationnels continuent de dominer les pertes : ingénierie sociale, vol d’identifiants, compromission du signer, intrusion depuis le cloud ou via CI/CD et attaques contre l’infrastructure off-chain des validateurs. Les bugs individuels de smart contract continueront d’exister, mais les attaquants continueront de viser le chemin le plus court vers l’autorité. »
Videau conclut : « Dépensez là où se trouvent les pertes. Près de 90% des fonds volés passent par des clés, des signers et de l’infrastructure, mais les budgets continuent d’affluer vers les audits de contrats. Les pires attaques seront celles que personne n’avait prévues, alors construisez en partant du principe que votre périmètre a déjà disparu. »
FAQ
Qu’est-ce qui a causé 763,9 millions de dollars de pertes de sécurité Web3 au deuxième trimestre 2026 ?
Hacken a rapporté que 88,3% des 763,9 millions de dollars volés sur 67 incidents proviennent de compromissions de clés et d’infrastructure plutôt que de vulnérabilités de smart contract. Environ 75,5% de toutes les pertes proviennent de seulement deux incidents attribués à des acteurs de menace nord-coréens, tandis que les bugs de smart contract—bien qu’ils représentent 44 incidents sur 67—n’ont causé que 11% des pertes totales.
Pourquoi 14 protocoles audités ont-ils été compromis au deuxième trimestre 2026 ?
Les experts en sécurité expliquent que les audits sont des évaluations cadrées du code à un moment précis et ne couvrent pas les dispositifs de signature, l’infrastructure cloud, les permissions opérationnelles ni les systèmes de contrôle off-chain. Samuel Videau a noté que près de 90% des pertes du deuxième trimestre provenaient des clés, des signers et de l’infrastructure—tous en dehors des sections de périmètre d’audit typiques.
Quels contrôles de sécurité les investisseurs institutionnels exigent-ils désormais des protocoles Web3 ?
Leo Fan a déclaré que les institutions veulent des preuves d’une autorisation multi-participants sur chaque chemin de déplacement d’actifs et de mise à niveau, rendant l’action unilatérale impossible. Himanshu Sahay a noté que les institutions exigent de comprendre comment les systèmes critiques sont accédés, comment les permissions sont gérées, comment l’activité est surveillée et quels processus existent si quelque chose tourne mal.
