Les piratages crypto de 2026 atteignent un record de 9,2 milliards de dollars selon CertiK, d’après un article de The Defiant, après le vol du 29 octobre chez Binance. Ce chiffre ne figure pas sur le tableau de bord de CertiK consulté le dimanche 1er novembre, qui n’affiche ni total annuel ni cumul depuis janvier. Ce que le tableau de bord montre, en revanche : octobre seul à 6,50 milliards de dollars en brut et 3,47 milliards en net. Ses pertes mensuelles ajustées de janvier à octobre s’additionnent à environ 5,7 milliards. La base de piratages de DefiLlama donne 8,74 milliards de dollars pour 2026, dont 6,36 milliards pour Binance.
Une seule question, donc trois réponses, et un même incident sous chacune. Si l’on retire Binance de la liste de DefiLlama, 2026 tombe à environ 2,38 milliards de dollars, sous les 2,72 milliards comptabilisés pour toute l’année 2025. Sur les dix mêmes mois, l’écart se resserre mais l’ordre ne change pas : 2025 en comptait 2,51 milliards fin octobre.
Le texte de The Defiant, dans la mesure où blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il est lisible, ne précise pas si les 9,2 milliards s’entendent avant ou après les fonds gelés, ni jusqu’à quelle date. Il parle de record sans citer d’année antérieure. Aucun document de CertiK consulté ne comble ces deux manques.
Piratages crypto en 2026 : ce que montre chaque tracker
Les trackers ci-dessous ont été consultés le 1er novembre 2026, vers 05 h 50 UTC pour DefiLlama. Les sommes des mois de CertiK et des années de DefiLlama sont des calculs de Coindaro : aucune des deux pages ne les publie.
| Source | Période | Total | Mode de calcul | Binance |
|---|---|---|---|---|
| CertiK, selon The Defiant | 2026, date de fin non précisée | 9,2 Md$ | Non précisé ; semble brut (déduction de Coindaro) | Non détaillé |
| Tableau de bord CertiK, pertes totales | Octobre 2026 | 6,50 Md$ | Brut, 92 incidents | 6,29 Md$ |
| Tableau de bord CertiK, pertes ajustées | Octobre 2026 | 3,47 Md$ | Après 3,03 Md$ gelés ou restitués | Non détaillé |
| Tableau de bord CertiK, pertes ajustées (somme Coindaro des mois) | Janvier à octobre 2026 | Environ 5,69 Md$ | 751 incidents | Non détaillé |
| DefiLlama (somme Coindaro des entrées) | 2026 jusqu’au 31 octobre | 8,74 Md$ | 325 entrées par date ; montants vides comptés à zéro | 6,36 Md$ |
| DefiLlama hors Binance (somme Coindaro) | 2026 jusqu’au 31 octobre | Environ 2,38 Md$ | 324 entrées | Exclu |
Les deux chiffres sur Binance diffèrent de 70 millions de dollars, un écart faible pour un événement de cette taille et cohérent avec ce que d’autres ont publié. Binance a elle-même estimé l’impact à environ 6,3 milliards de dollars, tandis que TRM Labs a compté 6,36 milliards, comme le détaille notre article sur le vol. Elliptic se situe plus haut, à 6,43 milliards répartis sur 11 blockchains. Tous les montants de cet article sont en dollars, la devise des trackers ; aucune conversion en euros n’est faite, le taux changeant chaque jour.
Brut ou net : comment 9,2 milliards de dollars deviennent 5,7 milliards
Les chiffres d’octobre de CertiK se recoupent parfaitement : 6,50 milliards de dollars moins 3,03 milliards gelés et restitués donnent 3,47 milliards. Le tableau de bord ne définit pas le mot « ajusté » et ne publie le brut et le gelé que pour octobre. Pour les autres mois de 2026, il n’affiche que la ligne ajustée ; pour les trimestres, il donne les deux.
On peut tout de même tester ce que représentent les 9,2 milliards. Le rapport du premier semestre de CertiK, publié le 6 juillet, chiffrait les pertes à plus de 1,31 milliard de dollars pour 344 incidents. Le tableau de bord affiche aujourd’hui 1,28 milliard pour le troisième trimestre. En ajoutant les 6,50 milliards d’octobre, on arrive à environ 9,1 milliards, tout près du chiffre rapporté. C’est pourquoi les 9,2 milliards se lisent comme un total brut de janvier à octobre. Il s’agit d’une déduction tirée des chiffres mêmes de CertiK, que l’entreprise n’énonce sur aucune des pages consultées ; le petit écart peut venir de révisions ultérieures : le total du troisième trimestre était de 1,26 milliard lorsque Cointelegraph a publié les chiffres de CertiK le 1er octobre.
Si cette lecture est la bonne, la distance entre 9,2 et 5,7 milliards de dollars atteint environ 3,5 milliards, et les gels d’octobre en expliquent l’essentiel. Les mois précédents apportent le reste : le même article de Cointelegraph situait septembre à environ 769 millions de dollars avant environ 273 millions gelés ou restitués, soit 495,3 millions en ajusté (le tableau de bord affiche désormais 488,2 millions). CertiK n’attribue pas les 3,03 milliards à des incidents précis. Les pertes d’octobre hors Binance ne représentent, par soustraction, qu’environ 0,21 milliard : l’essentiel des gels concerne donc forcément Binance. Cette étape est, elle aussi, un calcul de Coindaro.
Aucun de ces chiffres ne décrit ce que les victimes ont perdu. Le montant ajusté traite les jetons gelés comme perdus pour l’attaquant ; or gelé ne veut pas dire restitué, et Binance n’a pas dit ce que deviendraient les jetons gelés s’ils revenaient. Binance a chiffré les fonds gelés à environ 3 milliards de dollars, alors qu’Elliptic en avait vérifié 2,85 milliards sur sa page mise à jour à 23 h 55 UTC le 31 octobre. Elliptic estime aussi que l’attaquant détient environ 3,21 milliards impossibles à geler, dont 18 270 BTC.
Les clients forment une question à part. Binance affirme qu’elle absorbera la perte. Dans la nuit de samedi, elle a déclaré avoir couvert 95 % des 6,3 milliards dérobés, contre environ 90 % plus tôt dans la journée, selon Reuters, une affirmation qui n’a pas été vérifiée de façon indépendante. Les 5 % restants correspondent à des jetons moins liquides, qui pourraient demander plus de temps à réunir. Les retraits devaient reprendre par phases, la première entre 06 h 00 et 09 h 00 UTC le dimanche 1er novembre, sans date pour les suivantes. Aucune réouverture de réseau n’est confirmée : la dernière vérification disponible, celle de Cryptoticker à 04 h 45 UTC, montrait encore les retraits en bitcoin et en ethereum désactivés. Un tracker qui compte le vol à sa pleine valeur et une plateforme qui rembourse ses clients peuvent avoir raison en même temps : l’un mesure ce qui a quitté les portefeuilles, l’autre qui paie au final.
Sans Binance, 2026 n’est pas un record chez DefiLlama
DefiLlama permet de comparer les années avec une seule méthode, et ne retranche rien de ses montants affichés. Son entrée Bybit de février 2025 conserve les 1,4 milliard de dollars dans le champ du montant et inscrit la même somme à part comme fonds restitués. Son entrée Binance n’indique aucun fonds restitué : les 8,74 milliards de DefiLlama sont donc un chiffre brut, sans déduction des gels.
| Mesure | 2025 | 2026 | Source |
|---|---|---|---|
| DefiLlama, janvier à septembre | 2,48 Md$ | 2,24 Md$ | Somme Coindaro |
| DefiLlama, janvier à octobre | 2,51 Md$ | 8,74 Md$ | Somme Coindaro |
| DefiLlama, janvier à octobre, hors Binance | 2,51 Md$ | 2,38 Md$ | Somme Coindaro |
| DefiLlama, année complète | 2,72 Md$ | Année en cours | Somme Coindaro |
| CertiK ajusté, janvier à septembre | 3,31 Md$ | 2,22 Md$ | Somme Coindaro des mois du tableau de bord |
| CertiK ajusté, janvier à octobre | 3,37 Md$ | 5,69 Md$ | Somme Coindaro des mois du tableau de bord |
La première et la cinquième ligne se lisent ensemble. Fin septembre, les deux trackers plaçaient 2026 derrière 2025, d’environ 10 % chez DefiLlama et d’à peu près un tiers sur la ligne ajustée de CertiK. Sur ces deux séries, l’année a basculé en un seul mois. Il faut ajouter que 2025 contient son propre géant, Bybit : la comparaison oppose une année aberrante à une autre. Si l’on retire aussi Bybit, le total 2025 de DefiLlama tombe à environ 1,3 milliard de dollars pour l’année entière, très en dessous de 2026 hors Binance.
La conclusion honnête est donc plus étroite que l’un ou l’autre des titres. D’après les sommes Coindaro par année civile des entrées de DefiLlama, 2026 est de loin la plus grosse année. Viennent ensuite 2020 avec 3,98 milliards de dollars, un total qui inclut l’entrée LuBian de 3,5 milliards, et 2022 avec 3,63 milliards. Binance pèse à elle seule 72,8 % de 2026 dans cette base. Sans elle, les dix premiers mois de 2026 resteraient sous les années pleines 2020, 2021, 2022 et 2025. Pour CertiK, aucun record antérieur n’a été trouvé : ni le texte de The Defiant ni les pages de CertiK consultées ne citent d’année ou de montant précédents, de sorte que le mot « record » repose sur la formulation de The Defiant.
Pourquoi CertiK et DefiLlama ne donnent jamais le même total
Le périmètre explique une partie de l’écart. CertiK recense 751 incidents de janvier à octobre sur son tableau de bord et écarte le phishing de son classement des plus gros incidents. DefiLlama compte 325 entrées pour 2026, soit moins de la moitié. Le calendrier joue aussi : les tableaux de bord sont révisés après coup. Le deuxième trimestre de CertiK s’établit aujourd’hui à 822,3 millions de dollars, contre 819,4 millions début octobre.
Curieusement, les deux séries se rejoignent presque avant octobre : 2,22 milliards de dollars ajustés chez CertiK et 2,24 milliards chez DefiLlama pour les neuf premiers mois. Il ne faut pas y lire grand-chose, car elles ne comptent pas les mêmes choses.
La série de CertiK appelle elle aussi de la prudence. Ses pertes mensuelles ajustées de 2025 s’additionnent à environ 3,86 milliards de dollars, alors que KuCoin News résumait son rapport annuel 2025 à 3,35 milliards pour 630 incidents. Le tableau de bord n’explique pas ces 500 millions d’écart. Septembre montre ce que la seule méthode peut changer. PeckShield a compté environ 766,5 millions de dollars pour 55 incidents majeurs, presque autant que les 768,4 millions de CertiK pour 97 incidents, alors que la ligne ajustée du tableau de bord pour ce mois est de 488,2 millions. Hacken situait le troisième trimestre à environ 1,18 milliard, comme le détaille notre comparaison des bilans du T3.
L’essentiel des attaques est modeste, octobre le montre
La ventilation d’octobre sur le tableau de bord est très déséquilibrée. La compromission de portefeuille représente 6,44 milliards de dollars, soit 99 % des pertes du mois, pour 20 incidents. Les exploits sont le type le plus fréquent, avec 45 incidents soit 48,9 % du nombre, et coûtent 25,1 millions. Derrière Binance viennent les utilisateurs de Ledger avec 99,0 millions et CoinDCX avec 16,0 millions.
Les deux plus grosses entrées de l’année chez DefiLlama sont des failles de clés, non des bugs de smart contracts : « Key Leaked via Infrastructure » (clé divulguée via l’infrastructure) pour Binance, et une clé de portefeuille chaud compromise pour Bitget, à 387 millions de dollars. La liste en dessous est plus variée, avec en troisième position les 320 millions de Liquid Network, un mint inter-chaînes sans contrepartie. La façon dont les portefeuilles de Binance ont été amenés à signer reste inconnue. Notre guide sur les endroits où les piratages crypto se produisent vraiment explique pourquoi le point faible se trouve si souvent hors de la blockchain.
CertiK suit aussi les « wrench attacks », ces agressions physiques contre des détenteurs de cryptos : de 39 incidents et 10,5 millions de dollars d’exposition au premier semestre 2025, on passe à 52 incidents et 124,2 millions au premier semestre 2026. Ces sommes sont minuscules à côté de Binance et disparaissent dans n’importe quel total annuel.
Que vérifier quand on cite un total de piratages
Trois questions règlent la plupart de ces chiffres. Le montant est-il avant ou après les fonds gelés ? Court-il jusqu’à une date précise ? Inclut-il le plus gros incident ? Un total qui ne répond à aucune d’elles ne se compare à rien ; pour les 9,2 milliards, seule la troisième trouve une réponse, et par déduction.
Pour l’utilisateur d’une plateforme, le total annuel compte moins que la façon dont elle indemnise quand elle est touchée. Notre guide pour choisir une plateforme d’échange crypto détaille les points à regarder côté réserves et conservation.
Ce qui reste inconnu
Sur les pages consultées, CertiK n’a publié ni total brut depuis janvier, ni définition des pertes ajustées, ni répartition des 3,03 milliards de dollars par incident. Aucun chiffre d’octobre ou de cumul annuel de PeckShield, Immunefi, TRM Labs ou Chainalysis n’a été trouvé. L’un d’eux mettrait la lecture ci-dessus à l’épreuve, et une déclaration de CertiK précisant que les 9,2 milliards sont nets des gels la renverserait.
Deux éléments peuvent encore faire bouger les chiffres. Les données de novembre n’ont pas commencé sur le tableau de bord. La preuve de réserves complète de Binance, d’abord annoncée pour le lundi 2 novembre, est désormais attendue le mardi 3 novembre selon Cryptoticker et Bitcoin.com News, sans que le message de Binance lui-même ait pu être ouvert. Enfin, si les jetons gelés sont restitués, les totaux ajustés pourraient encore changer, alors que l’entrée Bybit de DefiLlama laisse penser que son montant affiché resterait à 6,36 milliards de dollars.