Plus de 4 milliards de dollars perdus à cause d'exploits crypto au cours de l'année passée

En 2025, les exploits crypto ont commencé lentement, mais ont fini par accumuler une somme record de plus de 4 milliards de dollars. Selon les données d'alerte de PeckShield, l'année a établi un nouveau record et un changement dans les types d'exploits. 

Les exploits et piratages crypto se sont accélérés en 2025, conduisant à une année record pour le vol de crypto. Les 12 derniers mois ont été marqués par des attaques hautement ciblées contre les vulnérabilités systémiques des plateformes d'échange centralisées et des protocoles de Smart Contracts. 

L'autre approche pour voler des crypto comprenait les logiciels malveillants, l'ingénierie sociale et le ciblage des détenteurs individuels. 

PeckShield estime les pertes totales de l'année écoulée à 4,04 milliards de dollars, en hausse de 34,2 % en glissement annuel. Pour 2024, l'estimation finale était de 3,01 milliards de dollars de pertes. La plus grande addition au bilan 2025 a été le piratage de Bybit, qui a entraîné plus de 1,4 milliard de dollars de pertes, principalement dus aux vols d'ETH. 

Au total, les piratages crypto ont volé 2,67 milliards de dollars, en hausse de 24,2 %. La hausse des escroqueries en ligne a été encore plus spectaculaire, volant 1,37 milliard de dollars, en hausse de 64,2 % par rapport à l'année précédente. Le suivi et le gel des tokens n'ont permis de récupérer que 334,9 millions de dollars, contre 488,5 millions de dollars en 2024.

La Corée du Nord s'empare de jusqu'à 52 % du butin Web3

Les pirates de la RPDC ont continué à cibler les projets Web3, s'emparant de 52 % du butin de ces types de projets, selon les données de Hacken. Les exploits DeFi se sont considérablement accélérés au second semestre 2025, avec des attaques contre de nouveaux DEX. Cette fois-ci, il y a eu moins d'attaques de pontage, car les ponts n'étaient pas aussi importants pour les écosystèmes. 

Les exploits DeFi en 2025 ont pu s'appuyer sur des systèmes beaucoup plus robustes pour échanger ou cacher des fonds. Tornado Cash est resté le mixeur de référence pour l'ETH, tandis que les pirates se sont également appuyés sur le routage DEX standard pour échanger rapidement des fonds.

Les vulnérabilités des Smart Contracts ont représenté environ 12,8 % de tous les exploits, et le vol dépendait du montant de valeur verrouillée dans divers protocoles. Même de petits coffres-forts ou contrats ont été ciblés lorsqu'une vulnérabilité connue et relativement facile a été repérée, car certains des projets Web3 ont été clonés à partir de contrats précédents.

Les exploits crypto ciblent les équipes de Développeurs de jeux Web3

Au lieu d'attaques générales avec des liens malveillants, les acteurs de menace ciblent directement les détenteurs de portefeuilles de grande valeur. Les équipes Web3 sont souvent sélectionnées pour accéder à des coffres-forts de grande valeur et à des portefeuilles de tokens. 

L'un des vecteurs d'attaque récents concerne des projets au nom légitime, qui publient ensuite des annonces pour recruter des développeurs Web3. Le processus d'entretien repose ensuite sur des logiciels malveillants pour infecter les ordinateurs personnels et professionnels, en accédant aux portefeuilles. 

Le logiciel malveillant est généralement téléchargé via un lien de réunion légitime, lui permettant d'accéder aux clés privées existantes sur la machine infectée. 

Les attaquants peuvent souvent accéder aux machines de projets Web3 ou de plateformes d'échange, en accédant aux portefeuilles ou aux droits d'administrateur pour modifier les Smart Contracts.

Le contrôle d'accès a été l'une des principales sources d'exploits, avec jusqu'à 53 % de piratages attribués à une forme d'accès direct aux portefeuilles multisig. Les vols restants dépendaient d'erreurs d'utilisateur, ainsi que de vulnérabilités des Smart Contracts, en particulier les émissions, retraits ou ponts de tokens DeFi non autorisés. 

Le premier grand piratage de 2026, sur le protocole TrueBit, a utilisé un modèle similaire, où le pirate a émis et retiré des montants non autorisés de tokens, volant jusqu'à 26 millions de dollars.

Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.