L'IA relit l'ancien code des cryptomonnaies et découvre ce qui avait échappé aux humains

Les choses évoluent assurément à un rythme effréné. Une transmission cryptée de l’armée allemande datant de juillet 1941 a résisté pendant 85 ans avant qu’un effort assisté par l’IA ne parvienne enfin à la déchiffrer ce mois-ci. Le message était d’une banalité presque comique : il s’agissait essentiellement de quelqu’un à Rosenow demandant dans quelle direction marcher, mais des agents IA ont aidé à fouiller les archives, à écrire du code, à simuler Enigma et à tester différentes possibilités jusqu’à ce que ce vieux problème finisse par céder. Le monde de la cryptomonnaie a passé l’année 2026 à découvrir ce qui se passe lorsque cette capacité à réexaminer les choses est appliquée à des logiciels contenant de l’argent réel.

L’IA part à la chasse aux anciens codes

Zcash a fourni l’un des exemples les plus parlants en mai. Le chercheur Taylor Hornby, travaillant pour Shielded Labs, a utilisé Claude Opus 4.8 dans un agent d’audit personnalisé et a mis au jour une faille dans le circuit « shielded-pool » d’Orchard datant de 2022. Lors des tests, cette vulnérabilité permettait de créer une quantité illimitée de ZEC contrefaits sans être détectée. Aucun vol n’a été constaté, et les développeurs ont corrigé la faille en quelques jours, mais un bug potentiellement catastrophique avait survécu pendant environ quatre ans avant d’être détecté par une analyse assistée par IA. Par la suite, l’équipe de Zcash a déclaré avoir utilisé Mythos pour analyser et auditer le code, sans trouver de nouveaux bugs.

L’affaire Coldcard s’est avérée bien plus compliquée. À partir du 30 juillet, des pirates ont dérobé des bitcoins dans des portefeuilles affectés par une faille de micrologiciel remontant à 2021, qui rendait certaines graines de récupération bien moins aléatoires que prévu. Selon des estimations ultérieures, le montant total s’élevait à environ 1 600 à plus de 1 800 BTC, soit plus de 100 millions de dollars, répartis sur des milliers d’adresses. Coinkite, le fabricant de Coldcard, a déclaré qu’il devait supposer que quelqu’un avait utilisé l’IA pour analyser son micrologiciel public, tandis que de nombreux observateurs se sont dits convaincus que des modèles sans restriction étaient impliqués. L’attribution de la responsabilité n’est pas encore établie, mais la vulnérabilité elle-même existait depuis cinq ans.

Parfois, la machine se fait piéger

Bankr a également renversé la situation, car l’IA est devenue partie intégrante de la surface d’attaque. Le 4 mai, un attaquant a publié un texte en code Morse que Grok a décodé en une instruction acceptée par Bankr, déclenchant le transfert d’environ 3 milliards de DRB, d’une valeur comprise entre 150 000 et 200 000 dollars. Environ deux semaines plus tard, le même problème général lié à la couche de confiance a touché 14 portefeuilles d’utilisateurs, avec des pertes signalées allant d’environ 150 000 à 440 000 dollars. L’attaquant n’a pas contourné la cryptographie. Les machines se faisaient trop confiance.

L’IA semble également faciliter l’analyse de codes de contrats intelligents complexes. Chainalysis a établi un lien entre environ 36,7 millions de dollars de vols et des attaques visant des protocoles dotés de contrats non vérifiés, dans lesquels les attaquants devaient d’abord décompiler le bytecode déployé. Ekubo et Trusted Volumes ont représenté environ 7 millions de dollars de ce groupe au cours de cette période de six mois, bien que le lien établi par l’IA de Chainalysis soit une hypothèse méthodologique plutôt qu’une preuve qu’un modèle nommé ait créé chaque exploit. Il y a ensuite eu les faux bots d’arbitrage « créés par Claude ». Neuf tutoriels YouTube similaires incitaient les spectateurs à copier du code dans un faux compilateur de type Remix qui y substituait secrètement un programme de détournement de fonds. TRM a dénombré 224 victimes, 234 contrats et environ 517 000 dollars de pertes. Dans ce cas précis, l’IA n’était pas du tout l’arme. C’était l’appât.

Le chiffre de 440 % change la donne

Cela ne signifie pas pour autant que tous les piratages cryptos de grande envergure de 2026 aient été orchestrés par l’IA. Certaines failles n’ont aucun lien avéré avec l’IA, bien que beaucoup soupçonnent son implication, tout comme dans de nombreuses autres attaques DeFi cette année. C’est une distinction importante. Un certain nombre d’incidents survenus en 2026 ont démontré l’implication de l’IA, d’autres font l’objet de soupçons crédibles, et bon nombre d’entre eux restent encore imputables à de bons vieux bugs, à des clés, à des autorisations et à des systèmes défaillants.

Les données de Chainalysis sur les « dead drops » de la blockchain suggèrent toutefois que la donne économique globale est en train de changer. Les écritures malveillantes sur la chaîne de blocs, contenant des instructions de logiciels malveillants et des informations de commande et de contrôle, sont passées d’environ 2,06 par jour à 11,1, soit une augmentation de 440 %. De puissants modèles d’IA à poids ouvert peuvent réduire le niveau d’expertise nécessaire pour mettre en place cette infrastructure, tandis que des acteurs liés à des États, notamment la Corée du Nord et l’Iran, représentaient environ les deux tiers des activités nouvellement observées chaque trimestre au deuxième trimestre 2026. La leçon à tirer d’Enigma n’est pas que l’IA puisse soudainement déchiffrer la cryptographie de Bitcoin. C’est que les machines permettent de réduire le coût des vérifications. Zcash a repéré une ancienne erreur avant qu’un attaquant ne le fasse, tandis que le fiasco de Coldcard montre à quoi peut ressembler le contraire. La cryptomonnaie recèle des années de code public qui attendent d’être relues, et personne ne sait combien de « Rosenow » s’y cachent encore.