Le troisième trimestre 2026 restera comme l’un des plus coûteux de l’histoire récente de la sécurité crypto. Selon les données compilées par la société d’audit CertiK, les pertes liées aux piratages, exploits et fraudes ont atteint 1,26 milliard de dollars entre juillet et septembre, réparties sur 247 incidents. Un bond de 53,9 % par rapport au deuxième trimestre, qui s’était soldé par 819,4 millions de dollars de pertes pour 219 incidents.
Plan de l'article
Deux méga-piratages concentrent plus de la moitié des pertes #
Le trimestre a basculé en septembre, avec deux attaques d’une ampleur rare. La première frappe la plateforme d’échange Bitget : détecté le 24 septembre, le piratage porte sur 387,5 millions de dollars, soit à lui seul environ 31 % des pertes du trimestre. C’est le plus gros incident recensé par CertiK sur la période, et il a contraint la plateforme à suspendre temporairement les retraits.
La seconde attaque vise Liquid Network, le 6 septembre, pour 319 millions de dollars. À eux deux, ces incidents dépassent 700 millions de dollars, comme le détaille Cointelegraph dans son bilan du trimestre publié le 1er octobre. Suivent dans ce classement sombre l’exploit visant Tectonic, à 120 millions de dollars, et le vol lié à Coldcard, chiffré à 112,7 millions.
À lire USDT : l’ESMA demande aux plateformes MiCA de couper les stablecoins non conformes
Septembre, mois noir de la sécurité crypto #
À lui seul, septembre concentre environ 769 millions de dollars de pertes pour 99 incidents. Les exploits de protocoles et de plateformes dominent très largement : 58 incidents de ce type représentent 734 millions de dollars, soit près de 96 % des pertes du mois.
Une nuance importante tempère toutefois le tableau : tout n’est pas définitivement perdu. Sur le seul mois de septembre, environ 273 millions de dollars ont été gelés par les plateformes ou restitués par les attaquants, ce qui ramène les pertes ajustées du mois à 495,3 millions de dollars. Les négociations entre victimes et pirates, souvent assorties de primes dites « white hat », ainsi que le gel rapide des fonds sur les plateformes centralisées, deviennent un levier de récupération à part entière.
Ce que révèle la méthodologie de CertiK #
CertiK publie chaque trimestre son rapport Hack3d, dont les infographies du troisième trimestre sont disponibles sur le site de la société. La firme y distingue les pertes brutes, constatées au moment de l’attaque, des pertes ajustées après restitution ou gel des fonds. Cette distinction explique pourquoi les bilans trimestriels varient d’un cabinet de sécurité à l’autre : chacun applique ses propres critères d’inclusion et de valorisation des actifs volés.
Les plateformes centralisées redeviennent des cibles
La leçon du trimestre tient en une phrase : après plusieurs trimestres dominés par les failles de protocoles décentralisés, les grandes plateformes centralisées redeviennent la cible privilégiée des attaquants. Les montants en jeu y sont plus élevés, et une seule compromission d’infrastructure suffit à vider des portefeuilles chauds entiers. Le piratage de Bitget en est l’illustration la plus brutale depuis celui de Bybit début 2025.
À lire Bitcoin à mi-octobre : un Uptober sous pression entre la Fed et les sorties d’ETF
Quelles conséquences pour les investisseurs ? #
Pour les détenteurs de cryptomonnaies, ce bilan trimestriel rappelle quelques réflexes de base. Limiter les montants laissés en dépôt sur les plateformes d’échange reste la première protection : un portefeuille autohébergé, matériel de préférence, met les fonds hors de portée d’une compromission de plateforme. La vigilance vaut aussi pour le matériel lui-même, comme le montre l’incident Coldcard du trimestre.
Il faut également surveiller la communication des plateformes en cas d’incident : suspension des retraits, annonce de fonds de compensation, calendrier de reprise. Dans le cas de Bitget, la suspension des retraits a été immédiate après la détection du 24 septembre. Enfin, la diversification des lieux de garde, trop souvent négligée, limite mécaniquement l’exposition à un incident unique.
Le quatrième trimestre dira si la tendance se confirme. Avec déjà plus de 2 milliards de dollars de pertes cumulées depuis le début de l’année selon les décomptes du secteur, 2026 s’annonce comme une année charnière pour la sécurité des infrastructures crypto, au moment même où les flux institutionnels n’ont jamais été aussi importants.
