2026L'année en brèches

Un attaquant a vidé 1 404 portefeuilles Qubic à semences prévisibles, emportant ~2,94 billions de QU (~1,4 M$) avant l'arrêt de la chaîne par les validateurs.

Un attaquant a émis 10 millions de CYS non garantis sur BNB Chain via le pont de Cysic et les a vendus pour ~727 000 $ en ETH avant la mise sur liste noire.

Une faille de validation dans la mise à jour Ironwood de Pirate Chain a permis à un attaquant de frapper environ 39,8 millions d'ARRR — près de 20 % de l'offre — et de les cacher dans le pool blindé.

Une faille comptable dans les contrats partagés Vesting V2 d'UNCX Network a permis de siphonner environ 1,49 million de dollars de tokens verrouillés sur quatre chaînes.

Une intrusion sur un serveur a vidé les portefeuilles chauds du casino crypto Gamdom sur plusieurs chaînes pour environ 4,2 millions de dollars lors d'une compromission présumée de clés.

Un attaquant a frappé 19 millions de THEO non adossés sur Base via la route cross-chain Hyperlane d'Autheo et les a échangés contre environ 700 ETH, faisant chuter le jeton d'environ 92 %.

Un trader a manipulé le prix de référence de l'ETH sur Hyperliquid et raflé environ 1,28 million de dollars du pool USDC commun de Papertrade le jour du lancement.

Environ 86 millions de dollars ont été dérobés à des utilisateurs ayant acheté des appareils Ledger au revendeur CryptoBilis, via une attaque présumée de la chaîne d'approvisionnement.

Un keeper ETH-A dormant de MakerDAO a perdu 200 WETH (~538 000 $) : un attaquant a exploité une fonction de retrait non protégée pour drainer des garanties bloquées depuis le Black Thursday 2020.

Un attaquant a inscrit un contrat sur la liste blanche d'un coffre non identifié sur Base et a emprunté contre sa position Aave V3, drainant environ 1 783 wstETH (6 M USD).

Une faille comptable dans l'unlock partagé du hook Uniswap v4 de GoldPesa a laissé un attaquant compenser une dette fantôme USDC contre le retrait de rééquilibrage et siphonner ~114 900 USD sur Base.

Une faille d'authentification dans le module Safe tiers FlashLoopAdapter a permis à un attaquant de falsifier une Safe et de dérober environ 305 000 dollars dans deux portefeuilles Ethereum.

Un attaquant a exploité un bug du système de dépôts et retraits inter-chaînes Omni de NEAR Intents pour dérober environ 3,8 millions de dollars en USDT depuis un hot wallet sur BNB Chain.

Des escrocs ont monté un faux Layer 2 GIWA avec le véritable chain ID et ont drainé environ 2 millions de dollars en ETH de 1 335 portefeuilles via un faux pont.

Des attaquants ont compromis le backend des portefeuilles de Bitget pour falsifier des retraits et drainer environ 387,5 M$ sur huit blockchains, le plus grand vol crypto de 2026.

Des attaquants ont drainé environ 7 millions de dollars des hot wallets du casino crypto Duelbits sur cinq chaînes, lors d'une compromission de clé privée présumée.

Des attaquants ont abusé d'une faille du Payment Processor de Limit Break, avec des approbations périmées de Magic Eden, pour voler jetons et NFT d'au moins 2,8 millions de dollars.

Un attaquant a exploité le contrat rollup de Payy Network sur Ethereum via une transaction verifyRollup malveillante, drainant environ 1,83 million de dollars en USDC.

Un attaquant a exploité une faille de validation des blocs de Meter pour frapper des MTRG enveloppés non adossés via Meter Passport et en revendre environ 2,3 millions de dollars sur PancakeSwap.

Un attaquant a acheté du pouvoir de vote pour faire passer une proposition de gouvernance malveillante sur Neutron et drainer environ 9,4 millions de dollars de dix contrats Astroport et Drop.

Une clé de signature du pont compromise a permis de vider des FET et de frapper des AGIX, NTX et WMTx sur les contrats Ethereum de l'ASI Alliance — environ 16,77 millions de dollars en tokens.

Un attaquant a gonflé NSTR d'environ 8 000x par wash trading, puis emprunté près de 3,5 millions de dollars contre la garantie surévaluée sur Nostra, sur Starknet.

Des phrases de récupération compromises ont permis de vider environ 11,7 millions de XRP (près de 18 M$) de plus de 6 600 comptes de l'App Wallet D'CENT sur cinq chaînes.

Un attaquant a détourné la voie de règlement Tron de Chainflip en ajoutant un mémo à un dépôt déjà signé pour déclencher des paiements en double et siphonner 736 442 USDT.

Un attaquant a exploité le contrat BridgeV2 de Symbiosis pour frapper ~46,1 milliards de jetons de Bitcoin synthétique non adossés et en a monétisé une partie pour ~0,77 M$.

Un attaquant a exploité une faille de double dépense dans le pont Bitcoin de Nomic pour frapper environ 39,84 nBTC non adossés, laissant près de 36 % du Bitcoin allié d'Osmosis sans réserves.

Une faille de cache de range-proof dans Elements a permis d'émettre ~4 000 L-BTC non adossés, convertis en près de 319 millions de dollars de bitcoin réel.

Un attaquant a détourné une fonction d'enregistrement ouverte et un flash loan Balancer pour drainer 9,25 ETH (environ 23 000 dollars) du RedSonic Vault de Reddio sur Ethereum.

Une conversion d'entier non vérifiée dans le contrat V1 Escrow obsolète de Notional Finance a permis à un attaquant de dérober environ 1,7 million de dollars en USDC et DAI sur Ethereum.

Une faille de l'appli XRPH Wallet de XRP Healthcare a exposé les phrases secrètes des utilisateurs ; un attaquant a vidé 4 011 portefeuilles d'environ 452 000 dollars en XRP et XRPH sur le XRP Ledger.

Un attaquant a abusé des marchés d'options binaires sans permission d'Injective et d'une collision d'ID de marché pour dérober environ 4,9 millions de dollars avant l'arrêt de la chaîne.

Un attaquant a gonflé 100 fois le token TONIC de Tectonic pour emprunter ~74 M$ au protocole de prêt de Cronos ; une réinitialisation de la chaîne a limité la perte à ~6 M$.

Un attaquant a gonflé le prix du token illiquide MAMO pour emprunter des actifs réels sur les marchés de prêt de Moonwell sur Base, dérobant environ 8,7 millions de dollars.

Un attaquant a dépensé environ 951 dollars pour une part de contrôle du jeton de gouvernance peu échangé de Term Labs et a fait sortir environ 8,5 millions de dollars de ses vaults par un vote.

Un attaquant a fourni au routeur d'Allbridge sur Base un faux message CCTP de Circle et, via un flash loan Aave, a dérobé environ 190 000 dollars en USDC.

Un attaquant a enchaîné six bugs dans la logique de MAYAChain pour fabriquer une subvention en CACAO et dérober environ 1,7 million de dollars en Bitcoin et autres actifs à Maya Protocol.

Un attaquant a exploité une faille de production de blocs de Harmony pour frapper ~4 milliards de ONE non autorisés (~3,2 M USD), déversés sur les exchanges.

Une baleine crypto anonyme a perdu environ 25,6 millions de dollars lors d'un siphonnage par phishing sur Ethereum — le même portefeuille qui avait déjà été hameçonné pour environ 24 millions en 2023.

Des attaquants ont drainé environ 7,9 M$ en USDT et ETH du processeur de paiement crypto Coinsbuy sur Tron et Ethereum lors d'une compromission coordonnée de clés de hot wallet.

Un flag du firmware Coldcard de 2021 a désactivé le RNG matériel et rendu les seeds forçables hors ligne. Les attaquants ont drainé ~1 816 BTC (~116 M$).

Un peu plus de deux mois après un piratage en mai, le pont Verus-Ethereum a de nouveau été drainé d'environ 7,54 M$ via le même chemin de vérification d'importation non corrigé.

Des attaquants ont piégé par ingénierie sociale un développeur d'AFX Trade, saisi 5 des 7 clés de validateurs du pont et drainé 24,15 M$ en USDC.

Un attaquant a saisi l'autorité de mise à niveau du contrat de staking de B² Network sur BNB Chain et drainé 8,591 M de jetons B2 (~3,86 M$), échangés contre ~1 128 ETH.

Un flash loan a faussé le ratio du pool de stablecoins d'Allbridge Core sur Solana, permettant à l'attaquant de retirer de la liquidité à des taux manipulés pour environ 1,65 M$.

La bridge Across Protocol a été attaquée sur Solana ; fonds des utilisateurs déclarés en sécurité, seuls des fonds d'exploitation de Risk Labs potentiellement touchés, aucun montant divulgué.

Un attaquant a drainé environ 1,34 M$ en USDC du vault CLS de Cascade, un protocole de perpétuels soutenu par Polychain sur Arbitrum.

Un attaquant a drainé environ 580 000 dollars en USDC des pools de prêt de DeFiTuna sur Solana en exploitant sa logique de prêt, laissant le pool USDC en déficit.

Un attaquant a détourné le flux de prix d'Ostium avec des prix d'oracle antidatés pour drainer 23,75 M$ confirmés du vault OLP sur Arbitrum.

Un attaquant a manipulé le prix du jeton SAUCE via un oracle tiers Supra défaillant et drainé environ 9 millions de dollars de Bonzo Lend, le plus grand protocole de prêt de Hedera.

Coinspect a révélé « Ill Bloom », une faille de faible aléa dans la génération des phrases de récupération de certains portefeuilles, ayant permis de dérober plus de 5 millions de dollars.

Un attaquant a dépensé environ 4 M$ pour acheter discrètement des BONK et capter le vote de BonkDAO, puis a fait passer une proposition Realms malveillante qui a drainé près de 20 M$ de la trésorerie.

Un attaquant muni d'un flash loan a manipulé la comptabilité des parts du vault USDC Lazy Summer de Summer.fi, rachetant des actifs gonflés pour drainer environ 6 millions de dollars sur Ethereum.

Un attaquant a drainé environ 820 000 dollars en USDC de Hinkal — presque toute sa TVL multi-chaînes — via des dépôts 'proofless' non vérifiés, puis les a blanchis via Tornado Cash et THORChain.

Un attaquant via flash loan a gonflé ~78x le taux de change interne du wGOOGLx sur Edel Finance, empruntant contre une garantie fictive et laissant ~403 000 dollars de créance douteuse.

Un prestataire tiers compromis a injecté un script malveillant dans le frontend de Polymarket, drainant environ 2,94 M$ de PUSD des portefeuilles des utilisateurs via du phishing.

Un aléa prévisible dans le logiciel de portefeuilles Cardano de SecondFi a permis de drainer environ 2,4 M USD en ADA de 178 portefeuilles, avec jusqu'à 20 M USD de plus en jeu.

Une clé de signature SGX divulguée dans le GitHub public de Taiko a permis de forger des preuves de bridge et de drainer environ 1,7 M$ du L1 Bridge et de l'ERC20Vault sur Ethereum.

Une faille de burn d'OLPC a créé un décalage de réserves sur un pool PancakeSwap V2 ; l'attaquant a racheté le LABUBU à prix faussé et drainé environ 1,1 M$.

Un honeypot counter-MEV a piégé le bot de sandwich le plus actif d'Ethereum, jaredfromsubway.eth, l'amenant à approuver 66 contrats de faux tokens, drainant environ 7,5 M$ en WETH, USDC et USDT.

Un attaquant a émis un jeton EVIL sans valeur pour fausser la comptabilité des pools de liquidité concentrée de mySwap sur Starknet et a drainé environ 305 000 $ de fonds LP résiduels.

Une faille dans la logique des transferts IBC a permis de siphonner environ 600 000 $ d'actifs blindés du MASP de Namada, masqué par un indexeur obsolète.

Un transferFrom de valeur nulle a contourné l'allowance et déclenché un mint de récompense non autorisé vers la paire PancakeSwap, drainant environ 378 000 $ de Little Boy Plus.

Un attaquant a drainé environ 2,16 M$ du Private Rollup Bridge obsolète d'Aztec via un escapeHatch non protégé et des données de preuve falsifiées — deuxième hack d'Aztec en une semaine.

Un return manquant dans la fonction _transfer du token DIP a permis à un attaquant de désynchroniser ses réserves PancakeSwap via skim/sync et de drainer environ 111 000 $ en USDC.

Un bug d'arrondi dans un vault Thetanuts obsolète a permis de frapper des tokens d'option gratuitement et de drainer environ 2,1 M$ sur Ethereum ; les white-hats ont récupéré près de 2 M$.

Un attaquant a drainé environ 2,1 M$ du pont obsolète Aztec Connect en exploitant une validation de preuve incomplète pour retirer des soldes non couverts de contrats immuables.

Un attaquant a drainé environ 1,34 M$ de cinq pools AMM V3 inactifs de Raydium sur Solana en frappant un faux token LP qui a contourné les contrôles de retrait du programme obsolète.

Un contrat de pont défaillant a permis de forger des paquets IBC et de frapper des saTokens sans contrepartie, drainant environ 4,67 M$ d'actifs Axelar.

Une clé compromise de la Humanity Foundation a permis de vider des wallets et de frapper 100 M de tokens H sur BNB Chain, dérobant environ 32 M$ et faisant chuter $H de près de 90 %.

Un attaquant majoritaire en TOP a exécuté une proposition Aragon en une seule transaction, émis ~10 milliards de jetons et drainé 944 WETH d'un pool Balancer V1.

Une faille de validation de preuve dans le pont cross-chain de Syscoin a permis de frapper environ 5 milliards de SYS — plus de cinq fois l'offre — pour près de 10 M$.

Une faille de vérification de signature du Zodiac Delay Module a permis de contourner le délai de Gnosis Pay et de drainer environ 1,5 million de dollars de 5 281 Safes ; Gnosis a remboursé 100 %.

Un attaquant contrôlant les droits de mint a créé 99 millions de tokens TSR sur BNB Chain et les a liquidés pour environ 2,5 millions de dollars, faisant chuter le token de près de 99%.

Un attaquant a drainé environ 480 000 USD du vault afiUSD d'AFI Protocol sur Ethereum et a blanchi les fonds via Tornado Cash ; la cause racine n'a pas été divulguée.

Un attaquant a soumis de fausses VAA de gardiens au TokenBridge d'Alephium (un fork de Wormhole), vidant environ 815 000 dollars d'actifs en garde depuis Ethereum et BNB Chain en sept minutes environ.

Gravity Bridge, le pont cross-chain Cosmos-Ethereum, a été vidé d'environ 5,4 millions de dollars après la compromission apparente des clés de signature de ses validateurs.

Un attaquant contrôlant un ancien verrou de liquidité DxSale sur BNB Chain a vidé environ 7,3 M$ de BNB de plus de 1 400 pools verrouillés, sur fond de soupçons d'implication interne.

Une faille de contrôle d'accès (confused deputy) dans le module tiers SquidRouterModule a permis de drainer ~3,8 M$ de 88 portefeuilles Gnosis Safe sur Ethereum, Base et Arbitrum.

Compromission de clé admin sur Echo Protocol : 1 000 eBTC non backés (~76,7 M$ nominaux) mintés ; perte réelle ~821 K$ via Tornado Cash.

Le pont Verus-Ethereum a payé 11,58 M$ après un export Verus de seulement 0,02 VRSC — aucune vérification de liaison de valeur source/destination.

~10,8 M$ drainés des coffres Asgard de THORChain sur 9 chaînes via une faille présumée GG20 (TSS) exploitée par un opérateur de nœud malveillant.

L'agrégateur cross-chain Transit Finance a perdu ~1,88 M$ en DAI le 13 mai 2026 — un second incident à plusieurs millions après la brèche d'approbation proxy d'octobre 2022.

Les coffres perp de Wasabi sur Ethereum, Base, Berachain et Blast ont perdu 5 M$ : un EOA deployer compromis avec ADMIN_ROLE unique a permis des upgrades UUPS.

Les coffres Sui de Volo ont perdu 3,5 M$ après compromission de clé admin par ingénierie sociale. L'équipe a gelé 500 K$ en 30 min et bloqué 2,1 M$ WBTC.

292 M$ de rsETH non backé minté après exploitation du setup LayerZero 1-sur-1 DVN de KelpDAO ; le plus grand hack DeFi 2026, TVL en chute de 13 Md$.

Rhea Finance sur NEAR a perdu 18,4 M$ après une préparation de deux jours avec faux jetons, 423 wallets et 8 pools Ref exploitant une faille de slippage.

1 Md de DOT bridgés mintés sur Hyperbridge après une vérification de bornes manquante dans VerifyProof ; perte réalisée ~2,5 M$.

Des ingénieurs sociaux de DPRK ont piégé le Security Council de Drift en blind-signant des transactions à nonce durable, drainant 285 M$ sur Solana.

Resolv Labs a perdu 25 M$ après compromission de ses clés AWS KMS ; un dépôt de 100 K$ USDC a créé 50 M USR et dépeggé le stablecoin de 74% en 17 minutes.

Le vault BRO de Solv a perdu 2,73 M$ : un bug double-mint ERC-3525 a transformé 135 BRO en ~567M BRO en 22 dépôts, puis échangés contre 38 SolvBTC.

Un utilisateur Venus Protocol a été phishé pour déléguer son compte, perdant ~3,7 M$ de sa position. Les contrats Venus n'ont jamais été compromis.

4,3 M$ drainés du pont ioTube d'IoTeX via une compromission de clé validateur ; mint de 111M CIOTX et 9,3M CCS. IoTeX promet compensation à 100 %.

~1,78 M$ drainés de Moonwell sur Base : un marché nouvellement listé utilisait un flux de prix avec incohérence de décimales, mal valorisant la garantie.

Le pool de prêt Stellar de YieldBlox a perdu 10,2 M$ : une seule vente USTRY/USDC à 501x le marché a défini le prix Reflector dans une fenêtre calme de 15 min.

Step Finance a perdu 261 854 SOL (27 M$) depuis ses portefeuilles trésor et frais. STEP a chuté de 96 %. Step, SolanaFloor et Remora ont tous fermé.

4,13 M$ extraits du pool Curve DUSD/USDC de Makina via manipulation d'oracle par prêt flash ; négociation white-hat a récupéré 89% en une semaine.

SagaEVM a perdu 7 M$ en 11 minutes quand un bug Ethermint a permis à des messages forgés de contourner la validation, créant des Saga Dollar (D) sans garantie.

TMXTribe, un protocole de staking, a perdu ~1,4 M$ : une faille comptable de distribution a laissé un attaquant sur-réclamer à répétition, vidant la réserve.

Truebit a perdu 26,4 M$ : un overflow d'entier dans un contrat bonding curve de 5 ans a laissé l'attaquant minter TRU presque gratis et revendre pour 8 500 ETH.