Hacks crypto 2026 : le registre des piratages, mois par mois

L’essentiel : Du 1er janvier au 25 octobre 2026, DefiLlama recense 2 368,6 millions de dollars volés en 312 piratages, montants bruts au moment du vol (notre calcul). Neuf dollars sur dix viennent de 44 vols d’au moins 5 millions : ce registre en garde 38, mois par mois, avec leur cause, ce qu’on sait de leur auteur et ce qui a été rendu. Les plus gros : Bitget, Liquid, Drift et Kelp DAO. Et peu de recours pour les victimes.

Registre arrêté au 26 octobre 2026 ; totaux de DefiLlama lus le 26 octobre 2026 à 22 h 35 (dernière entrée du 25 octobre 2026). Heures de Paris : UTC+1 jusqu’au 29 mars et depuis le 25 octobre, UTC+2 entre les deux.

Ce qu’il faut retenir de 2026

• Combien : 2 368,6 M$ en 312 incidents du 1er janvier au 25 octobre selon DefiLlama, tous types confondus, soit −5,2 % par rapport à la même période de 2025, gonflée par le vol de Bybit (notre calcul). Les autres bilans comptent autrement.
• Peu de vols font presque tout : 44 vols d’au moins 5 millions portent 90,6 % des montants, les trois plus gros (Bitget, Liquid, Drift) 42,3 % (notre calcul).
• Rarement une faille de code : les plus gros vols passent par des clés volées ou trop faibles, des droits d’administration pris par la ruse, des ponts qui valident un faux message.
• La Corée du Nord : plus de 1 milliard de dollars de vols lui sont attribués en 2026, à fin septembre, selon Chainalysis et selon Elliptic.
• Peu de recours : une plateforme agréée répond d’une perte qui lui est imputable ; un protocole DeFi rembourse s’il le décide.

Janvier à mars 2026

Et 45 incidents sous 5 M$ (dont 3 sans montant), 40,9 M$ au total (DefiLlama, notre calcul).

Le trimestre le plus calme de l’année. Step Finance n’a pas survécu au vol de sa trésorerie : il a annoncé sa fermeture le 23 février (The Block). Resolv montre qu’un audit ne garantit rien : le protocole en avait passé « as many as 18 », mais une seule clé suffisait à émettre son stablecoin (Chainalysis). Cyrus Finance (22 mars) est hors du tableau : son montant est contredit (voir « Hors du registre »).

Avril à juin 2026

Et 100 incidents sous 5 M$ (dont 1 sans montant), 86,1 M$ au total (DefiLlama, notre calcul).

Drift et Kelp DAO pèsent 588 millions de dollars chez DefiLlama, 72 % du trimestre tous types confondus, 78 % en DeFi et ponts (notre calcul). Chez Drift, fin mars, des membres du conseil de sécurité ont signé d’avance des transactions « qu’ils ne comprenaient pas entièrement », selon Chainalysis, qui reprend le compte rendu de Drift (notre traduction) ; le 1er avril, les pirates les ont exécutées pour prendre les droits d’administration, puis ont fait accepter en garantie un jeton sans valeur (notre guide de la DeFi).

Le 18 avril, à 19 h 35, le pont du rsETH de Kelp DAO, réglé sur un seul vérificateur, libère 116 500 rsETH contre un faux message : notre article sur les ponts raconte le mécanisme, celui sur Aave la contagion, celui sur les couches 2 le gel de 30 766 ETH par le conseil de sécurité d’Arbitrum, dans la nuit du 20 au 21 avril. Le 24 septembre, Evercrest Technologies, la société de Kelp, a engagé une action civile au Canada, devant la Cour suprême de Colombie-Britannique, contre LayerZero Labs et son cofondateur Bryan Pellegrino ; nous ne connaissons cette action que par la presse (The Block). Wasabi Perps (30 avril) est hors du tableau : son montant est contredit.

Juillet à septembre 2026

Et 102 incidents sous 5 M$ (dont 9 sans montant), 74,4 M$ au total (DefiLlama, notre calcul).

Quatre vols dominent le trimestre :

• Bitget, le 24 septembre : environ 388 millions pris sur 12 adresses de portefeuilles chauds, détectés à 21 h 05. Selon Bitget, les pirates ont exploité une faille inconnue d’un produit de sécurité tiers ; ses clés privées et ses portefeuilles froids n’ont pas été touchés, et son fonds de protection a été réalimenté au-dessus de 300 millions, comme promis.
• Liquid Network, le 6 septembre : une faille de vérification d’Elements, son logiciel, permet de créer environ 4 000 LBTC sans bitcoin derrière, aussitôt retirés en bitcoins. 3 400 BTC sont rendus le lendemain à 18 h 09, soit 85 % (notre calcul) : les 320 millions de DefiLlama ne sont pas une perte définitive (Blockstream).
• Coldcard, à partir du 30 juillet : un bogue introduit en mars 2021 affaiblissait les phrases de récupération, environ 40 bits d’aléa sur les Mk2 et Mk3 (firmware 4.0.1 à 4.1.9, estimation préliminaire) et 72 sur les modèles suivants, au lieu des 128 visés (Coinkite). De 128 à 40 bits, c’est 2⁸⁸ fois moins de combinaisons à essayer (notre calcul).
• Tectonic, sur Cronos, le 30 août : en revenant en arrière de 10 961 blocs, Cronos a effacé 1 h 54 de transactions, y compris d’utilisateurs sans rapport ; 9,19 millions, 7,6 % des 120,4 empruntés, « has not been recovered », et aucune politique de dédommagement n’est publiée (Crypto Times).

KITE (5 août), TAC et KiiChain (20 au 25 août) et Nesa (24 août) sont hors du tableau : leurs montants sont contredits.

Octobre 2026

Et 21 incidents sous 5 M$ (dont 2 sans montant), 20,4 M$ au total (DefiLlama, notre calcul).

L’affaire du mois touche des particuliers. Pendant des mois, des escrocs ont acheté de vrais Ledger, y ont ajouté un circuit qui lit les 24 mots, puis les ont remis en vente chez des revendeurs d’Asie du Sud-Est (Ledger) ; tous les vols confirmés par Ledger concernent des appareils vendus par l’un d’eux, CryptoBilis (Decrypt), que le site de Ledger listait comme revendeur agréé. Le 9 octobre, des acheteurs ont trouvé leurs portefeuilles vides. Les montants sont des estimations de tiers : Bitquery compte 102 millions de dollars, DefiLlama 93 ; Ledger n’a confirmé aucun total.

CoinDCX, plateforme indienne déjà volée d’environ 44 millions de dollars en juillet 2025 selon DefiLlama, a d’abord démenti, son directeur général parlant de fausse alerte ; le 25 octobre, elle a reconnu une perte de 15,99 millions d’USDT, absorbée par la société (The Block). Sous le seuil, NEAR Intents (3,8 millions le 1er octobre) a tout récupéré après un ultimatum au pirate (Cointelegraph). DefiLlama ajoute parfois un vol après coup, à sa date : l’entrée des Ledger piégés, datée du 9 octobre, n’y figurait pas le 19.

Hors du registre : contestés, évités, particuliers

Montants contestés

Ces entrées de DefiLlama dépassent 5 millions, mais d’autres sources les contredisent : elles restent hors du registre et de ses totaux.

Évité de justesse : la faille d’Aptos

Le 25 février 2026, une faille critique de la blockchain Aptos est signalée par son programme de primes. Selon CoinDesk, un correctif est déployé « within days » (en quelques jours) ; le porte-parole d’Aptos dit « within hours » (en quelques heures), et conteste que la faille ait été exploitable en pratique. Les 70 milliards de dollars souvent cités sont un risque hypothétique, calculé par la société Hexens en comptant ponts, stablecoins et plateformes. Aucun fonds n’a été perdu.

Particuliers et portefeuilles

DefiLlama ne compte pas ces vols, qui n’entrent dans aucun de nos totaux. Les vols de particuliers sont nombreux et mal documentés : cette liste n’est pas complète.

• le 10 janvier à 23 h UTC (le 11 à minuit à Paris), une victime perd 2,05 millions de LTC et 1 459 BTC, plus de 282 millions de dollars, par ingénierie sociale autour d’un portefeuille matériel, selon l’enquêteur ZachXBT, qui ne voit aucun signe d’un lien avec la Corée du Nord (CoinDesk) ;
• le 15 septembre à 6 h 38, un portefeuille Safe perd 2 882 rsETH, environ 7,7 millions de dollars, par un module que ses propriétaires avaient activé (CryptoTicker) : pas une faille de Safe ;
• du 15 au 20 septembre, des utilisateurs de l’application DCENT perdent près de 20 millions de dollars en XRP, sur 6 678 portefeuilles, selon Bitrue, environ 6 millions selon CertiK (Cointelegraph) ; la manière dont les pirates ont obtenu les clés n’est pas établie (Zelcore) ;
• les attaques physiques ont extorqué plus de 30 millions de dollars dans le monde au 1er semestre 2026, selon Chainalysis (rapport du 6 août, cité par crypto.news).

Combien ? Les totaux, et pourquoi ils ne concordent pas

DefiLlama publie la liste des piratages, avec un montant au moment du vol. Nous l’avons relue en entier, 1 320 entrées, le 26 octobre 2026 à 22 h 35. Du 1er janvier au 25 octobre 2026, selon notre calcul :

• tous types confondus, 2 368,6 M$ en 312 incidents, contre 2 499,0 M$ sur la même période de 2025 (−5,2 %) ; sans le vol de Bybit (1,4 milliard, le 21 février 2025), 2025 tombe à 1 099,0 M$, et 2026 fait +115,5 % ;
• pour la DeFi et les ponts, le périmètre de notre guide de la DeFi, 1 538,0 M$ en 234 incidents, contre 589,5 M$ (+160,9 %) ;
• pour les plateformes d’échange, 416,7 M$ en trois vols, Bitget, CoinDCX et Grinex, contre 1 853,5 M$ (−77,5 %).

Sur toute l’année 2025, DefiLlama compte 2 715,0 M$ tous types : 2026 ne l’a pas encore dépassée. Le milliard a été franchi le 6 juillet tous types, le 22 juillet en DeFi et ponts (notre calcul).

DefiLlama, mois par mois

Avril n’est pas le pire mois de l’histoire : avec 634 millions de dollars en DeFi et ponts, c’est le mois le plus lourd depuis octobre 2022 (751 millions), pas un record. Tous types confondus, avril (648 millions) est le 7e mois de la liste, qui remonte à 2011, et septembre 2026 (743 millions) le 5e ; décembre 2020 (3 557 millions) et février 2025 (1 477 millions, Bybit) restent loin devant (notre calcul).

Les bilans publiés

Chaque société d’analyse a sa période et son périmètre. Ces chiffres ne s’additionnent pas, et ne se comparent pas à ceux de DefiLlama sans le dire :

Selon CertiK, le 1er semestre 2026 marque une baisse de 46,8 % sur un an, mais une hausse d’environ 28 % hors Bybit. Les mêmes chiffres que TRM, 972 millions et 207 piratages, circulent aussi sous le nom d’Immunefi (The Block) : ce n’est pas une seconde source.

Brut ou net, affiché ou réel

DefiLlama compte Liquid pour 320 millions et Tectonic pour 124,47, sans déduire les bitcoins rendus ni les blocs annulés : c’est un total brut. Il compte aussi, parfois, la valeur affichée de jetons volés ou émis sans gage, dont le pirate ne tire qu’une petite part. Chez SUPERFORTUNE AI, environ 15 millions de GUA volés, 15,18 millions de dollars avant leur revente, n’ont rapporté qu’environ 5,66 millions, 37 % (notre calcul). Chez Nesa, environ 50 millions affichés, environ 60 000 dollars tirés, 0,12 % (notre calcul). Pour Echo, sur Monad, le 18 mai, DefiLlama ne retient au contraire que 821 000 dollars : 1 000 eBTC émis sans gage valaient environ 76,7 millions sur le papier, le pirate en a tiré environ 867 000 dollars (Merkle Science).

La Corée du Nord : qui l’affirme, et pour quels vols

Les attributions de 2026 viennent de sociétés privées, chacune avec son degré de certitude. Nous n’avons trouvé, au 26 octobre 2026, aucune déclaration du FBI sur les vols de 2026.

• Kelp DAO : selon LayerZero, Mandiant et CrowdStrike attribuent l’attaque au groupe nord-coréen TraderTraitor, la Corée du Nord avec « high confidence », le groupe avec « medium confidence » (rapport de LayerZero).
• Drift : « probablement lié » à la Corée du Nord, mais « l’attribution formelle reste en attente » au 9 avril (Chainalysis, notre traduction) ; fin avril, TRM Labs le range parmi les vols nord-coréens, par un groupe « distinct de TraderTraitor » (TRM Labs) ; Mandiant l’a depuis attribué à UNC6862, un « groupe de menace nord-coréen » (The Block, notre traduction).
• Bitget : pour Gracy Chen, sa directrice générale, l’attaque est « consistent with techniques used by DPRK-linked hacker groups » ; Elliptic la juge « highly likely » liée à la Corée du Nord (Elliptic), Chainalysis la dit « DPRK-attributed » (Chainalysis). La page de l’incident de Bitget n’en dit rien.
• AFX Trade : AFX dit ses constats « consistent with independent attribution » au groupe nord-coréen TraderTraitor (UNC4899), sans nommer l’auteur de cette attribution (crypto.news).
• Coldcard : aucune attribution ; TRM Labs voit plusieurs attaquants possibles.

Quelle part des vols ? Seulement selon chaque rapport, sur sa propre mesure. Le 30 avril, TRM Labs estimait que Drift et Kelp, environ 577 millions de dollars, faisaient 76 % des pertes de piratage de 2026 jusque-là (TRM Labs) ; le 1er juillet, la même société écrit 71 % pour la même période, puis environ 643 millions, « about 66% », pour le 1er semestre (TRM Labs). Fin septembre, Chainalysis et Elliptic comptent chacun plus de 1 milliard de dollars de vols nord-coréens en 2026. Ne rapportez pas ces chiffres au total de DefiLlama : ce serait mélanger deux mesures. Selon TRM, la part nord-coréenne des vols passe de moins de 10 % en 2020 et 2021 à 64 % en 2025.

Comment ces vols arrivent

DefiLlama classe chaque vol par cause. En 2026, au 25 octobre (notre calcul) :

Les plus gros vols de 2026 passent par des clés volées ou mal créées (Step, Humanity, Ostium, AFX, Coldcard), des droits d’administration pris par la ruse (Drift), des ponts qui acceptent un faux message ou une fausse preuve (Kelp, Liquid, Verus, Wanchain, Syscoin) et des portefeuilles chauds de plateformes (Bitget, Grinex, Duelbits, CoinDCX). Les failles de code et les cours manipulés sont nombreux, mais petits.

Les bilans publiés vont dans le même sens. Au 1er semestre, selon CertiK, les portefeuilles compromis pèsent 444,5 millions de dollars en 33 incidents, l’hameçonnage 366,3 millions en 63, les failles de code 151,6 millions en 204. Selon TRM Labs, les attaques contre l’infrastructure (clés, systèmes de signature) font environ 76 % des fonds volés pour 15 % des incidents.

Après un piratage : ce qui se récupère, et suis-je touché ?

Ce qui se récupère

Une transaction confirmée ne s’annule pas : ces récupérations dépendent de la bonne volonté d’un émetteur, d’un réseau, du pirate ou de la victime. Ne payez jamais personne pour récupérer vos fonds : c’est le terrain des faux récupérateurs (notre article sur les arnaques).

Suis-je touché ? Les cinq cas

1. J’ai des fonds sur une plateforme piratée : lisez sa page officielle de l’incident, en passant par son site ou son application, jamais par un lien reçu, et ne répondez à aucun message qui propose un remboursement.
2. J’ai utilisé le protocole piraté, ou je lui ai donné une autorisation : une autorisation reste active tant que vous ne la retirez pas (on dit « révoquer »). Revoke.cash liste les autorisations d’une adresse ; les révoquer une à une ne coûte que les frais du réseau (notre article sur le phishing).
3. Je détiens un jeton enveloppé ou déposé en garantie (rsETH, LBTC) : cela dépend de ce qui le gage encore, et de qui comble le trou (notre article sur les ponts).
4. J’ai un portefeuille matériel : si votre phrase a été créée sur un Coldcard touché, mettre à jour ne suffit pas. Une phrase ne se change pas comme un mot de passe : on crée un nouveau portefeuille, avec une nouvelle phrase, et on y transfère tout (notre article sur la phrase de récupération). Un Ledger s’achète neuf, de préférence sur la boutique officielle de Ledger : c’est notre conseil depuis l’affaire des appareils piégés, dont tous les cas confirmés viennent d’un revendeur que le site de Ledger listait comme agréé. Ledger recommande aussi ses revendeurs agréés. Jamais d’occasion (notre guide du portefeuille matériel).
5. On m’appelle au sujet d’un piratage : la police, la gendarmerie, la douane ou des magistrats « ne vous appelleront jamais pour vous demander des données confidentielles », phrase de récupération comprise (Cybermalveillance.gouv.fr, qui relaie le parquet de Paris).

Pour les gestes de fond : nos conseils pour sécuriser vos actifs et notre article sur la signature des transactions.

Depuis la France : signaler, MiCA, impôts

Où signaler

Portez plainte au commissariat ou à la gendarmerie, ou par les téléservices de Ma Sécurité (plainte, visioplainte) ; si une menace ou une escroquerie est en cours, appelez le 17. Préparez les adresses des portefeuilles, les cryptos concernées, la façon dont vous les déteniez (vous-même ou une plateforme), l’identifiant de chaque transaction et le montant perdu, crypto par crypto. Cybermalveillance.gouv.fr rappelle que l’accès frauduleux à un système informatique est un délit (article 323-1 du code pénal) et conseille France Victimes, au 116 006, pour être accompagné. Une offre de « récupération » se signale à l’AMF ou à Info Escroqueries ; le détail est dans notre article sur les arnaques.

Plateforme agréée : ce que dit MiCA

L’article 75 de MiCA, paragraphe 8, rend les plateformes qui gardent vos cryptos « responsables envers leurs clients de la perte de tout crypto-actif ou des moyens d’accès aux crypto-actifs résultant d’un incident qui leur est imputable », avec une responsabilité « plafonnée à la valeur de marché, au moment de la survenue de la perte, du crypto-actif qui a été perdu ». Ne lui est pas imputable un événement dont elle « démontre qu’il s’est produit indépendamment de la fourniture du service concerné », par exemple « un problème inhérent à l’exploitation du registre distribué » qu’elle ne contrôle pas (notre guide du portefeuille ; notre article sur MiCA). Face à un protocole DeFi ou à un pont sans société responsable, peu de recours : un remboursement seulement si le projet ou un tiers le décide.

Impôts : un vol n’est pas une vente, selon notre lecture

Le BOFiP (§ 70) ne rend imposables que « les cessions à titre onéreux » de cryptos, au sens de l’article 150 VH bis du code général des impôts. Selon notre lecture, un vol n’en serait pas une : il ne créerait ni plus-value ni moins-value, et nous n’avons trouvé, au 18 octobre 2026, aucun texte ni aucune doctrine officielle qui permette de déduire des cryptos volées. Aucun texte ne dit non plus comment traiter un remboursement reçu en cryptos, comme les jetons DFX de Drift. Gardez la plainte et les preuves de chaque transaction ; pour la déclaration, voir notre guide des impôts.

Comment ce registre est tenu

• Seuil : un vol d’au moins 5 millions de dollars au moment du vol, quelle que soit la cible.
• Preuve : le compte rendu de la victime, ou deux sources indépendantes, dont une société d’analyse de la blockchain. Un montant que seul DefiLlama donne est écrit « selon DefiLlama seul » ; un montant contredit va dans les contestés ; un vol connu par un seul média n’est pas repris.
• Dates : heure de Paris quand une source la donne. « Aucun retour signalé » : rien de rendu, gelé ou remboursé dans les sources que nous avons lues.
• Totaux : recalculés sur la liste entière de DefiLlama à chaque mise à jour ; les bilans des autres sociétés sont donnés à part.
• Mise à jour : registre arrêté au 26 octobre 2026. Aucun protocole, pont ou plateforme cité n’est une recommandation, ni une mise en garde.

Questions fréquentes