Comment fonctionnent les exploits DeFi: schémas d'attaque, risques on-chain et que faire en cas de victime

Les protocoles DeFi ont perdu collectivement des milliards de dollars à cause d'exploits depuis 2020. Le deuxième trimestre 2026 a été le pire trimestre jamais enregistré, avec plus de 70 attaques distinctes ayant drainé environ 746 millions de dollars en seulement trois mois. La plupart des personnes touchées n'avaient aucune idée de leur exposition. Elles avaient déposé des fonds dans ce qui semblait être un protocole légitime, avaient perçu des rendements pendant des mois, puis un matin avaient trouvé leur solde à zéro. Comprendre comment ces attaques fonctionnent, comment réduire son exposition on-chain et quelles mesures concrètes prendre si un protocole que vous utilisez est exploité n'est pas un savoir optionnel pour quiconque participe à DeFi.

1. Pourquoi DeFi est particulièrement vulnérable aux exploits

La finance décentralisée repose sur trois propriétés qui la rendent à la fois puissante et dangereuse: le code open source, la composabilité et l'irréversibilité. Chaque smart contract déployé sur une blockchain publique est lisible par n'importe qui, y compris les attaquants. Les cabinets d'audit examinent le code avant le lancement, mais les audits ont une portée limitée et ne peuvent pas prédire comment les contrats interagiront une fois déployés dans un écosystème complexe où des dizaines de protocoles se composent les uns sur les autres en temps réel.

La composabilité est souvent décrite comme des "Lego monétaires" parce que les protocoles peuvent être empilés les uns sur les autres, la sortie de l'un alimentant directement l'autre. Cela crée une efficacité considérable mais aussi une surface d'attaque considérable. Une vulnérabilité dans un seul pool de liquidité peut être combinée avec des prêts flash d'un protocole de prêt distinct, en passant par un bridge, pour produire une attaque qu'aucun audit individuel n'aurait pu anticiper.

La troisième propriété est l'irréversibilité. Quand un exploit draine des fonds on-chain, il n'y a pas de rétrofacturation, pas d'équipe anti-fraude à appeler et aucune possibilité d'annuler la transaction. Le FBI a averti directement à ce sujet en août 2022, notant qu'entre janvier et mars 2022, 97% de toutes les cryptomonnaies volées provenaient de plateformes DeFi. [1] Ce même rapport a documenté 1,3 milliard de dollars volés dans DeFi au cours du seul premier trimestre de cette année.

Chainalysis a rapporté que 2,2 milliards de dollars avaient été volés sur les plateformes crypto au cours de l'ensemble de 2024. [2] Le rapport sur la criminalité crypto 2026 de TRM Labs a confirmé que les attaques d'infrastructure ciblant les clés privées et les identifiants d'administrateur représentaient 76% de la valeur totale des cryptomonnaies volées en 2025. [6]

Les sections suivantes décomposent chaque catégorie majeure d'attaque avec des exemples spécifiques, expliquent pourquoi chacune fonctionne et identifient les mesures pratiques que les utilisateurs peuvent prendre pour réduire leur exposition.

2. Attaques sur les bridges inter-chaînes: le vecteur de pertes le plus important

Les bridges inter-chaînes permettent aux utilisateurs de transférer des actifs d'une blockchain à une autre en bloquant des tokens sur la chaîne source et en frappant des tokens équivalents sur la chaîne de destination. Des milliards de dollars de liquidité se trouvent à tout moment dans les smart contracts des bridges, ce qui en fait parmi les cibles les plus précieuses de l'ensemble de l'écosystème crypto.

La surface d'attaque d'un bridge est plus large que la plupart des utilisateurs ne le réalisent. Les bridges ne reposent pas seulement sur le code des smart contracts -- ils reposent également sur des réseaux de validateurs hors chaîne, des processus de signature multi-signatures et, dans certains cas, des opérateurs centralisés qui détiennent des clés privées.

L'attaque du bridge Wormhole en février 2022 a exploité une faille de vérification des signatures. Un attaquant a trouvé un moyen de forger une signature de gardien valide, convainquant le contrat qu'un dépôt avait été effectué du côté Ethereum alors que ce n'était pas le cas. Perte totale: 320 millions de dollars. [4][11]

Le piratage du bridge Ronin en mars 2022: des hackers parrainés par l'État nord-coréen (Lazarus Group) ont compromis cinq clés privées de validateurs par le biais d'hameçonnages ciblés contre des employés de Sky Mavis. Avec cinq clés, ils ont autorisé des retraits de 173 600 Ether et 25,5 millions d'USDC. Perte totale: 625 millions de dollars. [2][6]

3. Bugs dans les smart contracts: reentrancy, erreurs logiques et failles de contrôle d'accès

Les vulnérabilités des smart contracts ne proviennent pas seulement d'erreurs évidentes, mais aussi d'interactions subtiles entre contrats, ou de l'environnement d'exécution unique de l'EVM.

La reentrancy est la vulnérabilité de smart contract la plus ancienne et la plus tristement célèbre. Elle se produit lorsqu'un contrat effectue un appel externe avant de mettre à jour son propre état interne. Le piratage du DAO de 2016 a utilisé la reentrancy pour drainer 60 millions de dollars. [1] Le protocole Penpie a été drainé de 27 millions de dollars en septembre 2024 par une faille de reentrancy.

Les erreurs logiques sont souvent plus difficiles à détecter. Qubit Finance a subi une perte de 80 millions de dollars en janvier 2022 lorsqu'une fonction acceptait un dépôt d'un token obsolète et créditait des actifs encapsulés sur la chaîne de destination malgré l'absence de dépôt réel. [4][11]

Les failles de contrôle d'accès se produisent lorsque des fonctions privilégiées ne sont pas correctement protégées ou sont protégées par une clé qui a été compromise. Le communiqué du FBI a spécifiquement cité le contrôle d'accès comme une catégorie de vulnérabilité clé. [1]

4. Manipulation d'oracles et attaques par prêt flash

Les smart contracts ne peuvent pas accéder à des données externes par eux-mêmes. Un protocole de prêt qui a besoin de connaître le cours actuel de l'Ether doit s'appuyer sur un flux de prix externe -- un "oracle". Manipulez le flux de prix, et vous pouvez manipuler le protocole.

L'attaque de manipulation d'oracle la plus courante implique la manipulation du prix au comptant sur un teneur de marché automatisé (AMM). Un attaquant peut temporairement fausser ce prix pour emprunter bien plus que prévu, drainer des garanties ou liquider des positions à des valuations manipulées.

Les prêts flash rendent la manipulation d'oracle considérablement plus puissante. Un prêt flash permet d'emprunter des dizaines ou des centaines de millions de dollars dans une seule transaction non collatéralisée. Si l'exploit échoue, toute la transaction est annulée et l'attaquant ne perd que le coût du gaz. [12][13]

Mango Markets a été drainé de 110 millions de dollars en octobre 2022. [5] Euler Finance a été drainé de 197 millions de dollars en mars 2023. [13]

5. Compromission de clés privées et de clés d'administration

De nombreux protocoles DeFi disposent de clés de mise à niveau, de clés de pause ou de clés de trésorerie détenues par un petit nombre de personnes. Quand ces clés sont compromises, l'attaquant obtient le contrôle effectif du protocole.

Chainalysis a rapporté que la compromission de clés privées était responsable de 43,8% de toutes les cryptomonnaies volées en valeur en 2024. [2] Le rapport 2026 de TRM Labs: les attaques d'infrastructure représentaient 76% de la valeur totale des cryptomonnaies volées en 2025. [6]

Le piratage du bridge Ronin: cinq des neuf clés privées de validateurs ont été volées par hameçonnage ciblé contre des employés de Sky Mavis. Les attaquants (Lazarus Group) ont passé des mois à établir de fausses relations d'offres d'emploi avant de livrer des documents piégés contenant des maliciels. [3][6]

Le piratage de Bybit en février 2025: environ 1,5 milliard de dollars ont été volés dans l'infrastructure de signature du portefeuille froid de Bybit. L'attaque a impliqué la compromission de l'interface multisig Safe, l'injection d'une transaction malveillante qui semblait légitime mais redirigé les fonds vers des adresses contrôlées par l'attaquant. [3]

6. Attaques du front-end et détournement de domaine

Les smart contracts d'un protocole DeFi peuvent être parfaitement sécurisés on-chain, et pourtant les utilisateurs peuvent toujours perdre des fonds par une attaque qui ne touche jamais le code du contrat.

BadgerDAO a subi une compromission du front-end de 120 millions de dollars en novembre 2021. Un attaquant a obtenu une clé API pour Cloudflare, injecté un script malveillant dans le JavaScript du front-end qui interceptait les transactions d'approbation de tokens et ajoutait une approbation illimitée pour une adresse contrôlée par l'attaquant. [1][9]

Détournement de domaine: en 2022, le DNS du front-end de Curve Finance a été détourné. Les utilisateurs qui visitaient le site et approuvaient des transactions envoyaient des fonds à un attaquant. [9]

7. Comment réduire votre exposition avant qu'un exploit ne survienne

Le risque DeFi ne peut pas être éliminé, mais il peut être activement géré.

Recherchez l'historique des audits avant de déposer. Les auditeurs crédibles incluent Certik, Halborn, OpenZeppelin, Trail of Bits, Peckshield et Consensys Diligence. [12]

N'accordez jamais d'approbations de tokens illimitées. Après chaque transaction, révoquez l'approbation sur revoke.cash. Le communiqué du FBI recommandait explicitement de limiter les approbations. [1]

Utilisez un portefeuille matériel pour les détentions importantes. Même si votre ordinateur est compromis par un maliciel, un portefeuille matériel affichera les détails complets de la transaction avant de demander votre approbation physique. [8]

Minimisez l'exposition aux bridges. Lorsque vous devez bridger, utilisez des bridges audités avec des ensembles de validateurs décentralisés et des timelocks. [11]

Soyez sceptique face aux rendements anormalement élevés. Les attaques de manipulation d'oracles sont plus efficaces contre les protocoles à faible liquidité. [5][12]

Renseignez-vous sur la structure de gouvernance. Vérifiez si les clés d'administration sont protégées par un multisig avec un nombre significatif de signataires et des timelocks sur les mises à niveau des contrats. Les directives 2024 du GAFI ont noté que la transparence de la gouvernance est un indicateur de risque clé. [8]

Envisagez une assurance DeFi. Des protocoles comme Nexus Mutual et InsurAce offrent une couverture pour les smart contracts. La couverture ne s'applique généralement pas aux attaques du front-end ni à la compromission de clés privées. [8]

8. Que faire immédiatement après qu'un protocole DeFi que vous utilisiez est exploité

Les exploits de protocoles se déroulent rapidement. La fenêtre entre le moment où un attaquant commence à drainer des fonds et celui où l'équipe du protocole peut mettre les contrats en pause est souvent mesurée en minutes.

Etape 1: Révoquer immédiatement toutes les approbations de tokens

Rendez-vous sur revoke.cash ou l'interface d'approbation de tokens d'Etherscan et révoquez chaque approbation active liée au protocole affecté. [1]

Etape 2: Déplacer les actifs restants vers un stockage à froid

Transférez tous les actifs qui n'ont pas encore été drainés vers un portefeuille matériel qui n'a jamais interagi avec le protocole exploité. [3]

Etape 3: Documenter tout immédiatement

Rassemblez chaque hash de transaction, adresses de contrats, adresses de portefeuilles, montants en dollars au moment de la perte et captures d'écran. Le rapport 2023 sur la fraude aux cryptomonnaies du FBI souligne que la documentation précoce améliore considérablement les perspectives de récupération. [7]

Etape 4: Déposer un rapport auprès des forces de l'ordre

Soumettez une plainte au Centre de plaintes pour les crimes sur Internet du FBI sur ic3.gov. Si vous êtes en dehors des États-Unis, déposez une plainte auprès de votre autorité nationale de lutte contre la cybercriminalité. Les États membres du GAFI sont tenus d'avoir des mécanismes de plainte pour les fraudes aux actifs virtuels. [7][8]

Etape 5: Notifier les exchanges centralisés

Contactez les exchanges où les adresses de l'attaquant pourraient avoir déposé des fonds. Fournissez les hashes de transactions montrant le flux des fonds volés. [7]

Etape 6: Faire appel à la criminalistique blockchain si les pertes sont significatives

Pour des pertes supérieures à environ 50 000 dollars, faire appel rapidement à une entreprise de criminalistique blockchain est déterminant. Les fonds volés sont activement blanchis en l'espace de quelques heures. [3][16]

Etape 7: Suivre la réponse officielle du protocole

De nombreux grands exploits DeFi ont abouti à une récupération partielle grâce à des négociations avec des white-hats, des paiements du fonds d'assurance ou des compensations approuvées par la gouvernance. [7][8]