L’essentiel : à mi-année 2026, le bilan sécurité DeFi est sombre. Selon notre calcul sur la liste de DefiLlama, 913,6 millions de dollars ont été volés en DeFi et sur les ponts du 1er janvier au 19 juin 2026, en 125 incidents (969,4 millions en 154 incidents, toutes cibles confondues). Sur ce périmètre, c’est presque deux fois plus qu’à la même période de 2025 (458,2 millions) ; toutes cibles confondues, c’est 55 % de moins, car 2025 comptait le vol de la plateforme Bybit (1,4 milliard de dollars, février 2025). Avril 2026 pèse 633,8 millions en DeFi et sur les ponts : le mois le plus lourd depuis octobre 2022, le quatrième de l’historique de DefiLlama, pas un record. Selon TRM Labs (30 avril), deux attaques qu’elle attribue à des groupes nord-coréens, Drift et Kelp DAO, font environ 577 millions, soit 76 % des montants volés lors des piratages crypto de 2026 jusqu’à fin avril ; TRM chiffre à plus de 6 milliards de dollars les vols attribués à la Corée du Nord depuis 2017. Selon les classes de DefiLlama, les quatre plus gros vols de la période (Drift, Kelp DAO, Step Finance, Humanity Protocol) ne viennent pas d’un bug de code, mais de droits d’administration détournés, d’un faux message de pont et de clés privées compromises.
Après notre bilan d’avril et la synthèse des 3 hacks de mi-mai, le tableau mid-year confirme une bascule structurelle de la sécurité DeFi. Voici l’état des lieux complet à mi-juin 2026 et ce qu’il révèle de la maturité réelle du secteur.
Quel est le bilan exact des hacks DeFi au premier semestre 2026 ?
Altfins (billet du 9 juin) et Phemex (billet du 20 avril) publient des récapitulatifs, pas un décompte officiel au 19 juin. Voici notre calcul sur la liste publique de DefiLlama (relue le 19 octobre 2026), vols datés du 1er janvier au 19 juin 2026 (dates UTC) ; « DeFi et ponts » = protocoles DeFi et ponts entre chaînes, « tous types » = toutes les cibles (plateformes, chaînes, jetons…) ; montants arrondis au dixième :
| Mois 2026 | DeFi et ponts (incidents) | Tous types (incidents) | Plus gros vol selon DefiLlama |
|---|---|---|---|
| Janvier | 97,1 M$ (16) | 104,1 M$ (17) | Step Finance (40 M$) |
| Février | 21,5 M$ (10) | 21,5 M$ (10) | YieldBlox, pool Blend V2 (10,97 M$) |
| Mars | 42,3 M$ (22) | 42,7 M$ (25) | Resolv (24,5 M$) |
| Avril | 633,8 M$ (28) | 648,1 M$ (34) | Drift (295 M$), puis Kelp DAO (293 M$) |
| Mai | 55,9 M$ (35) | 83,1 M$ (44) | Verus-Ethereum Bridge (11,5 M$) ; tous types : SUPERFORTUNE AI (15,18 M$ en valeur nominale) |
| Juin (au 19) | 63,0 M$ (14) | 70,0 M$ (24) | Humanity Protocol (32 M$) |
| Total au 19 juin | 913,6 M$ (125) | 969,4 M$ (154) | — |
Les décomptes diffèrent selon le périmètre (DeFi seule ou toutes cibles) et selon qu’on retient la valeur nominale des jetons ou ce que le pirate a réellement tiré. Exemple : chez Echo Protocol, le pirate a émis sans gage 1 000 eBTC d’une valeur nominale d’environ 76,7 millions de dollars, mais n’en a tiré qu’environ 867 000 $ d’actifs réels, selon Merkle Science ; DefiLlama compte 821 000 $.
Pourquoi avril 2026 pèse-t-il autant ?
Trois caractéristiques en font une référence négative :
- Concentration sur peu d’incidents. Drift Protocol (295 M$ chez DefiLlama, 285 M$ selon Chainalysis) et Kelp DAO (293 M$ chez DefiLlama, 292 M$ selon Chainalysis) totalisent 588 M$ chez DefiLlama, soit 93 % du mois en DeFi et sur les ponts.
- Sophistication opérationnelle. Chez Drift, selon le récit de l’équipe relayé par Chainalysis (non vérifié par un tiers à sa date), des mois d’ingénierie sociale ont amené des membres du conseil de sécurité à signer des transactions qu’ils ne comprenaient pas ; le 26 mars, Drift était passé à un multisig à 2 signatures sur 5 sans délai, et les pirates ont obtenu ces signatures. Chez Kelp DAO, selon le rapport de LayerZero (18 mai), les pirates ont empoisonné des nœuds RPC internes, saturé un fournisseur RPC externe et profité d’une configuration à un seul vérificateur (DVN 1-sur-1) pour faire valider un faux message.
- Effet de contagion. Le pirate de Kelp a déposé 89 567 rsETH sur Aave et y a emprunté 82 650 WETH (190,86 M$). Le rapport de LlamaRisk publié le 20 avril sur le forum d’Aave chiffrait la mauvaise dette possible à 123,7 M$ ou 230,1 M$, selon deux scénarios qu’il présentait comme hypothétiques.
Pour les détails, lisez nos articles dédiés : Drift Protocol 285 M$, Kelp DAO 292 M$, contagion vers Aave, et notre bilan détaillé d’avril 2026.
Mai et juin ont vu des incidents plus dispersés : THORChain (15 mai, environ 10,7 M$, faille du schéma de signature GG20 exploitée par un nœud entré deux jours plus tôt, selon son rapport), Verus-Ethereum Bridge (18 mai vers 1 h 55, heure de Paris, 11,58 M$, une validation manquante dans le contrat côté Ethereum, selon Halborn), Echo Protocol (Monad, 18 mai vers 23 h 21, heure de Paris : clé privée d’un compte administrateur obtenue par le pirate, 1 000 eBTC émis sans gage, environ 867 000 $ d’actifs réels tirés, selon Merkle Science) et Humanity Protocol (plus de 32 M$ selon l’analyste Specter, le 8 ou le 9 juin selon les sources ; clés privées d’un membre de sa fondation compromises selon son fondateur, vol « possiblement mis en scène » selon ZachXBT, d’après Bitcoin.com).
Quel est le rôle des pirates nord-coréens en 2026 ?
Ce que disent, à la date de cet article, TRM Labs, LayerZero et Chainalysis, chacun avec son degré de certitude :
- Environ 76 % des montants volés lors des piratages crypto de 2026 jusqu’à fin avril, soit environ 577 M$, selon TRM Labs (30 avril) : deux attaques seulement, Drift et Kelp DAO (3 % des incidents), que TRM attribue à deux groupes nord-coréens distincts.
- Kelp DAO : selon le rapport de LayerZero (18 mai), Mandiant et CrowdStrike attribuent l’attaque à la Corée du Nord « avec une confiance élevée », et au groupe TraderTraitor (UNC4899) « avec une confiance moyenne » (notre traduction) ; Chainalysis présente TraderTraitor comme un sous-groupe de Lazarus.
- Drift : « probablement lié » à la Corée du Nord, mais « l’attribution formelle reste en attente » au 9 avril, selon Chainalysis (notre traduction) ; TRM l’attribue à un groupe nord-coréen « distinct de TraderTraitor ».
- Cumul depuis 2017 : plus de 6 milliards de dollars de vols attribués à la Corée du Nord, selon TRM Labs.
- Un but financier : selon le rapport de LayerZero, UNC4899 est rattaché au Bureau général de reconnaissance nord-coréen et vise avant tout un « gain financier soutenu par l’État » (notre traduction).
- Une part croissante : selon TRM, la part nord-coréenne des pertes des piratages crypto est passée de moins de 10 % en 2020 et 2021 à 64 % en 2025 ; ses attaques sont rares mais de plus en plus précises, loin des simples vols de clés privées privilégiés jusque-là.
L’incident Drift Protocol d’avril 2026 est le cas d’école. Selon le récit de Drift relayé par Chainalysis (non vérifié par un tiers à sa date), de faux représentants d’une société de trading quantitatif ont approché des contributeurs lors de grandes conférences crypto, puis entretenu le contact pendant six mois, sur Telegram et en personne. Comme les transactions portaient des signatures d’administrateurs valides, les contrôles de sécurité habituels ne les ont pas signalées, relève Chainalysis.
Pour comprendre les leçons opérationnelles de ces patterns, lisez notre analyse des 5 leçons sécurité tirées des hacks Drift et Kelp.
Quels patterns d’attaque dominent au S1 2026 ?
Voici la répartition des montants volés par classe d’attaque de DefiLlama, en DeFi et sur les ponts, du 1er janvier au 19 juin 2026 (913,6 M$), comparée à l’année 2024 (795,7 M$), selon notre calcul :
| Classe de DefiLlama | Part en 2026 (au 19 juin) | Part en 2024 |
|---|---|---|
| Ponts et messages entre chaînes (Bridge & Cross-Chain) | 38,5 % | 0,1 % |
| Contrôle d’accès (Access Control) | 34,4 % | 8,9 % |
| Clés compromises (Key Compromise) | 10,6 % | 38,2 % |
| Manipulation d’oracle (Oracle Manipulation) | 4,9 % | 7,6 % |
| Interface et infrastructure (Frontend & Infrastructure) | 4,3 % | 5,3 % |
| Comptabilité des jetons et des parts (Token & Share Accounting) | 4,2 % | 10,3 % |
| Autres classes | 3,1 % | 29,7 % |
Deux vols pèsent sur ces parts en 2026 : Kelp DAO (293 M$) fait l’essentiel de la classe des ponts, Drift (295 M$) celle du contrôle d’accès. Chainalysis le résume après Drift : les plus grands risques ne sont « plus seulement dans les smart contracts, mais dans les systèmes, et les personnes, qui les entourent » ; et après Kelp : les audits de smart contracts, « s’ils sont nécessaires, ne protègent pas un protocole des défaillances qui naissent hors du contrat » (notre traduction).
Au 19 juin, les quatre plus gros vols de l’année chez DefiLlama (Drift, Kelp DAO, Step Finance, Humanity Protocol) n’impliquent aucun bug de code selon ses classes : droits d’administration détournés, faux message de pont, clés privées compromises. Chez Echo Protocol non plus, selon Merkle Science : la clé d’un administrateur seul, sans multisig, a suffi. Le code a fait ce pour quoi il était programmé : ce sont des instructions frauduleuses, signées ou validées avec de vrais accès, qui ont créé les pertes.
Quelle réponse de l’industrie DeFi ?
Plusieurs évolutions notables apparaissent en réaction à cette vague d’attaques :
D’abord, plus de 40 protocoles et services ont cessé leur activité ou engagé leur fermeture entre janvier et début mai 2026, selon un recensement de The Crypto Times (9 mai), qui y voit surtout des modèles économiques sans issue, des faillites après un piratage (Step Finance, par exemple) et des rapprochements.
Ensuite, les primes aux failles (bug bounties) sont révisées. Le 30 avril, Aave Labs a proposé sur le forum de gouvernance d’Aave de relever de 1 à 5 millions de dollars la prime maximale pour une faille critique d’Aave V3, afin de mieux aligner les primes sur le risque de chaque partie du protocole.
Ensuite encore, les réglages des ponts se durcissent. Dans son rapport du 18 mai, LayerZero annonce que son propre vérificateur (DVN) refusera d’être le seul à valider un canal, et que les réglages par défaut du protocole passeront à au moins trois vérificateurs sur trois ; une application peut encore choisir un seul vérificateur d’un autre fournisseur.
Enfin, les régulateurs posent des questions. La consultation de la Commission européenne sur MiCA, ouverte le 20 mai jusqu’au 31 août 2026, comporte dans son volet ciblé une partie sur la finance décentralisée (critères de décentralisation, vérifications des protocoles DeFi par les prestataires agréés, certification des smart contracts), sans partie propre à la sécurité des ponts. Voir notre synthèse de la consultation MiCA.
Que doit faire un utilisateur DeFi mi-2026 ?
Cinq réflexes opérationnels concrets restent valides après les leçons cumulées du S1 2026 :
- Audit gouvernance. Vérifier la composition multisig (combien de signatures sur combien de signataires ; Drift avait un multisig à 2 signatures sur 5 sans délai, selon Chainalysis), les timelocks sur actions sensibles, l’identité publique des signataires.
- Prudence sur les jetons dérivés. Un jeton enveloppé ou de restaking (wBTC, rsETH, weETH) ajoute le risque de son émetteur et, sur une autre chaîne, celui du pont qui le transporte : chez Kelp DAO, 116 500 rsETH ont été libérés du pont par un faux message. Un audit ne garantit rien.
- Hardware wallet à jour. Firmware récent supportant le clear signing pour vos protocoles. Refus du blind signing.
- Veille on-chain active. Alertes Blockaid, Cyvers, Peckshield, Halborn, Rekt News sur X.
- Plan de sortie connu. Savoir comment retirer chaque position rapidement avant que le protocole soit gelé en cas d’incident.
Pour aller plus loin, voir notre analyse des hardware wallets face aux drainers en 2026.
FAQ bilan DeFi mid-year 2026
Combien d’argent a été volé en DeFi au S1 2026 ?
Selon notre calcul sur la liste de DefiLlama, 913,6 millions de dollars ont été volés en DeFi et sur les ponts du 1er janvier au 19 juin 2026, en 125 incidents (969,4 millions en 154 incidents, toutes cibles confondues). Sur ce périmètre, c’est presque deux fois plus qu’à la même période de 2025 (458,2 millions).
Quel mois a été le pire de 2026 ?
Avril 2026 : 633,8 millions de dollars volés en DeFi et sur les ponts en 28 incidents (648,1 millions en 34 incidents, toutes cibles confondues), selon DefiLlama. C’est le mois le plus lourd depuis octobre 2022, pas un record. Drift Protocol (295 M$) et Kelp DAO (293 M$) en font 93 % à eux seuls, selon les montants de DefiLlama.
Qui est derrière la majorité des montants volés en 2026 ?
Des pirates nord-coréens, selon TRM Labs : au 30 avril, deux attaques qu’elle attribue à deux groupes nord-coréens distincts, Drift et Kelp DAO, font environ 76 % des montants volés lors des piratages crypto de 2026. Pour Kelp DAO, LayerZero cite Mandiant et CrowdStrike, qui désignent le groupe TraderTraitor ; pour Drift, l’attribution formelle restait en attente au 9 avril selon Chainalysis. TRM chiffre à plus de 6 milliards de dollars les vols attribués à la Corée du Nord depuis 2017.
Pourquoi les hacks DeFi explosent-ils en 2026 ?
Selon DefiLlama, les montants volés en DeFi et sur les ponts ont presque doublé par rapport à la même période de 2025, surtout à cause de deux vols, Drift et Kelp DAO (64 % du total au 19 juin). Selon Chainalysis, les plus grands risques ne sont plus seulement dans les smart contracts, mais dans les systèmes et les personnes qui les entourent ; TRM Labs décrit des pirates nord-coréens qui n’attaquent pas plus souvent, mais avec plus de précision.
Quel est le vecteur d’attaque dominant en 2026 ?
Selon les classes de DefiLlama, en DeFi et sur les ponts du 1er janvier au 19 juin 2026 : les ponts et messages entre chaînes (38,5 % des montants, surtout Kelp DAO), puis le contrôle d’accès (34,4 %, surtout Drift) et les clés compromises (10,6 %). En 2024, les clés compromises venaient en tête (38,2 %).
Quelle réponse de l’industrie aux attaques de 2026 ?
Une proposition d’Aave Labs de relever de 1 à 5 millions de dollars la prime maximale pour une faille critique d’Aave V3 (30 avril), un vérificateur de LayerZero qui refuse désormais d’être le seul à valider un canal (rapport du 18 mai), et une consultation de la Commission européenne sur MiCA, ouverte jusqu’au 31 août, avec une partie sur la DeFi. Selon The Crypto Times, plus de 40 protocoles et services ont fermé ou engagé leur fermeture entre janvier et début mai 2026.
Conclusion
Le bilan à mi-2026 est lourd pour la sécurité DeFi. Des montants volés presque deux fois plus élevés qu’à la même période de 2025 en DeFi et sur les ponts, concentrés sur deux attaques que TRM Labs attribue à des groupes nord-coréens, dessinent un environnement où aucun protocole n’est à l’abri sans gouvernance robuste et opsec irréprochable.
Pour les utilisateurs, le message reste cohérent depuis le début de l’année : diversifier les protocoles, comprendre les couches cross-chain utilisées, et accepter qu’aucune position significative ne soit jamais à 100 % en sécurité.
Sources : DefiLlama — base des piratages (notre calcul, liste relue le 19 octobre 2026), TRM Labs — North Korea Stole 76% of All Crypto Hack Value in 2026 (30 avril 2026), Chainalysis — Drift Protocol Hack (9 avril 2026), Chainalysis — KelpDAO bridge exploit, LayerZero — KelpDAO Incident Report (18 mai 2026), LlamaRisk — rsETH Incident Report (forum d’Aave, 20 avril 2026) ; récapitulatifs de presse : Altfins — DeFi hacks 2026 review, Phemex — DeFi hacks 2026 bridge exploits, TreasuryXL — DeFi hacks exploding, Spoted Crypto — Lazarus Hit DeFi for $606M in 18 Days.
