Audits crypto après 1,18 milliard de dollars de pertes : « The problem is always scope »

Un label d'audit sur le site d'une plateforme ou d'un protocole se lit comme une garantie. Le prestataire de sécurité Hacken vient de chiffrer le peu qu'il couvre en cas de doute : au troisième trimestre 2026, les attaques sur le marché crypto ont coûté 1,18 milliard de dollars en 107 incidents, et 906,8 millions de dollars de ce total portaient sur des composants qui n'étaient même pas sur la table lors du dernier audit de sécurité. Soit 77 % des pertes du trimestre. Le cofondateur Andrii Matiukhin l'a résumé ainsi auprès de CoinDesk : « The problem is always scope », le problème, c'est toujours le périmètre d'audit.

Pour un investisseur, cela ne signifie pas que les audits seraient sans valeur. Cela signifie qu'un label répond à une autre question que celle que vous posez. Vous voulez savoir si votre solde est en sécurité. Ce qui a été vérifié, le plus souvent, c'est seulement si un contrat intelligent donné était propre à un moment donné. Cet article montre où se situe la faille en chiffres, quels cas l'ont ouverte cet été et comment distinguer un rapport d'audit parlant d'un rapport décoratif.

1,18 milliard de dollars en 107 incidents : ce que Hacken compte pour le troisième trimestre

Le chiffre figure dans le rapport trimestriel du cabinet d'audit Hacken, dont CoinDesk a rendu compte le 18 octobre 2026. 1,18 milliard de dollars de dommages, répartis sur 107 incidents distincts, soit 55 % de plus qu'au deuxième trimestre. La hausse ne vient pas d'un nombre accru de petites attaques, mais de quelques très grosses.

Un audit désigne ici un contrôle de sécurité du code informatique par une entreprise externe. Les auditeurs lisent le code source, cherchent des erreurs de logique, testent les cas limites et rédigent un rapport listant les constats par degré de gravité. Ce que contient ce rapport dépend entièrement de ce que le commanditaire a fait vérifier. C'est précisément là que porte la critique.

77 % des pertes se situaient hors du dernier audit

Hacken rattache les 906,8 millions de dollars à trois causes : des fournisseurs et des outils de développement compromis, des correctifs de sécurité déjà publiés que personne n'avait installés, et des composants qui n'étaient tout simplement pas dans le périmètre du dernier passage de sécurité.

Aucune de ces trois voies ne passe par le contrat audité. Un attaquant qui prend le contrôle du compte d'un développeur chez un fournisseur d'outils n'a pas besoin de casser le contrat intelligent. Il obtient l'accès par le chemin que l'audit n'a jamais regardé. Matiukhin a également donné à CoinDesk la raison pour laquelle les périmètres restent étroits : « It’s expensive to have enormous scopes of all components that interact with funds ». Des contrôles complets de tous les composants qui touchent à l'argent coûtent cher, et c'est l'entreprise auditée elle-même qui paie.

Chaîne d'approvisionnement et outils de développement : la voie d'attaque derrière 906,8 millions de dollars

Le plus gros cas isolé du trimestre montre le schéma. Selon le rapport de Hacken, les utilisateurs de la plateforme Bitget ont perdu au moins 352 millions de dollars après que des attaquants ont exploité une faille dans un produit de sécurité d'un tiers et obtenu par là l'accès à l'infrastructure de retrait. Le produit attaqué était justement un composant de sécurité.

Pour Liquid Network, le rapport chiffre le dommage à 319 millions de dollars, pour Tectonic à 75 millions au minimum. Environ 114 millions de dollars portaient sur le logiciel de portefeuille de Coldcard. En juillet, trois ponts et protocoles interblockchains ont perdu ensemble plus de 35 millions de dollars lors d'une attaque de six heures ; 24 millions concernaient AFX Trade, après que des attaquants ont pris le contrôle de ses clés de validateur.

La semaine même de la parution du rapport, un autre cas est devenu public : environ 93 millions de dollars de dommages dus à un implant matériel non autorisé, en lien avec Ledger et CryptoBilis. CoinDesk traite ce cas séparément du total trimestriel, car il n'a été connu qu'après la date d'arrêté.

Ce que couvre un audit de contrat intelligent et ce qui reste dehors

Un audit type examine le contrat intelligent, c'est-à-dire le programme sur la blockchain qui pilote les dépôts, les échanges ou les retraits. Ce qui est vérifié, c'est un état précis du code source, fixé par un identifiant de commit.

N'y figurent régulièrement pas l'interface dans le navigateur, les serveurs en arrière-plan, la solution de conservation avec ses clés, les procédés de signature, les oracles de prix, les ponts vers d'autres blockchains ainsi que tout logiciel tiers acheté. Hacken recommande expressément dans son rapport d'étendre le périmètre aux oracles, aux ponts, aux systèmes de conservation et aux autorisations de signature. Que cette recommandation soit nécessaire dit déjà à quoi ressemble le cas normal.

S'y ajoute le facteur temps. Un audit décrit un état à une date donnée. Toute modification ultérieure du code se situe en dehors. Un label sans date est donc à peine évaluable.

Quatre clés, trois signatures : Hacken a examiné douze plateformes de dérivés

Pour son rapport, Hacken s'est penché sur douze plateformes de dérivés et marchés de prédiction. Le constat porte sur la structure de la conservation : chez deux grandes places, selon les chiffres du rapport, plus de 700 millions de dollars de valeurs sécurisées dépendaient soit d'un montage à quatre clés dont trois doivent signer, soit de clés d'administration dont les détenteurs ne sont pas connus publiquement.

Matiukhin a été explicite sur un point : « We are not aware of a live bug in the systems of any reviewed venue », aucune faille active n'a été constatée dans les systèmes des places examinées. Le constat porte sur la concentration du contrôle, pas sur une erreur précise. Qui laisse son solde sur une plateforme s'en remet au fait qu'un petit groupe de détenteurs de clés, en partie inconnus, agisse correctement et ne soit pas lui-même attaqué.

Severity downgrade : quand une faille critique est classée comme faible

Un rapport d'audit est une recommandation, pas une injonction. Matiukhin décrit à CoinDesk ce qui se passe en pratique : « Sometimes a critical vulnerability is classified as low by the team, and fix implementation is delayed or even declined ». Une faille signalée comme critique est déclassée par l'équipe, le correctif reporté ou refusé.

L'opération s'appelle dans le jargon un severity downgrade, soit le déclassement d'un degré de gravité. Elle explique pourquoi, dans la ventilation de Hacken, des correctifs déjà publiés et disponibles comptent parmi les trois causes principales. La faille était connue, l'auditeur l'avait nommée, elle n'a pas été installée.

Ce qui distingue un rapport d'audit parlant d'un rapport décoratif

Un rapport d'audit qui vaut quelque chose nomme quatre choses. D'abord une date et un identifiant de version du code examiné. Ensuite un périmètre écrit noir sur blanc, qui énumère les composants inclus et ceux qui ne le sont pas. Puis les constats par degré de gravité, y compris les points que le commanditaire n'a pas corrigés. Enfin un contrôle de suivi confirmant que les points critiques ont effectivement été refermés.

Qu'il en manque un et il ne reste qu'un logo. « Audité par » et « sûr » ne sont pas la même chose, et dans la comptabilité de Hacken il y a près d'un milliard de dollars entre les deux. Vérifiez en outre si la date du rapport correspond encore à la version actuelle : un rapport d'il y a deux ans décrit un logiciel qui n'existe plus sous cette forme.

Conservation en Allemagne : solde sur plateforme contre clés propres

La conséquence pratique du rapport concerne l'endroit où se trouvent vos cryptos. Un solde sur une plateforme est une créance sur cette entreprise ; les clés, c'est la place de marché qui les détient. Si son infrastructure tombe ou subit une attaque, la restitution dépend de la solvabilité et de la gestion de crise du prestataire. C'est précisément cette infrastructure qui se situait hors du périmètre d'audit dans les cas du trimestre.

La variante inverse est la conservation par vous-même. Avec un portefeuille matériel, c'est-à-dire un appareil qui stocke vos clés privées hors ligne et signe lui-même les transactions, la clé ne quitte pas l'appareil. Quels modèles conviennent à quel patrimoine et en quoi ils diffèrent à l'usage et à la restauration, notre comparatif des portefeuilles matériels le détaille. Le cas Ledger de la même semaine montre toutefois que cette voie demande elle aussi du soin : un appareil ne devrait être acheté que directement auprès du fabricant ou d'un revendeur désigné par lui, jamais d'occasion et jamais via un vendeur tiers sur une place de marché.

Pour les montants que vous déplacez en continu, une plateforme reste pratique. La question se déplace alors sur le choix de la place. Un agrément au titre du règlement européen MiCA signifie une surveillance des fonds propres, une séparation des avoirs des clients et des voies de réclamation ; quels prestataires l'ont en Allemagne, l'aperçu des plateformes crypto réglementées le montre. Un agrément ne remplace pas un audit de sécurité, mais il vous donne une adresse en cas de litige.

Trois vérifications peu coûteuses en temps avant le prochain achat

L'effort reste limité. Cherchez le rapport d'audit sur le site de votre prestataire et regardez s'il porte une date et un périmètre. Comparez cette date avec la dernière mise à jour majeure de la plateforme. Et regardez si le prestataire expose la manière dont la conservation est organisée, combien de clés existent et qui les détient.

Si vous ne trouvez rien sur l'un de ces trois points, c'est déjà un renseignement. Cela ne veut pas dire que le prestataire travaille sans sécurité. Cela veut dire que vous ne pouvez pas le vérifier et qu'il vous faut calibrer en conséquence le solde que vous laissez là. Pour le bitcoin et d'autres avoirs que vous gardez des mois, peu d'arguments plaident pour les laisser sur une place de marché.

Ce qui donnera la direction au quatrième trimestre

Que le chiffre baisse au quatrième trimestre dépend de deux évolutions. La première est le périmètre : tant que les audits couvrent le contrat et laissent la conservation de côté, la voie par laquelle sont passés 77 % des pertes reste ouverte. La seconde est le traitement des failles connues. Une partie des dommages est née à des endroits pour lesquels un correctif existait déjà.

Les deux s'observent de l'extérieur. Qu'un prestataire publie un périmètre élargi est un signal solide. Si l'on en reste au vieux rapport avec sa vieille date, la situation ne change pas, quelle que soit l'allure du label.

Audits crypto : un label sans date ni périmètre ne vous dit rien

Trois étapes pour appliquer l'enseignement du rapport de Hacken à votre propre portefeuille :

1. Répartir les avoirs. Déterminez le montant dont vous avez besoin sur une plateforme pour vos opérations courantes et placez le reste en conservation propre. Les appareils et leurs différences figurent dans le comparatif des portefeuilles matériels.
2. Examiner la place de marché. Pour la part qui reste en place, consultez l'agrément et la date d'audit de votre prestataire. L'aperçu des plateformes crypto réglementées montre qui est sous surveillance MiCA en Allemagne.
3. Sécuriser le circuit d'achat. N'achetez un appareil de conservation qu'auprès du fabricant ou d'un revendeur désigné, et configurez-le vous-même. Pour l'arbitrage entre appareil et application, le comparatif des portefeuilles logiciels aide.

(Au 18 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)