The ack3 H1 2026 DeFi Incident Dataset: Audit Scope Across 135 Security Incidents
Ce document analyse l'ensemble de données des incidents DeFi du premier semestre 2026 pour révéler que 67,6 % des incidents de sécurité et 94,4 % des pertes attribuées sont survenus via des chemins d'attaque situés en dehors du périmètre des audits de contrats intelligents identifiés avant l'incident, démontrant ainsi une distinction critique entre l'historique d'audit au niveau du projet et la couverture spécifique du chemin de l'incident.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez le monde numérique de l'argent, connu sous le nom de Finance Décentralisée ou DeFi, comme une immense ville bouillonnante construite entièrement à partir de machines invisibles et autonomes. Dans cette ville, il n'y a pas de banques avec des directeurs ; à la place, il y a des « smart contracts » (contrats intelligents) — des programmes informatiques complexes qui déplacent l'argent automatiquement selon des règles strictes. Parce que ces machines détiennent des milliards de dollars, les gens embauchent des « auditeurs », qui sont comme des inspecteurs de bâtiments de haute technologie, pour vérifier les plans avant que les machines ne soient mises en marche. La grande question que tout le monde se pose est : « Si un bâtiment possède le tampon d'approbation d'un inspecteur, est-il sûr ? » Ce document plonge précisément dans cette question, mais avec une nuance. Il suggère que posséder un tampon ne signifie pas que tout le bâtiment est sûr ; cela pourrait simplement signifier que l'inspecteur a regardé la porte d'entrée pendant que le voleur s'introduisait par la fenêtre arrière. Les auteurs tentent de comprendre à quelle fréquence ces « tampons » couvrent réellement le chemin emprunté par un pirate pour voler l'argent.
Le grand décalage de l'« audit » : Quand les inspecteurs ratent le vrai danger
Au cours du premier semestre 2026, une équipe de cybersécurité appelée ack3 a décidé de jouer au détective. Ils ont rassemblé une liste massive de 135 catastrophes de sécurité dans la ville de la DeFi, où des pirates ont réussi à voler la somme stupéfiante de 939,86 millions de dollars. C'est presque un milliard de dollars qui s'est volatilisé dans l'éther numérique ! L'équipe voulait résoudre un mystère : lorsque ces catastrophes sont survenues, les projets avaient-ils été « audités » (inspectés) auparavant ? Et si c'était le cas, les auditeurs avaient-ils réellement examiné la partie spécifique du système que le pirate a brisée ?
La réponse qu'ils ont trouvée ressemble un peu à la vérification d'une voiture pour la sécurité. Imaginez que vous engagiez un mécanicien pour inspecter une voiture. Il vérifie le moteur, les freins et les pneus, et lui donne un autocollant « Sûr pour la conduite ». Mais ensuite, la voiture est volée parce que le voleur a forcé la serrure de la boîte à gants — une partie que le mécanicien n'a jamais examinée. La voiture a été « inspectée », mais la partie spécifique qui a échoué était en dehors du périmètre de l'inspection.
Les chercheurs ont examiné 68 de ces 135 catastrophes pour lesquelles ils ont pu trouver les rapports d'inspection originaux. Voici la partie choquante : dans 46 de ces cas (soit 67,6 % des projets inspectés), le pirate n'a pas brisé la partie que les auditeurs avaient vérifiée. Il a brisé tout autre chose ! Peut-être ont-ils piraté le serveur qui fait fonctionner le site web, volé un mot de passe sur un ordinateur cloud, ou trompé un « bridge » (pont) qui connecte deux mondes numériques différents. Ce sont tous des éléments qui étaient en dehors du périmètre de l'audit.
Lorsque l'on regarde l'argent perdu, le tableau devient encore plus dramatique. Les catastrophes « hors périmètre » ont représenté 94,4 % de l'argent total perdu dans ce groupe. Cela signifie que presque tout l'argent volé provenait de projets où les auditeurs avaient examiné le mauvais côté de la machine.
Pour s'assurer qu'il ne s'agissait pas simplement d'un coup de chance causé par deux vols massifs, les chercheurs ont utilisé une petite astuce mathématique. Ils ont retiré les deux plus gros vols (l'un était de 292 millions de dollars et l'autre de 285 millions) et ont examiné le reste. Même sans ces géants, les catastrophes « hors périmètre » représentaient toujours 72,1 % des pertes restantes. Le schéma se confirmait : les auditeurs regardaient souvent la mauvaise chose.
Mais qu'en est-il des 20 incidents où le pirate a bien brisé la partie que les auditeurs avaient vérifiée ? Les chercheurs ont découvert que pour ces cas, l'« inspection » était souvent assez ancienne. Le temps moyen entre l'audit et le piratage était de 1-18 mois. Dans le monde de la technologie, c'est comme si un architecte vérifiait un plan en 2024, mais que le bâtiment n'est terminé qu'en 2026, et qu'entre-temps, les constructeurs ont changé le câblage, ajouté de nouvelles pièces et remplacé les portes. L'autocollant était toujours là, mais le bâtiment avait changé.
Le document a également examiné ce qui a été piraté. La catégorie la plus importante était « autres protocoles », ce qui est un terme générique pour les systèmes étranges et complexes qui ne rentrent pas dans des cases simples comme « prêt » ou « bourses d'échange ». Ces systèmes complexes ont perdu le plus d'argent, totalisant 392,86 millions de dollars. Les ponts (qui déplacent l'argent entre différents réseaux numériques) et les bourses de contrats à terme perpétuels étaient également des cibles majeures.
Alors, quel est le principal enseignement ? Les auteurs ne disent pas que les audits sont inutiles. Ils disent que l'étiquette « Audité » est souvent traitée comme un bouclier magique qui couvre l'ensemble du projet, alors qu'en réalité, c'est plus comme un reçu spécifique pour un travail spécifique effectué à un moment donné. Si un projet déclare : « Nous avons été audités », cela ne signifie pas que tout le système est sûr ; cela signifie simplement qu'une certaine partie a été vérifiée à un moment donné.
Les chercheurs suggèrent que nous devons cesser de considérer l'étiquette « Audité » comme une garantie. Au lieu de cela, nous devons demander : « Ont-ils vérifié le code exact qui a été piraté ? » et « Il y a combien de temps que cette vérification a été faite ? ». Car dans la ville de la DeFi qui évolue rapidement, une vérification de sécurité datant d'un an peut ne pas vous protéger d'un nouveau type de voleur aujourd'hui. La leçon est claire : ce n'est pas parce que l'inspecteur a signé le papier que toute la maison est à l'abri des cambrioleurs.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.