Les investisseurs institutionnels cherchent désormais au-delà des audits de smart contract, après que des signaux de confiance traditionnels tels que les audits antérieurs et l’historique d’exploitation ont échoué à prédire quels projets crypto seraient exploités au T2 2026, d’après Hacken. Le changement fait suite à un trimestre où des clés, des signers et de l’infrastructure compromises ont représenté 88,3 % des quelque 764 millions de dollars volés, comme détaillé dans le rapport Sécurité & conformité T2 2026 de Hacken. Federico Bagiotti, directeur général du risk management chez Abraxas Capital, a déclaré que « la sécurité inadéquate par rapport à l’exposition du capital » était le signal qui conduisait le plus souvent le fonds à rejeter une position pourtant attrayante, tandis que Rajeev Bamra, responsable de la stratégie pour l’économie digitale chez Moody’s Ratings, a noté que la résilience opérationnelle était devenue « le prisme pratique » à travers lequel les institutions évaluaient la sécurité, la conformité et la gouvernance.
Le rapport T2 2026 de Hacken révèle une faible adoption du monitoring
Le rapport Sécurité & conformité T2 2026 de Hacken a suivi 1 427 projets crypto dont la capitalisation boursière dépasse 1 million de dollars. Le rapport a constaté que seulement 9 % de ces projets avaient du monitoring par un tiers, tandis que 4 % combinaient monitoring avec un bug bounty actif et un audit de sécurité. L’ensemble de données couvrait des actifs listés parmi les 50 premières bourses centralisées selon le CoinGecko Trust Score, en excluant les actifs tokenisés, les stablecoins et les tokens d’actifs du monde réel. Hacken a précisé que ses données reposaient sur des contrôles observables et divulgués publiquement, ce qui signifie que des arrangements privés pourraient ne pas être capturés.
Le rapport indique que les projets incapables de fournir une preuve continue de leur sécurité opérationnelle pourraient être exposés à un risque perçu plus élevé, à une baisse des investissements et à un accès plus difficile à l’assurance ou aux contreparties. Des clés, des signers et de l’infrastructure compromis ont représenté 88,3 % des quelque 764 millions de dollars volés au T2 2026.
La due diligence institutionnelle s’étend aux contrôles opérationnels
La due diligence institutionnelle commence à inclure les changements de set de signers, le soutien par collatéral, les dépendances à des tiers, la préparation à la réponse aux incidents, ainsi que le périmètre et la récence des audits, selon le rapport. Abraxas Capital filtre désormais explicitement les timelocks, le whitelisting des adresses de retrait, les contrôles multi-parties, ainsi que les dépendances à une seule clé ou à un seul vérificateur.
Le changement s’est aussi reflété dans la surveillance réglementaire et l’attention portée par l’industrie. Dans un rapport du 10 juillet de Cointelegraph, le directeur des opérations de BitGo, Jody Mettler, a déclaré que les clients institutionnels avaient commencé à poser des questions plus détaillées sur les contrôles d’accès des prestataires de custody, la réponse aux incidents et la continuité des activités, alors que des régulateurs européens examinaient la résilience opérationnelle au titre du Digital Operational Resilience Act (DORA).
Des projets audités exploités à cause de faiblesses d’infrastructure
Hacken a déclaré que 14 projets exploités au T2 2026 avaient déjà fait l’objet d’audits. Cependant, la majorité des pertes provenaient de domaines en dehors du périmètre des revues classiques de smart contract. Les surfaces affectées comprenaient des dispositifs de signers, des validateurs de bridge, de l’infrastructure backend, des clés admin et des contrats plus anciens restés en activité malgré leur obsolescence.
FAQ
Quel constat le rapport T2 2026 de Hacken a-t-il fait au sujet du monitoring par des tiers dans les projets crypto ?
Le rapport Sécurité & conformité T2 2026 de Hacken a constaté que seulement 9 % des 1 427 projets crypto suivis disposaient d’un monitoring par un tiers, tandis que 4 % combinaient monitoring avec un bug bounty actif et un audit de sécurité. Le rapport couvrait des projets dont la capitalisation boursière dépasse 1 million de dollars, listés sur les 50 principales bourses centralisées selon le CoinGecko Trust Score.
Pourquoi les investisseurs institutionnels cherchent-ils à dépasser les audits de smart contract ?
Les investisseurs institutionnels cherchent à dépasser les audits de smart contract parce que des signaux de confiance traditionnels, comme les audits antérieurs et l’historique d’exploitation, n’ont pas réussi à prédire quels projets crypto seraient exploités au T2 2026. Des clés, des signers et de l’infrastructure compromis ont représenté 88,3 % des quelque 764 millions de dollars volés pendant le trimestre, et 14 projets exploités avaient déjà été audités, selon Hacken.
Comment la due diligence institutionnelle pour les projets crypto a-t-elle évolué ?
La due diligence institutionnelle inclut désormais les changements de set de signers, le soutien par collatéral, les dépendances à des tiers, la préparation à la réponse aux incidents, ainsi que le périmètre et la récence des audits. Abraxas Capital filtre explicitement les timelocks, le whitelisting des adresses de retrait, les contrôles multi-parties, ainsi que les dépendances à une seule clé ou à un seul vérificateur, d’après le rapport T2 2026 de Hacken.
