2,81 milliards de dollars. C'est le montant volé dans des piratages crypto depuis le 1er janvier 2026, sur 693 incidents recensés par CertiK au 12 octobre. Une partie a été gelée ou restituée (452,4 millions), ce qui laisse 2,35 milliards de pertes nettes.
Le chiffre en lui-même dit peu de choses. Ce qui compte, c'est sa forme : quelques attaques énormes concentrent l'essentiel des pertes, et elles visent de moins en moins l'utilisateur isolé qui clique sur un mauvais lien, et de plus en plus l'infrastructure : les plateformes, les ponts entre blockchains, et désormais le matériel lui-même. C'est cette forme qui doit guider la façon dont vous protégez votre capital.
Où est exposé votre capital crypto ? Le RIFT Score évalue en 3 minutes la robustesse de votre portefeuille, répartition des points de garde comprise. Gratuit.
Les chiffres clés
| Période | Montant volé | Incidents |
|---|---|---|
| Depuis janvier 2026 | 2,81 Md$ | 693 |
| Pertes nettes (après gels et restitutions) | 2,35 Md$ | |
| Septembre 2026 | 773,4 M$ | 105 |
| Octobre 2026 (au 12) | 116,1 M$ | 26 |
| Année 2025 complète | 3,35 Md$ |
Source : CertiK, données au 12 octobre 2026, compilées par le Journal du Coin.
Septembre a été le pire mois de l'année, avec 773,4 millions de dollars volés selon CertiK (766,5 millions sur 55 incidents majeurs selon PeckShield). Sur ce total, 284,8 millions ont été gelés ou rendus, essentiellement grâce à une restitution massive dans l'affaire Liquid Network.
2026 a déjà dépassé 2025, si l'on met Bybit de côté. L'an dernier, 3,35 milliards avaient été volés, mais le seul piratage de Bybit en représentait environ 1,45 milliard. Hors cet incident exceptionnel, 2025 tournait autour de 1,9 milliard. À deux mois et demi de la fin de l'année, 2026 est déjà bien au-dessus.
Cinq attaques pèsent 59 % des pertes
Les cinq plus gros piratages de l'année totalisent environ 1,57 milliard de dollars, soit près de 59 % des pertes à fin septembre selon les données CertiK compilées par CryptoSlate. Les quatre principaux identifiés :
| Cible | Date | Montant | Ce qui a cédé |
|---|---|---|---|
| Bitget | 24 sept. 2026 | 387,5 M$ | Hot et warm wallets vidés via un produit de sécurité tiers |
| Liquid Network | 6 sept. 2026 | 318,7 M$ | Faille de cache : 4 000 L-BTC créés sans contrepartie |
| KelpDAO | 18 avr. 2026 | 291,3 M$ | Vérificateur du pont LayerZero compromis |
| Drift Protocol | 1er avr. 2026 | 285,3 M$ | Exploit sur Solana |
Montants CertiK. Bitget a pour sa part communiqué 351,6 millions de dollars exposés, voir notre article sur le piratage de Bitget.
Deux de ces cinq attaques visent des plateformes ou des infrastructures centralisées, deux autres des protocoles DeFi ou des ponts. Aucune ne demandait la moindre erreur de la part des utilisateurs touchés. Dans l'affaire Liquid Network, plus de 270 millions ont finalement été restitués, ce qui explique une bonne partie des montants récupérés en septembre.
La Corée du Nord en toile de fond. Le cabinet d'analyse Elliptic attribue aux groupes nord-coréens plus d'un milliard de dollars de vols en 2026, sur plus de 51 incidents. Bitget, KelpDAO (attribué au groupe Lazarus par LayerZero) et Drift font partie des affaires où cette piste est avancée. Ces groupes ciblent là où l'argent est concentré : les plateformes et les infrastructures, pas les petits portefeuilles individuels.
Comment les pirates opèrent en 2026
Le premier semestre et le mois de septembre racontent la même évolution.
Au premier semestre, les compromissions de portefeuilles arrivent en tête des pertes (444,5 millions sur 33 incidents), devant le phishing (366,3 millions sur 63 incidents) et les failles de code (151,6 millions sur 204 incidents). Les failles de code sont de loin les plus nombreuses, mais elles rapportent peu par attaque. Les compromissions de portefeuilles sont rares, mais chacune pèse lourd.
En septembre, le déséquilibre devient spectaculaire : les failles de code et d'infrastructure représentent 733,8 millions, soit 95 % des pertes du mois, contre seulement 6,2 millions pour le phishing.
Les attaques physiques explosent. Les « wrench attacks », c'est-à-dire les agressions, enlèvements et menaces pour forcer un détenteur à transférer ses cryptos, sont passées de 39 au premier semestre 2025 à 52 au premier semestre 2026, et les montants concernés de 10,5 à 124,2 millions de dollars. La France n'y échappe pas, comme l'ont montré plusieurs affaires d'enlèvement très médiatisées.
Octobre : un matériel piégé et un exploit DeFi
Octobre en est à 116,1 millions de dollars en douze jours, et une affaire domine : des Ledger vendus par le revendeur CryptoBilis, en Asie du Sud-Est, contenaient un implant caché qui lisait la phrase de récupération à l'écran pendant la configuration et l'envoyait par réseau mobile. Les pertes sont estimées entre 86 et 93 millions de dollars sur plus de 300 portefeuilles Bitcoin, Ethereum et Tron, et Tether a gelé environ 10 millions en USDT. Nous détaillons le mécanisme et les précautions à prendre dans l'affaire des Ledger piégés.
C'est un cas à part dans ce bilan : pour la première fois cette année, une attaque d'ampleur a visé le matériel de conservation des particuliers, et non une plateforme. La puce sécurisée n'a pas été cassée, c'est la chaîne d'approvisionnement qui a été corrompue.
Le mois a aussi vu un exploit sur le protocole DeFi 79thVault, sur BNB Chain, pour environ 12,5 millions de dollars selon les premières estimations.
L'assurance DeFi ne vous couvrira pas
Une question revient après chaque piratage : les victimes sont-elles remboursées ? Pour les plateformes centralisées qui disposent d'un fonds de protection suffisant, comme Bitget, souvent oui. Pour la DeFi, rarement.
Selon CoinGecko, les protocoles d'assurance DeFi ont versé environ 33 millions de dollars entre janvier 2025 et juillet 2026, pour 3,63 milliards de pertes sur la période. Moins de 1 %. Et cinq des neuf protocoles d'assurance suivis ont cessé leur activité ou changé de modèle. Sur une position DeFi, partez du principe qu'en cas d'exploit, personne ne vous remboursera.
Ce que ce bilan change pour vous
Les chiffres de 2026 dessinent une carte assez claire des endroits où votre capital est exposé, et de ce que vous pouvez y faire.
1. Sur un exchange, vous portez un risque que vous ne contrôlez pas. Bitget avait une architecture de sécurité à trois niveaux et a quand même perdu plusieurs centaines de millions. Gardez sur une plateforme ce dont vous avez besoin pour agir à court terme, pas plus. Pour la partie qui y reste, choisissez une plateforme autorisée en France : notre liste des plateformes agréées MiCA fait le point.
2. En DeFi, dimensionnez chaque position comme si elle pouvait tomber à zéro. Ponts, protocoles récents, rendements anormalement élevés : c'est là que se concentrent les exploits, et l'assurance ne compensera pas. La diversification entre protocoles n'est pas une option.
3. Le cold storage reste la meilleure protection, à condition de bien l'acheter. Aucun des grands piratages de l'année n'a touché un hardware wallet correctement acheté et initialisé. L'affaire CryptoBilis ajoute une règle : achetez-le directement chez le fabricant, jamais sur Amazon, chez un revendeur ou d'occasion, puisque même un revendeur officiel a servi de point d'entrée à l'attaque. Notre guide cold storage vs hot wallet détaille la répartition.
4. Restez discret. La hausse des attaques physiques est la tendance la plus inquiétante de l'année. Ne parlez pas de vos montants, ni en ligne ni autour de vous, et ne faites pas reposer l'accès à l'intégralité de vos fonds sur une seule phrase que l'on pourrait vous contraindre à révéler.
5. Méfiez-vous de l'après-piratage. Le phishing pèse moins lourd en montants, mais il frappe plus souvent les particuliers, et chaque affaire médiatisée déclenche une vague de faux remboursements et de fausses « vérifications ». Notre guide pour éviter les arnaques crypto recense les scénarios les plus courants.
Passer vos cryptos long terme en cold storage Un hardware wallet acheté sur le site officiel du fabricant, initialisé par vous, reste la protection la plus solide face aux piratages de plateformes. Notre guide quelle Ledger choisir fait le tri selon votre profil.
👉 Commander sur le site officiel Ledger (-10 % + BTC offert avec le code MICA10) lien affilié · 📘 Détails de l'offre MICA10
Notre avis
Le bilan 2026 n'est pas celui d'un écosystème où tout le monde se fait voler. C'est celui d'un écosystème où les pertes sont rares mais énormes, et concentrées là où l'argent est regroupé. Pour un investisseur particulier, la conclusion est presque contre-intuitive : le plus gros risque n'est pas de commettre une erreur, c'est de confier trop de capital à un seul point de défaillance, qu'il s'agisse d'une plateforme, d'un protocole ou d'une seule seed phrase.
Chez RIFT, c'est l'un des premiers déséquilibres que nous corrigeons dans les portefeuilles que nous accompagnons : répartir les points de garde coûte peu, et protège contre une famille entière de risques d'un seul coup.
La sécurité fait partie de la structure d'un portefeuille, pas d'une option à ajouter après. La formation RIFT-360 couvre la répartition des points de garde, le risque de contrepartie et la construction d'une allocation qui tient dans la durée, avec la méthode que nos coachs appliquent sur les portefeuilles de nos membres.
FAQ
Combien a-t-on volé en crypto en 2026 ? 2,81 milliards de dollars sur 693 incidents entre le 1er janvier et le 12 octobre 2026, selon CertiK. Après déduction des 452,4 millions gelés ou restitués, les pertes nettes s'élèvent à 2,35 milliards.
Quel est le plus gros hack crypto de 2026 ? Le piratage de Bitget, le 24 septembre, avec 387,5 millions de dollars selon CertiK (351,6 millions selon la communication de Bitget). Il devance le Liquid Network (318,7 millions), KelpDAO (291,3 millions) et Drift Protocol (285,3 millions).
2026 est-elle pire que 2025 ? En montant brut, pas encore : 2025 avait enregistré 3,35 milliards de pertes. Mais 1,45 milliard venait du seul piratage de Bybit. Hors cet incident, 2026 a déjà largement dépassé l'année précédente.
Qui est derrière les grands piratages crypto ? Les groupes nord-coréens sont soupçonnés dans plusieurs des plus grosses affaires de l'année. Elliptic leur attribue plus d'un milliard de dollars de vols en 2026, sur plus de 51 incidents.
Les victimes de hacks DeFi sont-elles remboursées ? Rarement. Selon CoinGecko, les protocoles d'assurance DeFi ont versé environ 33 millions de dollars entre janvier 2025 et juillet 2026, pour 3,63 milliards de pertes sur la période.
Comment protéger ses cryptos face aux piratages ? Limitez ce que vous laissez sur les plateformes, dimensionnez les positions DeFi comme si elles pouvaient tomber à zéro, conservez le long terme sur un hardware wallet acheté directement chez le fabricant, restez discret sur vos montants et ignorez tout message non sollicité après un piratage médiatisé.
Sources : CertiK, PeckShield, Elliptic, CoinGecko, Journal du Coin.
