Une perte de 763,9 millions de dollars : pourquoi les audits de contrats intelligents n'ont pas pu empêcher le pire trimestre du Web3

Analyse de la sécurité au deuxième trimestre 2026

Le deuxième trimestre 2026 a été la période la plus critique pour la sécurité du Web3 depuis le deuxième trimestre 2025, les acteurs malveillants ayant dérobé 763,9 millions de dollars lors de 67 incidents de sécurité. Le changement marquant de ce trimestre a été une évolution fondamentale des profils de vulnérabilité : le code n’est plus la principale surface d’attaque ; ce sont désormais les contrôles opérationnels et la gestion des clés.

Plus de 88 % des pertes totales provenaient de failles opérationnelles plutôt que de défauts dans la logique des contrats intelligents. Les investisseurs institutionnels s’adaptent déjà, réorientant leurs priorités en matière de diligence raisonnable : ils délaissent les audits ponctuels au profit d’une surveillance continue, d’une gouvernance des accès privilégiés et de cadres d’autorisation multipartites.

Selon le rapport trimestriel de Hacken sur la sécurité et la conformité, les compromissions de clés et d’infrastructures ont représenté 88,3 % de l’ensemble des fonds volés, soit environ 674,5 millions de dollars. Les bogues dans les contrats intelligents sont restés le type d’attaque le plus courant — 44 incidents sur 67 — mais n’ont représenté qu’environ 11 % du total des pertes. Environ 75,5 % de l’ensemble des pertes provenaient de seulement deux incidents attribués à des acteurs malveillants nord-coréens, tandis que seuls 9 % des projets suivis assurent une surveillance continue et 4 % combinent audits, programmes de prime aux bogues et surveillance en temps réel.

L’une des principales conclusions du deuxième trimestre est que 14 protocoles audités ont été piratés — un indicateur frappant du fossé grandissant entre ce qu’un audit de contrat intelligent évalue réellement et les points de rupture réels ciblés par les acteurs malveillants. Pour les experts en sécurité, ces violations mettent à nu la faille fatale qui consiste à considérer une revue de code ponctuelle comme un bouclier de sécurité exhaustif.

« La plus grande idée fausse est de croire qu’un audit équivaut à un certificat de sécurité », a déclaré Leo Fan, fondateur de Cysic. « Il s’agit en réalité d’une évaluation ciblée d’une base de code particulière à un moment donné. Un audit ne couvre pas automatiquement les appareils des signataires, l’infrastructure cloud, les autorisations opérationnelles, le bytecode déployé, les mises à jour ultérieures, les dépendances tierces ou les anciens contrats qui restent exécutables. » Eric Swartz, associé fondateur et directeur juridique de Panther Hollow Ventures, a renchéri en soulignant que considérer les audits comme une ligne d’arrivée laisse les protocoles exposés. « Un audit vous indique l’état d’un système à un moment donné », a déclaré M. Swartz. « Il ne garantit pas que les mises à jour futures, les changements opérationnels ou les nouvelles méthodes d’attaque n’introduiront pas de risques. Les équipes les plus performantes considèrent les audits comme un élément d’un programme de sécurité beaucoup plus large. »

Samuel Videau, directeur technique chez Genius, a fait remarquer que la section « périmètre » d’un rapport d’audit révèle souvent ce qui n’a pas été évalué. « Près de 90 % des pertes du deuxième trimestre provenaient des clés, des signataires et de l’infrastructure, tous des éléments ne figurant pas dans cette section, et 14 projets audités ont tout de même été vidés de leurs fonds », a déclaré M. Videau. « Le rapport d’audit n’est pas le programme de sécurité. » Himanshu Sahay, directeur technique et cofondateur d’Arch, a souligné que les audits ne peuvent pas être considérés isolément. « Un audit est une évaluation ponctuelle importante du code et de l’architecture examinés, mais il ne peut pas prendre en compte tous les risques opérationnels ni toutes les modifications futures d’un système », a déclaré M. Sahay. « La sécurité doit être considérée comme un processus continu. »

Contourner le code : le talon d’Achille de l’infrastructure hors chaîne

Dans le même temps, à mesure que les défenses des contrats intelligents gagnent en maturité et que la logique on-chain devient de plus en plus difficile à compromettre, les acteurs malveillants ont radicalement changé de stratégie. Plutôt que de forcer des portes d’entrée fortement protégées, les attaquants contournent systématiquement le code dans son intégralité pour exploiter le talon d’Achille de l’infrastructure hors chaîne.

« La surface d’attaque la plus sous-estimée est le plan de contrôle hors chaîne : les appareils de signature, les procédures de génération et de rotation des clés, les identités cloud, les pipelines CI/CD, les services backend, les validateurs de ponts et les chemins d’administration d’urgence », a déclaré Fan. « Les équipes sécurisent souvent le stockage des clés, mais accordent moins d’attention à la manière dont celles-ci sont réellement utilisées… Une fois ces clés compromises, les attaquants peuvent générer des transactions techniquement valides sur la chaîne, ce qui rend la prévention et la détection beaucoup plus difficiles. » Le périmètre du cloud lui-même procure un faux sentiment de sécurité à de nombreux développeurs Web3.

« L’hypothèse la plus répandue est que le fait d’utiliser un grand fournisseur de cloud rend une application sécurisée par défaut », a déclaré Jerald David, PDG de Lynq. « Les fournisseurs de cloud sécurisent l’infrastructure sous-jacente, mais les équipes restent responsables de la configuration des systèmes, de la gestion des identifiants et des droits d’accès. »

M. Videau, quant à lui, a averti qu’une architecture inadaptée pouvait réduire à néant la protection multisignature. « L’ensemble de l’opération repose sur des rôles de service dotés de droits excessifs et des pipelines CI/CD pouvant accéder aux clés de production ; si un seul compte de service est en mesure de lire votre clé de signature, votre multisignature n’est qu’une façade », a déclaré M. Videau. « Les contrats obsolètes qui conservent encore des droits d’administrateur constituent un autre vecteur d’attaque : le code que vous avez déployé il y a deux ans est une porte ouverte, et les attaquants se moquent bien de ce que vous considérez comme relevant de votre périmètre. »

Alors que les investisseurs institutionnels réajustent leurs modèles de risque, le seuil d’exigence pour le déploiement de capitaux s’est considérablement relevé. La notion d’« aptitude à accueillir des investisseurs institutionnels » ne se définit plus par un rapport d’audit irréprochable, mais par la preuve d’une maturité opérationnelle, d’une gouvernance de niveau entreprise et de contrôles résilients en matière de gestion des clés.

« Je m’intéresse d’abord à la maturité opérationnelle », a déclaré David. « L’équipe est-elle capable d’expliquer clairement comment les capitaux circulent dans le système, où se situent les points de contrôle clés et comment les risques sont surveillés ? Les institutions ont besoin de prévisibilité et de transparence. »

M. Sahay a souligné qu’aucun contrôle ne garantit à lui seul le soutien des investisseurs institutionnels. « Les investisseurs institutionnels veulent comprendre comment on accède aux systèmes critiques, comment les autorisations sont gérées, comment l’activité est surveillée et quels processus sont en place en cas de problème », a déclaré M. Sahay. « C’est la combinaison de contrôles rigoureux, de transparence et de discipline opérationnelle qui, en fin de compte, instaure la confiance. »

Lorsqu’il évalue les protocoles, M. Fan se concentre sur la cartographie des privilèges : qui peut transférer des actifs, remplacer des signataires ou modifier les mesures de sécurité. « Si je devais identifier un contrôle particulièrement associé à la confiance des institutions, ce serait l’autorisation multipartite à chaque étape de transfert d’actifs et de mise à niveau », a déclaré M. Fan. « Les institutions veulent la preuve qu’une action unilatérale est impossible. »

M. Swartz a ajouté que les institutions accordent la priorité à la manière dont les équipes gèrent l’adversité. « Les institutions savent qu’aucun protocole n’est totalement exempt de risques », a déclaré M. Swartz. « Ce qui importe, c’est de savoir si l’équipe dispose d’une bonne gouvernance, de contrôles internes rigoureux, d’une transparence sur les risques et d’un plan clair pour réagir en cas de problème. »

Les cinq experts s’accordent à dire que le Web3 doit adopter des systèmes de défense en plusieurs couches intégrant une surveillance en temps réel, une gestion rigoureuse des clés et des programmes de prime aux bogues réactifs afin de se protéger contre des menaces en constante évolution.

« Les actifs numériques fonctionnent 24 heures sur 24, mais certaines parties de l’infrastructure qui les soutient fonctionnent encore selon des horaires financiers traditionnels », a noté David. « À mesure que le marché se professionnalise, l’infrastructure qui soutient les mouvements et le règlement des capitaux doit également devenir plus résiliente. »

Perspectives pour le second semestre 2026 : réorienter les systèmes de défense

Les experts, quant à eux, préviennent que le second semestre 2026 s’annonce similaire. Plutôt que de gaspiller du temps à tenter de procéder à une ingénierie inverse de contrats intelligents audités, les acteurs malveillants devraient continuer à s’attaquer à la voie de la moindre résistance : les contrôles opérationnels, les cibles humaines et les infrastructures clés.

« Je m’attends à ce que les attaques visant le contrôle d’accès opérationnel continuent de dominer les pertes : ingénierie sociale, vol d’identifiants, compromission des signataires, intrusion dans le cloud ou les environnements CI/CD, et attaques contre l’infrastructure des validateurs hors chaîne », a prédit Fan. « Les failles individuelles des contrats intelligents persisteront, mais les attaquants continueront de cibler la voie la plus courte vers l’autorité. »

M. Videau a conclu en appelant à rééquilibrer les dépenses de sécurité en fonction des risques réels : « Investissez là où se situent les pertes. Près de 90 % des fonds volés ont transité par des clés, des signataires et des infrastructures, mais les budgets continuent d’être consacrés aux audits de contrats. Les pires attaques seront celles que personne n’aura prévues ; par conséquent, construisez votre système comme si votre périmètre de sécurité avait déjà disparu. »