Piratages Ethereum en 2026

Un attaquant a émis 10 millions de CYS non garantis sur BNB Chain via le pont de Cysic et les a vendus pour ~727 000 $ en ETH avant la mise sur liste noire.

Une faille comptable dans les contrats partagés Vesting V2 d'UNCX Network a permis de siphonner environ 1,49 million de dollars de tokens verrouillés sur quatre chaînes.

Une intrusion sur un serveur a vidé les portefeuilles chauds du casino crypto Gamdom sur plusieurs chaînes pour environ 4,2 millions de dollars lors d'une compromission présumée de clés.

Un attaquant a frappé 19 millions de THEO non adossés sur Base via la route cross-chain Hyperlane d'Autheo et les a échangés contre environ 700 ETH, faisant chuter le jeton d'environ 92 %.

Environ 86 millions de dollars ont été dérobés à des utilisateurs ayant acheté des appareils Ledger au revendeur CryptoBilis, via une attaque présumée de la chaîne d'approvisionnement.

Un keeper ETH-A dormant de MakerDAO a perdu 200 WETH (~538 000 $) : un attaquant a exploité une fonction de retrait non protégée pour drainer des garanties bloquées depuis le Black Thursday 2020.

Une faille d'authentification dans le module Safe tiers FlashLoopAdapter a permis à un attaquant de falsifier une Safe et de dérober environ 305 000 dollars dans deux portefeuilles Ethereum.

Des escrocs ont monté un faux Layer 2 GIWA avec le véritable chain ID et ont drainé environ 2 millions de dollars en ETH de 1 335 portefeuilles via un faux pont.

Des attaquants ont compromis le backend des portefeuilles de Bitget pour falsifier des retraits et drainer environ 387,5 M$ sur huit blockchains, le plus grand vol crypto de 2026.

Des attaquants ont drainé environ 7 millions de dollars des hot wallets du casino crypto Duelbits sur cinq chaînes, lors d'une compromission de clé privée présumée.

Des attaquants ont abusé d'une faille du Payment Processor de Limit Break, avec des approbations périmées de Magic Eden, pour voler jetons et NFT d'au moins 2,8 millions de dollars.

Un attaquant a exploité le contrat rollup de Payy Network sur Ethereum via une transaction verifyRollup malveillante, drainant environ 1,83 million de dollars en USDC.

Une clé de signature du pont compromise a permis de vider des FET et de frapper des AGIX, NTX et WMTx sur les contrats Ethereum de l'ASI Alliance — environ 16,77 millions de dollars en tokens.

Des phrases de récupération compromises ont permis de vider environ 11,7 millions de XRP (près de 18 M$) de plus de 6 600 comptes de l'App Wallet D'CENT sur cinq chaînes.

Un attaquant a exploité le contrat BridgeV2 de Symbiosis pour frapper ~46,1 milliards de jetons de Bitcoin synthétique non adossés et en a monétisé une partie pour ~0,77 M$.

Un attaquant a détourné une fonction d'enregistrement ouverte et un flash loan Balancer pour drainer 9,25 ETH (environ 23 000 dollars) du RedSonic Vault de Reddio sur Ethereum.

Une conversion d'entier non vérifiée dans le contrat V1 Escrow obsolète de Notional Finance a permis à un attaquant de dérober environ 1,7 million de dollars en USDC et DAI sur Ethereum.

Une faille de l'appli XRPH Wallet de XRP Healthcare a exposé les phrases secrètes des utilisateurs ; un attaquant a vidé 4 011 portefeuilles d'environ 452 000 dollars en XRP et XRPH sur le XRP Ledger.

Un attaquant a abusé des marchés d'options binaires sans permission d'Injective et d'une collision d'ID de marché pour dérober environ 4,9 millions de dollars avant l'arrêt de la chaîne.

Un attaquant a gonflé 100 fois le token TONIC de Tectonic pour emprunter ~74 M$ au protocole de prêt de Cronos ; une réinitialisation de la chaîne a limité la perte à ~6 M$.

Un attaquant a dépensé environ 951 dollars pour une part de contrôle du jeton de gouvernance peu échangé de Term Labs et a fait sortir environ 8,5 millions de dollars de ses vaults par un vote.

Un attaquant a enchaîné six bugs dans la logique de MAYAChain pour fabriquer une subvention en CACAO et dérober environ 1,7 million de dollars en Bitcoin et autres actifs à Maya Protocol.

Une baleine crypto anonyme a perdu environ 25,6 millions de dollars lors d'un siphonnage par phishing sur Ethereum — le même portefeuille qui avait déjà été hameçonné pour environ 24 millions en 2023.

Des attaquants ont drainé environ 7,9 M$ en USDT et ETH du processeur de paiement crypto Coinsbuy sur Tron et Ethereum lors d'une compromission coordonnée de clés de hot wallet.

Un peu plus de deux mois après un piratage en mai, le pont Verus-Ethereum a de nouveau été drainé d'environ 7,54 M$ via le même chemin de vérification d'importation non corrigé.

Des attaquants ont piégé par ingénierie sociale un développeur d'AFX Trade, saisi 5 des 7 clés de validateurs du pont et drainé 24,15 M$ en USDC.

Un flash loan a faussé le ratio du pool de stablecoins d'Allbridge Core sur Solana, permettant à l'attaquant de retirer de la liquidité à des taux manipulés pour environ 1,65 M$.

Un attaquant a manipulé le prix du jeton SAUCE via un oracle tiers Supra défaillant et drainé environ 9 millions de dollars de Bonzo Lend, le plus grand protocole de prêt de Hedera.

Coinspect a révélé « Ill Bloom », une faille de faible aléa dans la génération des phrases de récupération de certains portefeuilles, ayant permis de dérober plus de 5 millions de dollars.

Un attaquant muni d'un flash loan a manipulé la comptabilité des parts du vault USDC Lazy Summer de Summer.fi, rachetant des actifs gonflés pour drainer environ 6 millions de dollars sur Ethereum.

Un attaquant a drainé environ 820 000 dollars en USDC de Hinkal — presque toute sa TVL multi-chaînes — via des dépôts 'proofless' non vérifiés, puis les a blanchis via Tornado Cash et THORChain.

Un attaquant via flash loan a gonflé ~78x le taux de change interne du wGOOGLx sur Edel Finance, empruntant contre une garantie fictive et laissant ~403 000 dollars de créance douteuse.

Un prestataire tiers compromis a injecté un script malveillant dans le frontend de Polymarket, drainant environ 2,94 M$ de PUSD des portefeuilles des utilisateurs via du phishing.

Une clé de signature SGX divulguée dans le GitHub public de Taiko a permis de forger des preuves de bridge et de drainer environ 1,7 M$ du L1 Bridge et de l'ERC20Vault sur Ethereum.

Un honeypot counter-MEV a piégé le bot de sandwich le plus actif d'Ethereum, jaredfromsubway.eth, l'amenant à approuver 66 contrats de faux tokens, drainant environ 7,5 M$ en WETH, USDC et USDT.

Un attaquant a drainé environ 2,16 M$ du Private Rollup Bridge obsolète d'Aztec via un escapeHatch non protégé et des données de preuve falsifiées — deuxième hack d'Aztec en une semaine.

Un bug d'arrondi dans un vault Thetanuts obsolète a permis de frapper des tokens d'option gratuitement et de drainer environ 2,1 M$ sur Ethereum ; les white-hats ont récupéré près de 2 M$.

Un attaquant a drainé environ 2,1 M$ du pont obsolète Aztec Connect en exploitant une validation de preuve incomplète pour retirer des soldes non couverts de contrats immuables.

Un contrat de pont défaillant a permis de forger des paquets IBC et de frapper des saTokens sans contrepartie, drainant environ 4,67 M$ d'actifs Axelar.

Une clé compromise de la Humanity Foundation a permis de vider des wallets et de frapper 100 M de tokens H sur BNB Chain, dérobant environ 32 M$ et faisant chuter $H de près de 90 %.

Un attaquant majoritaire en TOP a exécuté une proposition Aragon en une seule transaction, émis ~10 milliards de jetons et drainé 944 WETH d'un pool Balancer V1.

Un attaquant a drainé environ 480 000 USD du vault afiUSD d'AFI Protocol sur Ethereum et a blanchi les fonds via Tornado Cash ; la cause racine n'a pas été divulguée.

Un attaquant a soumis de fausses VAA de gardiens au TokenBridge d'Alephium (un fork de Wormhole), vidant environ 815 000 dollars d'actifs en garde depuis Ethereum et BNB Chain en sept minutes environ.

Gravity Bridge, le pont cross-chain Cosmos-Ethereum, a été vidé d'environ 5,4 millions de dollars après la compromission apparente des clés de signature de ses validateurs.

Une faille de contrôle d'accès (confused deputy) dans le module tiers SquidRouterModule a permis de drainer ~3,8 M$ de 88 portefeuilles Gnosis Safe sur Ethereum, Base et Arbitrum.

Compromission de clé admin sur Echo Protocol : 1 000 eBTC non backés (~76,7 M$ nominaux) mintés ; perte réelle ~821 K$ via Tornado Cash.

Le pont Verus-Ethereum a payé 11,58 M$ après un export Verus de seulement 0,02 VRSC — aucune vérification de liaison de valeur source/destination.

~10,8 M$ drainés des coffres Asgard de THORChain sur 9 chaînes via une faille présumée GG20 (TSS) exploitée par un opérateur de nœud malveillant.

L'agrégateur cross-chain Transit Finance a perdu ~1,88 M$ en DAI le 13 mai 2026 — un second incident à plusieurs millions après la brèche d'approbation proxy d'octobre 2022.

Les coffres perp de Wasabi sur Ethereum, Base, Berachain et Blast ont perdu 5 M$ : un EOA deployer compromis avec ADMIN_ROLE unique a permis des upgrades UUPS.

292 M$ de rsETH non backé minté après exploitation du setup LayerZero 1-sur-1 DVN de KelpDAO ; le plus grand hack DeFi 2026, TVL en chute de 13 Md$.

1 Md de DOT bridgés mintés sur Hyperbridge après une vérification de bornes manquante dans VerifyProof ; perte réalisée ~2,5 M$.

Resolv Labs a perdu 25 M$ après compromission de ses clés AWS KMS ; un dépôt de 100 K$ USDC a créé 50 M USR et dépeggé le stablecoin de 74% en 17 minutes.

Le vault BRO de Solv a perdu 2,73 M$ : un bug double-mint ERC-3525 a transformé 135 BRO en ~567M BRO en 22 dépôts, puis échangés contre 38 SolvBTC.

4,3 M$ drainés du pont ioTube d'IoTeX via une compromission de clé validateur ; mint de 111M CIOTX et 9,3M CCS. IoTeX promet compensation à 100 %.

4,13 M$ extraits du pool Curve DUSD/USDC de Makina via manipulation d'oracle par prêt flash ; négociation white-hat a récupéré 89% en une semaine.

SagaEVM a perdu 7 M$ en 11 minutes quand un bug Ethermint a permis à des messages forgés de contourner la validation, créant des Saga Dollar (D) sans garantie.

Truebit a perdu 26,4 M$ : un overflow d'entier dans un contrat bonding curve de 5 ans a laissé l'attaquant minter TRU presque gratis et revendre pour 8 500 ETH.