« Une petite fuite peut couler un grand navire », prévenait Benjamin Franklin. Le secteur crypto le vérifie encore cet automne : des Ledger trafiqués chez un seul revendeur ont suffi à faire disparaître près de 90 millions de dollars.
Octobre, déjà 116 millions. Les pirates ont soutiré 2,81 milliards de dollars au secteur crypto depuis janvier, d’après le tableau de bord de CertiK mis à jour au 12 octobre.
Le mois en cours pèse déjà 116,1 millions de dollars, après 1,26 milliard de dollars volés au troisième trimestre. Et sans le seul piratage de Bybit, l’année 2025 entière est déjà dépassée.
Septembre 2026 : le pire mois de l’année pour les hacks
Septembre a coûté 773,4 millions de dollars sur 105 incidents, selon le décompte actualisé de CertiK. PeckShield arrive à 766,5 millions sur 55 incidents majeurs. C’est le pire mois de 2026, devant avril. Le piratage de Bitget pèse 388 millions de dollars et celui de Liquid Network 320 millions. Plus de 270 millions ont depuis été restitués par les pirates de Liquid Network, ce qui explique l’essentiel des 284,8 millions gelés ou rendus sur le mois.
Safe Wallet (7,8 millions), DCENT (6 millions) et Duelbits (5,9 millions) complètent la liste. Côté méthode, le constat est sans appel. Les failles de code et d’infrastructure expliquent 95 % des pertes du mois (733,8 millions de dollars), contre 6,2 millions seulement pour le phishing, d’après le rapport mensuel de CertiK.
Cinq piratages concentrent 59 % des pertes de 2026
Les cinq plus gros incidents de l’année pèsent environ 1,57 milliard de dollars, soit près de 59 % des pertes à fin septembre, d’après les données de CertiK compilées par CryptoSlate. Le cinquième, une victime non identifiée, a perdu 284,8 millions de dollars.
Tout n’est pas perdu. 452,4 millions de dollars ont été gelés ou restitués depuis janvier, ce qui ramène la perte nette à 2,35 milliards de dollars. Reste la piste nord-coréenne. Elliptic attribue à Pyongyang plus d’un milliard de dollars de vols en 2026, sur plus de 51 incidents, et juge « hautement probable » l’implication de la Corée du Nord dans le piratage de Bitget. LayerZero a lui aussi désigné le groupe Lazarus pour KelpDAO.
Hacks crypto : 2026 dépasse déjà 2025 hors Bybit
CertiK avait recensé 3,35 milliards de dollars de pertes sur l’ensemble de 2025. Le chiffre semble encore loin. Mais il reposait sur un seul casse : le vol de Bybit en février 2025, environ 1,45 milliard de dollars attribué à Lazarus. Retirez-le et 2025 retombe autour de 1,9 milliard. Mi-octobre, 2026 a déjà fait bien pire sans aucun piratage de cette taille.
La menace a aussi changé de visage. Au premier semestre, CertiK plaçait en tête les compromissions de portefeuilles (444,5 millions de dollars sur 33 incidents), devant le phishing (366,3 millions sur 63 incidents). Les failles de code restent les plus nombreuses avec 204 incidents. Elles ne pèsent pourtant que 151,6 millions de dollars. Les pirates frappent moins souvent, et beaucoup plus fort, en visant l’infrastructure des plateformes.
Et la violence physique suit la même pente. CertiK a compté 52 « wrench attacks » (des agressions pour forcer une victime à livrer ses clés) au premier semestre, contre 39 un an plus tôt. Les montants en jeu passent de 10,5 à 124,2 millions de dollars, une tendance que la France connaît bien avec ses crypto-rapts à répétition.
Octobre : un matériel piégé et un exploit DeFi
Octobre affiche déjà 116,1 millions de dollars de pertes sur 26 incidents au 12 du mois, selon CertiK. L’essentiel vient d’appareils Ledger trafiqués. Le reste provient en grande partie de l’exploit du protocole 79thVault sur BNB Chain, chiffré à 12,5 millions de dollars dans les premières estimations.
Ledger a confirmé le 10 octobre la présence d’un implant matériel non autorisé dans l’appareil d’un client. Tous les cas confirmés concernent des appareils vendus par un même revendeur. Le fabricant assure que ses propres systèmes et ses canaux de vente directs n’ont pas été touchés.
Ce revendeur, CryptoBilis, opérait en Indonésie, en Malaisie et aux Philippines. Les estimations on-chain vont de 86 à 93 millions de dollars volés sur plus de 300 portefeuilles Bitcoin, Ethereum et Tron. Tether a gelé près de 10 millions de dollars en USDT. Le revendeur avait changé de propriétaire avant les vols, sans qu’aucun lien avec l’attaque soit établi à ce stade.
Pour les détenteurs, la consigne de Ledger tient en peu de mots. N’initialisez pas un appareil acheté chez ce revendeur ces 90 derniers jours. S’il est déjà configuré, transférez les fonds vers une nouvelle phrase de récupération, sur un appareil acheté directement auprès du fabricant. Et gardez en tête qu’aucun employé de Ledger ne vous demandera jamais vos 24 mots.
