La société de cybersécurité onchain Blockaid a vérifié 212 exploits sur des blockchains au cours du premier semestre H1 2026, pour un total de 1,1 milliard de dollars de pertes. Le nombre d’incidents représentait 3,4 fois le nombre d’exploits à seuil élevé recensés sur l’ensemble de 2025. Des acteurs liés à la DPRK, principalement le sous-groupe TraderTraitor du groupe Lazarus de Corée du Nord, ont causé environ 609 millions de dollars de dommages — soit 55 % du total sur le semestre. La compromission de clés privées a généré la majorité des pertes, avec près de 789 millions de dollars, soit 74 % de tous les dommages du S1, sur une dizaine d’incidents environ. L’escalade traduit un changement structurel du paysage des menaces : des campagnes d’ingénierie sociale visant les employés de protocoles, dont Drift et KelpDAO, pour prendre le contrôle des signataires de multisig et de l’infrastructure de vérification des bridges.
Quatre incidents représentent 64 % des pertes du S1 2026
Les quatre plus importants incidents ont, à eux seuls, représenté environ 64 % de toutes les pertes du S1. KelpDAO a enregistré 292 millions de dollars de pertes, Drift Protocol 285 millions, Resolv 80 millions et CowSwap 50,4 millions. Deux de ces incidents — KelpDAO et Drift — sont directement attribués à TraderTraitor, un sous-groupe du groupe Lazarus de Corée du Nord. En ajoutant à cela la faille séparément attribuée à Humanity Protocol, estimée à 32 millions, les acteurs liés à la DPRK ont été responsables d’environ 609 millions de dollars. Les deux attaques de premier plan ont commencé par de l’ingénierie sociale : des opérateurs DPRK ont ciblé des employés de Drift et de KelpDAO via des manipulations de type LinkedIn, pour finalement obtenir le contrôle des signataires de multisig et de l’infrastructure de vérification des bridges. La faille de KelpDAO exploitait une configuration à un seul DVN dans le bridge LayerZero afin de forger une attestation cross-chain et de siphonner 292 millions de dollars depuis un escrow Ethereum.
Les compromissions de clés privées entraînent 74 % des dommages totaux
Les clés privées compromises sont apparues comme le principal moteur de pertes, de loin, responsables de près de 789 millions de dollars — environ 74 % de tous les dommages du S1 — sur une dizaine d’incidents environ. Les exploits de code, bien moins coûteux au total (203 millions de dollars), étaient dominants en termes de nombre d’incidents, représentant près de 80 % de tous les cas. Le mint non adossé de 80 millions de dollars de Resolv a été le plus important dans la catégorie des exploits de code. Les résultats de récupération ont montré une asymétrie marquée : les exploits de code pouvaient parfois entraîner une récupération partielle des fonds via des fonctions de pause d’urgence ou une coordination onchain, tandis que les compromissions de clés donnaient lieu à une récupération quasi nulle, les actifs volés étant généralement acheminés via des mixers dans les heures qui suivaient.
Contrats legacy et trois vecteurs d’attaque inédits élargissent la surface de menace
Un schéma récurrent concernait des contrats legacy ou dépréciés, vers lesquels les équipes avaient migré, mais qui n’avaient pas été entièrement désactivés. Cinq de ces incidents en mai et juin — dont deux attaques distinctes sur le rollup Aztec Connect et un exploit de validation sur l’AMM V3 dépréciée de Raydium — ont totalisé environ 5,7 millions de dollars. Trois vecteurs d’attaque inédits ont fait leur première apparition au S1. La délégation de portefeuille EIP-7702, introduite par une nouvelle norme Ethereum, a été exploitée dans quatre incidents. Une attaque par injection d’invite IA contre l’agent Bankr en mai — la première du genre — a extrait 216 000 dollars en trompant un système autonome pour l’autoriser à effectuer une transaction non autorisée. L’infrastructure de prover de bridge off-chain a aussi été nouvellement ciblée : KelpDAO et Taiko ont tous deux été compromis via des preuves forgées acceptées par les chaînes de destination.
Les résultats de récupération montrent une forte asymétrie selon le type d’attaque
La meilleure capacité de containment de la période a eu lieu sur Stellar : grâce au clustering en temps réel des portefeuilles par Blockaid, des validateurs ont pu mettre en quarantaine 7,3 millions de dollars — 73 % d’une fuite de 10,2 millions de dollars liée à la manipulation d’un oracle — en quelques minutes après l’attaque. Les exploits de code pouvaient parfois permettre une récupération partielle des fonds via des fonctions de pause d’urgence ou une coordination onchain. En revanche, les compromissions de clés ont entraîné une récupération quasi nulle : les actifs volés étaient généralement routés via des mixers dans les heures qui suivaient.
FAQ
Que s’est-il passé au cours du premier semestre 2026 en matière de cybersécurité blockchain ?
La société de cybersécurité onchain Blockaid a vérifié 212 exploits sur des blockchains au cours du premier semestre H1 2026, pour un total de 1,1 milliard de dollars de pertes. Le nombre d’incidents représentait 3,4 fois le nombre d’exploits à seuil élevé recensés sur l’ensemble de 2025.
Pourquoi les acteurs liés à la DPRK ont-ils causé la majeure partie des dommages au S1 2026 ?
Les acteurs liés à la DPRK, principalement le sous-groupe TraderTraitor du groupe Lazarus de Corée du Nord, ont causé environ 609 millions de dollars de dommages — soit 55 % du total sur le semestre. Les deux attaques de premier plan sur KelpDAO et Drift ont commencé par des campagnes d’ingénierie sociale ciblant des employés via des manipulations de type LinkedIn, pour finalement obtenir le contrôle des signataires de multisig et de l’infrastructure de vérification des bridges.
Quels nouveaux vecteurs d’attaque ont émergé au S1 2026 ?
Trois vecteurs d’attaque inédits ont fait leur première apparition au S1 2026 : la délégation de portefeuille EIP-7702 a été exploitée dans quatre incidents, une attaque par injection d’invite IA contre l’agent Bankr a extrait 216 000 dollars, et l’infrastructure de prover de bridge off-chain a été ciblée, avec des compromissions de KelpDAO et Taiko via des preuves forgées acceptées par les chaînes de destination.
