Community Trust ScoreVérifié
Des pirates ont dérobé 1,18 milliard de dollars lors de 107 incidents au troisième trimestre. C’est une hausse de 55 % par rapport au trimestre précédent, et l’essentiel de cette somme — 906,8 millions de dollars — provient de secteurs de l’infrastructure crypto que les audits ne couvrent généralement pas.
Pourquoi c'est important
Ce signal est important car il montre que le risque ne se limite plus aux seules failles visibles dans les protocoles les plus exposés, mais s’étend à des maillons techniques dont la surveillance est souvent moins systématique. Pour le marché, cela signifie que la confiance accordée aux dispositifs d’audit, à elle seule, ne suffit pas à mesurer le niveau réel de vulnérabilité de l’écosystème crypto ni à contenir l’impact potentiel de nouveaux incidents.
Hacken, la société de sécurité blockchain à l’origine du rapport, affirme que ce chiffre est plus que simplement élevé. Il révèle un sérieux angle mort dans la culture de l’audit du secteur. Les plateformes sont examinées, obtiennent un label, et les clients supposent que l’ensemble de leurs activités a été vérifié. Or, les audits portent généralement sur certains contrats intelligents. Les portefeuilles, les systèmes de signature, les clés administratives et les logiciels tiers n’entrent souvent pas dans le périmètre. Et c’est précisément là que les attaquants continuent de s’introduire. Les 906,8 millions de dollars recensés par Hacken sont directement liés à ces lacunes : des fournisseurs ou des outils de développement compromis, des correctifs de sécurité disponibles mais non installés, et des composants qui n’étaient tout simplement pas inclus dans le dernier examen.
Le problème du périmètre n’est pas nouveau. Il ne cesse simplement de coûter plus cher.
« Le problème, c’est toujours le périmètre », a déclaré Andrii Matiukhin, cofondateur et administrateur de Hacken. Il a expliqué que les examens exhaustifs, couvrant chaque composant lié aux fonds ou à l’économie d’un projet, peuvent coûter cher. Les équipes ont donc tendance à limiter les audits aux éléments qu’elles considèrent comme essentiels au service. Cette logique se comprend. Mais elle laisse de véritables sommes d’argent exposées.
Bitget et un revendeur de Ledger parmi les principales victimes
Le plus grand incident recensé par Hacken est l’attaque de septembre contre la plateforme d’échange crypto Bitget. Des pirates ont exploité une vulnérabilité dans un produit de sécurité tiers et pénétré dans l’infrastructure de retrait. Bitget a perdu au moins 352 millions de dollars. Aucun défaut de contrat intelligent. Les dégâts ont été causés par les systèmes qui entourent les contrats — les outils et l’infrastructure externes que les audits examinent rarement.
Un autre cas a mis en évidence les risques liés aux fournisseurs. Ledger a indiqué avoir découvert un implant matériel « espion » non autorisé dans un appareil vendu par CryptoBilis, un revendeur d’Asie du Sud-Est. Les pertes liées à cet incident se sont élevées à environ 93 millions de dollars. L’implant ne se trouvait pas dans le matériel de Ledger. Il était dans la chaîne d’approvisionnement — ce qui illustre parfaitement un problème de périmètre.
Les ponts et les protocoles inter-chaînes ont également été touchés. Trois d’entre eux ont perdu plus de 35 millions de dollars lors d’une attaque ayant duré six heures en juillet. AFX Trade a perdu 24 millions de dollars après que des attaquants ont pris le contrôle de ses clés de validation. Liquid Network a enregistré 319 millions de dollars de pertes. Tectonic a perdu au moins 75 millions de dollars. Le logiciel du portefeuille Coldcard a subi environ 114 millions de dollars de pertes. Des systèmes différents, des surfaces d’attaque distinctes — mais un point commun : les contrôles d’accès et l’infrastructure de soutien, plutôt que le code des contrats proprement dit, examiné par les auditeurs.
700 millions de dollars reposent sur des configurations de clés discutables
Hacken a également examiné 12 plateformes d’échange de produits dérivés et marchés de prédiction. Ce qu’elle a trouvé chez deux d’entre elles n’était pas une attaque en cours, mais un problème de conception. Plus de 700 millions de dollars d’actifs clients sur ces deux plateformes reposaient soit sur un dispositif à quatre clés nécessitant trois signatures, soit sur des clés administratives détenues par des personnes dont l’identité n’avait pas été rendue publique.
Matiukhin a pris soin de distinguer les deux situations. « Nous n’avons connaissance d’aucune faille active dans les systèmes des plateformes examinées », a-t-il déclaré. Le problème n’était pas que quelqu’un s’y était déjà introduit. C’était que les dispositifs de clés n’étaient pas suffisamment sûrs compte tenu du volume d’actifs concernés. La différence est importante — sans que cela soit forcément rassurant.
Hacken n’a pas nommé les deux plateformes. Matiukhin a déclaré ne pas leur avoir transmis d’évaluation détaillée avant la publication du rapport.
Correctifs non installés et problème persistant de suivi
Outre les lacunes du périmètre, Hacken a signalé les retards dans l’application des correctifs comme une catégorie de risque distincte. Savoir qu’une vulnérabilité existe est une chose. La corriger en est une autre — surtout lorsque plusieurs blockchains utilisent le même logiciel, mais ne le mettent pas à jour au même rythme. Certaines reçoivent rapidement le correctif. D’autres restent exposées plusieurs semaines ou mois de plus.
Matiukhin a indiqué que les équipes classent parfois une vulnérabilité critique comme peu prioritaire et retardent son traitement, voire ne la corrigent pas du tout. Un audit réalisé il y a un an ne peut pas tenir compte des découvertes faites depuis. Hacken estime que le suivi continu des vulnérabilités et l’application rapide des correctifs ne sont pas des options facultatives : ce sont des obligations fondamentales pour toute entreprise détenant les fonds de ses clients.
Pour les investisseurs, le label d’audit en dit probablement moins qu’il n’y paraît. Il peut ne couvrir que trois contrats intelligents, et rien d’autre. Les portefeuilles, l’infrastructure de signature, les clés d’administration et les logiciels des fournisseurs peuvent tous rester en dehors de l’examen et du label.
Matiukhin a refusé de nommer les deux plateformes détenant plus de 700 millions de dollars selon les dispositifs signalés par Hacken.
Questions Fréquentes
Combien les pirates ont-ils dérobé au T3, selon le rapport de Hacken ?
Hacken a recensé 1,18 milliard de dollars de pertes lors de 107 incidents, soit une hausse de 55 % par rapport au trimestre précédent.
À quoi correspond précisément le chiffre de 906,8 millions de dollars ?
Hacken attribue 906,8 millions de dollars à des pertes liées à des fournisseurs ou à des outils de développement compromis, à des correctifs de sécurité non installés ou à des composants exclus du périmètre du dernier examen de sécurité.
Quel incident a entraîné la plus grosse perte au T3 ?
L’attaque de septembre contre Bitget a été la plus importante : la plateforme a perdu au moins 352 millions de dollars après que des pirates ont exploité une vulnérabilité dans un produit de sécurité tiers pour accéder à son infrastructure de retrait.
