Septembre 2026 vient de s'achever sur un bilan catastrophique pour la sécurité crypto. Selon les données compilées par CertiK et PeckShield, les piratages crypto ont englouti 768 millions de dollars au cours du mois, faisant de septembre le mois le plus coûteux de l'année 2026. Ce chiffre marque une hausse de 462 % par rapport à août et s'inscrit comme le deuxième pire mois des trois dernières années pour les piratages crypto.
Le piratage de Bitget, survenu le 25 septembre, représente à lui seul 387 millions de dollars de pertes. Il s'agit du vol le plus important de l'année 2026. L'exchange a confirmé qu'une faille zero-day dans un service tiers a permis aux attaquants d'accéder aux portefeuilles chauds de la plateforme. Les retraits ont été suspendus immédiatement, puis rouverts par phases à partir du 28 septembre. Bitget a annoncé qu'elle couvrirait l'intégralité des pertes sur ses fonds propres.
Piratages crypto : une concentration sur les exchanges centralisés
Au-delà de Bitget, septembre a vu deux autres attaques majeures. Le piratage du wallet matériel D'CENT a drainé 9,3 millions de XRP depuis 6 160 comptes, exposant une vulabilité multi-blockchain qui affectait plusieurs types de portefeuilles. L'exchange indonésien Indodax a également subi une intrusion importante, bien que le montant exact n'ait pas été divulgué publiquement.
Ce qui frappe dans ce bilan mensuel, c'est la concentration des pertes sur des plateformes centralisées. Contrairement aux années précédentes où les protocoles DeFi étaient les cibles privilégiées, 2026 marque un retour des attaques massives contre les exchanges. Les hackers visent désormais les points de friction entre l'infrastructure traditionnelle et la blockchain : services tiers, fournisseurs de clés, passerelles de paiement.
L'implication de la Corée du Nord confirmée
Les analyses on-chain menées par plusieurs cabinets spécialisés ont identifié des circuits de blanchiment caractéristiques du groupe Lazarus, affilié à la Corée du Nord. Une partie des fonds volés lors du piratage de Bitget a transité par des mixeurs avant d'être convertie en monero sur des exchanges sans KYC. Ce schéma, observé à plusieurs reprises depuis 2022, permet au régime nord-coréen de financer ses programmes militaires et de contourner les sanctions internationales.
La sophistication des attaques a également progressé. L'exploitation d'une faille zero-day chez un fournisseur tiers montre que les hackers ne ciblent plus directement les plateformes, mais leurs prestataires de services. Cette stratégie réduit la surface d'attaque visible et complique la détection en amont.
Les solutions de garde sous pression
Ce pic de septembre remet en lumière la question de la garde des actifs numériques. Les exchanges continuent de concentrer des milliards de dollars dans des portefeuilles chauds pour assurer la liquidité des retraits, créant des cibles attrayantes pour les hackers. Les solutions de self-custody, popularisées depuis l'effondrement de FTX en 2022, offrent une alternative, mais elles transfèrent le risque sur l'utilisateur final.
En réaction, plusieurs plateformes ont annoncé des audits de sécurité renforcés et le passage à des architectures multi-signature pour les portefeuilles chauds. Coinbase a déclaré en début d'année qu'elle réduirait de 40 % les montants stockés en hot wallet d'ici la fin 2026. Binance a suivi une trajectoire similaire, mais ces ajustements prennent du temps et nécessitent des compromis sur la vitesse d'exécution des retraits.
Un record qui pourrait être battu
Avec trois mois restants en 2026, le total des pertes dues aux piratages crypto pour l'année dépasse désormais 1,26 milliard de dollars. Si le rythme de septembre se maintient, 2026 pourrait devenir l'une des années les plus coûteuses de l'histoire, derrière 2022 qui avait enregistré plus de 3 milliards de dollars de piratages crypto. Toutefois, la nature des attaques a changé : les exploitations de smart contracts ont diminué, remplacées par des compromissions d'infrastructure et des attaques sur la chaîne d'approvisionnement logicielle.
Les régulateurs européens, déjà mobilisés par MiCA, scrutent ces chiffres de près. L'AMF a rappelé en août que les plateformes agréées en France devaient maintenir des réserves de sécurité proportionnelles aux actifs sous garde. Mais la réglementation ne protège pas contre les failles zero-day. Elle impose des standards, elle ne garantit pas l'invulnérabilité.