Le rapport semestriel de SlowMist a documenté 182 incidents de sécurité blockchain au premier semestre 2026, soit une augmentation de 50 % par rapport à 121 incidents au premier semestre 2025, avec des pertes totales atteignant environ 956 millions de dollars. La baisse de 60 % des pertes globales par rapport à 2,37 milliards de dollars au premier semestre 2025 s'explique par l'absence d'un seul événement catastrophique plutôt que par une réduction de la fréquence ou de la sophistication des attaques. Le rapport attribue la recrudescence des incidents à une évolution vers des attaques complexes de la chaîne d'approvisionnement et des menaces pilotées par l'IA, qui ont élargi la surface d'attaque au-delà des vulnérabilités traditionnelles des contrats intelligents. La DeFi est restée le secteur le plus ciblé, représentant près de 64 % des incidents et environ 490 millions de dollars de pertes, tandis que les ponts inter-chaînes ont généré les pertes les plus élevées par incident, soit environ 346 millions de dollars pour 20 incidents. Cette tendance reflète une industrialisation des cybermenaces qui coïncide avec une convergence réglementaire mondiale sur la conformité des actifs virtuels et les cadres de lutte contre le blanchiment d'argent en Asie, en Europe et dans les Amériques.
La DeFi et les ponts inter-chaînes entraînent les pertes du premier semestre 2026
Les protocoles DeFi ont représenté près de 64 % de tous les incidents de sécurité au premier semestre 2026 et environ 490 millions de dollars de pertes, selon SlowMist. Les ponts inter-chaînes se sont révélés être la catégorie la plus dommageable financièrement, avec seulement 20 incidents générant des pertes cumulées d'environ 346 millions de dollars. L'exploit de KelpDAO en avril a été responsable de 292 millions de dollars de ce total. Les attaquants ont compromis l'infrastructure RPC de LayerZero, lancé des attaques DDoS contre des nœuds validateurs légitimes et forgé des messages inter-chaînes pour créer et extraire des actifs sans garantie. Les tokens volés ont ensuite été utilisés comme collatéral fictif sur des plateformes de prêt telles qu'Aave, amplifiant les pertes dans tout le secteur DeFi. SlowMist a attribué l'incident au groupe Lazarus de Corée du Nord.
Les attaques de la chaîne d'approvisionnement et l'IA industrialisent les menaces blockchain
L'empoisonnement de la chaîne d'approvisionnement s'est classé au troisième rang par nombre d'incidents au premier semestre 2026, mais a généré les pertes totales les plus élevées, environ 298 millions de dollars, principalement en raison du cas KelpDAO. Au-delà de cet événement unique, de nombreux incidents de la chaîne d'approvisionnement ont ciblé les dépôts de gestion de paquets, les pipelines CI/CD, les chaînes de distribution CDN et les places de marché de plugins d'agents IA, selon le rapport. Les campagnes de phishing au premier semestre 2026 ont adopté ce que SlowMist décrit comme un modèle d'"usurpation d'identité basée sur une plateforme + interaction en plusieurs étapes + injection de charge utile dynamique". Des extensions de navigateur malveillantes imitaient des outils de portefeuille légitimes, des publicités Google Search redirigeaient les utilisateurs vers des logiciels malveillants de détournement de presse-papiers, et des e-mails de spear phishing déguisés en confirmations d'audit distribuaient des charges utiles AppleScript capables d'établir un accès distant persistant. Dans plusieurs cas, les attaquants ont intégré une infrastructure de phishing dans des domaines de confiance, notamment business.google.com, pour contourner les systèmes de détection automatisés.
L'IA a été déployée sur l'ensemble du cycle de vie des attaques pour générer un contenu d'usurpation convaincant, auto-examiner le code malveillant pour éviter la détection et optimiser les scripts d'ingénierie sociale, indique le rapport. La technologie deepfake vocale et vidéo a été utilisée dans des campagnes d'ingénierie sociale ciblant des individus de grande valeur, avec des pertes documentées atteignant des millions par incident. Le sous-groupe HexagonalRodent du groupe Lazarus a été observé utilisant ChatGPT et Cursor pour créer des sites Web d'entreprise frauduleux et fabriquer des identités d'équipes de direction pour des opérations de recrutement fictif ciblant les développeurs Web3.
Les régulateurs mondiaux renforcent la conformité des actifs virtuels au premier semestre 2026
Hong Kong a accordé ses premières licences d'émetteur de stablecoin adossé à une monnaie fiduciaire en avril. Taïwan a fait passer son régime réglementaire des crypto-monnaies d'un enregistrement AML à une licence financière complète. Aux États-Unis, la mise en œuvre du GENIUS Act est passée de la législation à une proposition de réglementation, tandis que FinCEN et l'OFAC ont conjointement publié des projets de règles établissant un cadre de conformité unifié pour les émetteurs de stablecoins de paiement agréés. L'Union européenne a imposé pour la première fois une interdiction sectorielle des transactions avec les prestataires de services d'actifs cryptographiques établis en Russie.
Le rapport de SlowMist conclut que la prolifération des attaques de la chaîne d'approvisionnement, de la fraude assistée par l'IA et des organisations cybercriminelles liées à des États comme le groupe Lazarus a montré que la résilience nécessite une gouvernance systématique couvrant la surveillance des flux de fonds, l'enregistrement des VASP, la vérification d'identité et la coopération transfrontalière en matière d'exécution.
FAQ
Qu'est-ce qui a provoqué l'augmentation de 50 % des incidents de sécurité blockchain au premier semestre 2026 ?
Le rapport de SlowMist attribue cette augmentation de 50 % à une évolution vers des attaques sophistiquées de la chaîne d'approvisionnement et des menaces pilotées par l'IA, qui ont élargi la surface d'attaque au-delà des vulnérabilités traditionnelles des contrats intelligents.
Quel secteur de la blockchain a subi les pertes financières les plus élevées au premier semestre 2026 ?
Les ponts inter-chaînes ont généré les pertes les plus élevées par incident, soit environ 346 millions de dollars pour 20 incidents, l'exploit de KelpDAO en avril représentant 292 millions de dollars de ce total, selon SlowMist.
Quelles actions réglementaires Hong Kong a-t-elle prises au premier semestre 2026 ?
Hong Kong a accordé ses premières licences d'émetteur de stablecoin adossé à une monnaie fiduciaire en avril, comme documenté dans le rapport de SlowMist.
