Les pertes de sécurité Web3 atteignent 1,31 milliard de dollars au premier semestre 2026, le piratage du protocole Drift dépassant 285 millions de dollars

Le secteur Web3 a perdu plus de 1,31 milliard de dollars à cause de piratages, d’exploits et d’escroqueries en ligne au cours des six premiers mois de 2026, même si les pertes affichées semblaient inférieures à celles de l’année précédente. Derrière cette baisse, cependant, les données de sécurité révèlent une tendance plus inquiétante : les attaques deviennent plus ciblées, à haute valeur ajoutée et opérationnellement sophistiquées, plutôt que moins fréquentes.

Un total de 344 incidents de sécurité ont été enregistrés entre janvier et juin, soit un chiffre presque inchangé par rapport à la même période l’année dernière. Bien que les pertes totales aient diminué de 46,8 % d’une année sur l’autre, la comparaison est faussée par l’exploit record de Bybit de 1,45 milliard de dollars survenu début 2025. En excluant cet événement unique, les pertes du premier semestre 2026 étaient environ 28 % plus élevées que la base comparable de 2025, indiquant que le paysage des menaces sous-jacent s’est détérioré plutôt qu’amélioré.

Deux exploits majeurs ont représenté près de la moitié des pertes du T1

Près de la moitié de toutes les pertes provenaient de deux attaques survenues à quelques semaines d’intervalle en avril, tandis que d’autres incidents majeurs, dont l’exploit du protocole Humanity, ont davantage mis en évidence les failles de sécurité persistantes au sein de l’écosystème Web3.

• Exploit de Kelp DAO : Environ 291,3 millions de dollars perdus après que les attaquants ont exploité l’infrastructure RPC off-chain.
• Protocole Drift : Environ 285,3 millions de dollars volés via la compromission d’une clé administrative qui a permis la création frauduleuse de collatéral et le retrait d’actifs.
• Combinés, ces deux incidents ont représenté près de 44 % de toutes les pertes Web3 au T1 2026.

Sans ces événements, les pertes totales seraient restées inférieures à 750 millions de dollars, illustrant comment une poignée de violations majeures continue de dominer les dommages à l’échelle de l’industrie.

La sécurité des portefeuilles a dépassé les smart contracts comme principal risque financier

Le changement le plus important au cours du premier semestre de l’année a été le coût croissant des attaques liées aux portefeuilles.

Les compromissions de portefeuilles ont généré plus de 444 millions de dollars de pertes à travers seulement 33 incidents, ce qui en fait la catégorie d’attaque la plus coûteuse malgré le fait qu’elle ne représente qu’une petite fraction du nombre total de cas. À titre de comparaison, les vulnérabilités de code ont produit le plus grand nombre d’incidents, soit 204, mais ont entraîné des pertes agrégées nettement inférieures, autour de 151,6 millions de dollars.

Ces chiffres suggèrent que les attaquants se concentrent de plus en plus sur les identifiants privilégiés, l’infrastructure opérationnelle et la gestion des clés, au lieu de s’appuyer uniquement sur les failles des smart contracts.

Le phishing a également évolué durant cette période. Bien que les incidents de phishing aient diminué de plus de moitié par rapport à l’année précédente, les pertes financières n’ont baissé que modestement, car les attaquants se sont tournés vers des campagnes d’ingénierie sociale hautement ciblées visant des individus et des organisations à haute valeur, plutôt que vers des opérations de vidage massif de portefeuilles.

Ethereum est resté la cible principale

Ethereum a continué de connaître le plus grand nombre d’incidents de sécurité, tandis que Solana se classait deuxième en termes de valeur perdue, principalement en raison de l’exploit du protocole Drift, qui a constitué l’un des plus grands incidents de sécurité du T1 2026.

Les chiffres clés du T1 2026 incluent :

• Ethereum : 153 incidents, 522,8 millions de dollars perdus.
• Solana : 7 incidents, 315,1 millions de dollars perdus.
• BNB Chain : 107 incidents, 65,5 millions de dollars perdus.
• Écosystème Bitcoin : 6 incidents, 144,6 millions de dollars perdus.
• Environ 115 millions de dollars de fonds volés ont été gelés ou récupérés, réduisant les pertes ajustées à environ 1,2 milliard de dollars.

Les attaquants ont déplacé les actifs volés plus rapidement grâce à des outils de confidentialité et à l’infrastructure cross-chain, rendant la récupération de plus en plus difficile. Parallèlement, les anciens smart contracts qui n’avaient pas fait l’objet de revues de sécurité récentes sont devenus une cible récurrente, ce qui suggère que l’infrastructure DeFi héritée devient une source de risque croissante.

Plutôt que de signaler un écosystème plus sûr, le premier semestre 2026 indique une industrie confrontée à un modèle de menace changeant, où moins d’attaques sont responsables de pertes de plus en plus importantes, et où la sécurité opérationnelle devient aussi critique que la sécurité des smart contracts.