on-chain
CertiK : 2,81 Md$ volés en crypto en 2026, octobre déjà à 116 M$ avec l'affaire Ledger
Au 12 octobre, CertiK recense 2,81 Md$ volés en 2026. Septembre pire mois (773,4 M$ / 105 incidents) ; octobre à 116,1 M$, dont Ledger/CryptoBilis ~86-93 M$.
Le tableau de bord CertiK, recoupé par CryptoSlate, chiffre à 2,81 milliards de dollars le total des fonds volés en crypto depuis le 1er janvier 2026, au 12 octobre. Après recouvrement, le solde net est de 2,35 Md$. Septembre est le pire mois de l'année avec 773,4 M$ sur 105 incidents ; octobre démarre à 116,1 M$ sur 26 incidents, pénalisé par la confirmation le 10 octobre par Ledger d'un « implant matériel non autorisé » lié à un revendeur baptisé CryptoBilis. La synthèse française est chez Journal du Coin.
Les chiffres
| Métrique | 2026 (au 12 oct.) | Référence 2025 |
|---|---|---|
| Total volé brut | 2,81 Md$ | 3,35 Md$ |
| Net après recouvrements | 2,35 Md$ | n/d |
| Pire mois | Sept. (773,4 M$ / 105 incidents) | Fév. (Bybit ~1,45 Md$) |
| Octobre partiel | 116,1 M$ / 26 incidents | — |
| Hors Bybit | — | ~1,9 Md$ |
À données comparables (hors événement Bybit), 2026 dépasse déjà 2025. Côté wrench attacks — agressions physiques pour extorquer des clés privées — CertiK compte 52 cas au premier semestre 2026 contre 39 un an plus tôt, avec un montant total passé de 10,5 M$ à 124,2 M$.
Sources côté outils : CertiK (tableau central), PeckShield (chiffres septembre), CryptoSlate (agrégation), Elliptic (attribution Corée du Nord sur plusieurs dossiers).
Les incidents majeurs de 2026
Les cinq plus gros vols cumulés sur l'année recoupent plusieurs vecteurs distincts :
- Bitget — 24 septembre : ~387,5 M$. Vidage de hot et warm wallets. Enquête interne en cours ; attribution non publiée. L'exchange a maintenu les retraits.
- Liquid Network — 6 septembre : ~318,7 M$. Faille de cache sur un relais fédératif ; les coins Liquid-wrappés concernés sont documentés dans la post-mortem de la fédération.
- KelpDAO — 18 avril : ~291,3 M$. Vol via le pont LayerZero ; attaquants non identifiés publiquement.
- Drift Protocol — 1er avril : ~285,3 M$. Attribution Elliptic → Corée du Nord. Chaîne Solana, exploit sur un contrat de market-making.
- Ledger / CryptoBilis — 10 octobre : 86–93 M$ (estimation on-chain). Implant matériel installé sur des dispositifs Ledger vendus par le revendeur CryptoBilis. Les clés privées ont été exfiltrées à l'allumage. Journal du Coin cite l'estimation on-chain ; Ledger n'a pas publié de montant officiel.
Autre dossier d'octobre couvert : 79thVault sur BNB Chain à ~12,5 M$.
Pattern Ledger : la supply chain hardware comme vecteur
L'affaire CryptoBilis est la pièce qui mérite attention. Jusqu'ici, les attaques Ledger relevaient de trois classes : phishing massif post-fuite de données (2020), vulnérabilités firmware pré-patch, et sideloads via connecteurs iOS/Android. L'implant matériel installé en amont de la livraison ouvre une quatrième classe : la compromission de la supply chain entre le fabricant et l'utilisateur final.
Techniquement, l'implant captait les clés privées à la génération ou à la signature, puis les exfiltrait vers un endpoint contrôlé par l'attaquant à la première connexion réseau du Ledger Live associé. Les ~86–93 M$ estimés correspondent aux soldes nets drainés sur les adresses dérivées des wallets touchés.
Ledger n'a pas publié la liste des numéros de série concernés au moment de la rédaction, ni la façon dont CryptoBilis a été identifié. L'enquête conjointe avec les autorités françaises est en cours.
Lecture par vecteur
- Compromission exchange : 388 M$ (Bitget) + 320 M$ (Liquid) = ~708 M$, soit ~25 % du total 2026. Le top des pertes reste porté par les opérateurs centralisés, malgré 10 ans de « not your keys, not your coins ».
- Smart contracts / DeFi : KelpDAO + Drift + 79thVault + autres cas de l'année ~> 1 Md$ cumulé. L'écart avec 2024 reste stable sur ce vecteur.
- Hardware / supply chain : nouveau vecteur à ~86-93 M$ sur un seul dossier d'octobre.
- Wrench attacks : 124,2 M$ au S1 2026 vs 10,5 M$ un an plus tôt. Croissance ×12 en absolu.
Que surveiller
- Précision des chiffres Ledger/CryptoBilis. Ledger n'a confirmé que l'existence de l'implant, pas le montant. La publication des numéros de série concernés et d'un recouvrement partiel modifierait le total 2026.
- Retour de capitaux. Le net 2,35 Md$ (après recouvrements) implique ~460 M$ récupérés sur l'année. Les gros dossiers de 2026 (Bitget, Liquid, KelpDAO) n'ont pas publié de bilan de recouvrement. Les deux prochains mois sont le délai critique.
- Attribution Corée du Nord. Elliptic a confirmé Drift ; les autres dossiers restent non attribués publiquement. Un rapport Chainalysis ou OFAC trimestriel changerait la lecture.
- Audit des revendeurs Ledger. La société annonce un durcissement de ses contrôles de revendeurs ; publication publique de la liste blanche officielle est le signal à attendre.
Contexte
À comparer aux séries antérieures : 2022 avait culminé à 3,8 Md$ (incluant les ponts Ronin et Wormhole), 2023 à 1,8 Md$, 2024 à 2,2 Md$, 2025 à 3,35 Md$ (gonflé par Bybit). 2026 est en trajectoire pour dépasser 2025 hors événement exceptionnel. Le profil change : la part exchange recule, la DeFi reste constante, et deux vecteurs nouveaux montent — wrench attacks et supply chain hardware — qui déplacent la frontière du risque de l'infrastructure logicielle vers la sécurité physique du détenteur et du dispositif.