exploit
Hacken Q3 2026 : 1,18 Md$ volés sur 107 incidents, Bitget et Tectonic concentrent la moitié des pertes
Le rapport trimestriel Hacken totalise 1,18 Md$ de pertes crypto au T3 2026, en hausse de 55% sur un trimestre. 77% des pertes proviennent de composants hors du périmètre du dernier audit.
Hacken a publié le 15 octobre son rapport trimestriel sur les incidents de sécurité crypto. Bilan du troisième trimestre 2026 : 107 incidents pour 1,18 milliard de dollars de pertes, en hausse de 55 % sur le trimestre précédent. Bitget (387 M$) et Tectonic (120 M$) concentrent à eux seuls près de la moitié du total, selon la synthèse de The Coin Tribune et le rapport primaire disponible sur hacken.io.
Les chiffres clés
- 1,18 Md$ de pertes totales T3 2026.
- 107 incidents recensés (seuil minimal : 250 000 $).
- +55 % vs T2 2026.
- 11 incidents (10 % du compte) représentent 77 % des pertes, soit ~906,8 M$.
- Perte médiane par incident : 670 000 $.
- 98 incidents sur 107 sous le million.
Devenir des fonds :
| Statut | Montant |
|---|---|
| Restitués ou annulés | ~387 M$ |
| Couverts par les opérateurs | ~410 M$ |
| Ni récupérés ni couverts | ~384 M$ |
Les quatre grands
| Incident | Montant | Date | Vecteur |
|---|---|---|---|
| Bitget | 387,5 M$ | 24 septembre | Faille dans un produit de sécurité tiers, selon SlowMist et Mandiant |
| Liquid Network | ~320 M$ | T3 2026 | Exploitation |
| Tectonic | ~120 M$ | T3 2026 | Composant hors du périmètre du dernier audit (120,4 M$ empruntés en une transaction exploitant des paramètres de risque non revus) |
| Coldcard firmware | ~115 M$ | T3 2026 | Vulnérabilité firmware |
Les quatre représentent ~80 % des pertes du trimestre selon Hacken.
Attribution Bitget : Bitget n'a pas nommé l'attaquant. Chainalysis attribue le vol à des acteurs liés à la RPDC — c'est l'analyse de Chainalysis, pas celle de Hacken. L'opérateur a couvert les 387,5 M$ depuis son fonds de protection maison.
Les vecteurs d'attaque Hacken
| Vecteur | Pertes | Incidents | Part |
|---|---|---|---|
| Fournisseur ou outil de développement compromis | 411,5 M$ | 2 | 35 % |
| Patch public non déployé | 324,8 M$ | 4 | 28 % |
| Composant hors du périmètre du dernier audit | 170,5 M$ | 5 | 14 % |
Les trois premiers vecteurs totalisent ~77 % des pertes (906,8 M$). Hacken relève que ces trois modes opératoires sont hors du champ d'un audit smart-contract traditionnel — le pentest du code applicatif ne détecte pas une porte dérobée dans une bibliothèque fournisseur, ni un correctif public publié mais pas déployé par l'opérateur.
Mise en perspective avec les autres rapports du trimestre
- CertiK, Hack3d Q2 2026 totalise 2,81 Md$ sur le premier semestre, soit un run-rate T2 d'environ 760 M$ — compatible avec la hausse de 55 % Hacken T3 vs T2.
- Les incidents à composant hors-audit sont la deuxième cause 2026 derrière le compromis fournisseur, selon l'enquête Trail of Bits sur l'intégrité des gestionnaires de paquets publiée en septembre.
À surveiller
- Récupérations définitives : les 387 M$ « restitués ou annulés » incluent des gels partiels (Tether, USDC) qui peuvent se transformer en forfaiture ou en restitution. Le solde net définitif ne sera consolidé qu'à T1 2027.
- Impact sur les primes d'audit : les trois vecteurs dominants étant hors du périmètre traditionnel, les auditeurs (OpenZeppelin, Trail of Bits, Hacken elle-même) élargissent leur offre vers l'audit chaîne logistique et le monitoring fournisseur post-déploiement.
- Pattern CEX / DeFi : Hacken ne publie pas le découpage CEX vs DeFi dans la version Coin Tribune. Le rapport PDF à hacken.io/insights/q3-2026-report/ devrait l'inclure.
- Mise à jour T4 2026 : le trimestre en cours comporte déjà l'exploit Taiko Alethia Bridge et l'exploit Base Vault wstETH 6M, à ajouter au compteur T4.
Contexte
La tendance longue reste stable : les grandes attaques sont concentrées (10 % des incidents = 77 % des pertes) et portées par la supply chain plutôt que par le code applicatif. L'ère des bugs de smart contract « classiques » (reentrancy, overflow) n'est pas terminée — la divulgation XRPL d'octobre l'a rappelé — mais le gros du dommage financier a basculé sur les intermédiaires de sécurité eux-mêmes. Bitget via un outil tiers, Coldcard via firmware, Tectonic via code non audité : trois lignes de défense, trois échecs, 622,5 M$ cumulés.