CertiK : le bilan d’août où la DeFi a payé le prix

Dimanche 30 août 2026, en fin de journée, la blockchain Cronos a tout simplement cessé de produire des blocs. Pas un ralentissement ni une congestion passagère : un arrêt complet, décidé en quelques minutes par les validateurs pour contenir un pillage en cours sur Tectonic, le principal protocole de prêt du réseau associé à Crypto.com. Le lendemain, 31 août, le cabinet de sécurité CertiK a publié son décompte mensuel. Le verdict est sévère : environ 215 millions de dollars (près de 185 millions d’euros) partis en fumée sur trente jours, selon les chiffres relayés par The Crypto Times. Août signe ainsi le mois au plus grand nombre d’incidents recensés par CertiK depuis le début de l’année.

Ce qui frappe n’est pas seulement le montant. C’est la forme des pertes. Après un premier semestre où les attaquants avaient délaissé le code au profit des clés privées, du phishing et des failles opérationnelles, août 2026 marque le retour en force d’un vieux démon : la manipulation de prix. Deux protocoles de prêt, Tectonic sur Cronos et Moonwell sur Base, ont été vidés sans qu’une seule ligne de leur code audité ne cède. Le contrat a fait exactement ce pour quoi il avait été écrit. C’est le décor qui mentait. Alors que le Bitcoin s’échange autour de 68 000 euros (près de 79 000 dollars) d’après CoinGecko, la question qui hante la DeFi de fin d’été n’est plus « le code est-il correct ? » mais « le prix qui sert de garantie est-il réel ? ».

Août 2026 : 215 millions de dollars partis en fumée

CertiK n’audite pas seulement des contrats : le cabinet tient aussi la comptabilité des pertes du secteur via sa plateforme Skynet. Son tableau de bord mensuel agrège incidents, montants dérobés, fonds gelés et vecteurs d’attaque. Pour août, l’addition atteint environ 215 millions de dollars, en hausse sur juillet, tirée par la DeFi qui concentre à elle seule quelque 144,6 millions de dollars des pertes du mois, toujours d’après la synthèse publiée par The Crypto Times.

La ventilation par vecteur d’attaque raconte une histoire précise. La manipulation de prix, à elle seule, pèse 131,6 millions de dollars, soit près des deux tiers du total. Le phishing, qui avait dominé une partie du premier semestre, recule à 41,5 millions. Les vulnérabilités de code pur, celles que les audits traquent en priorité, ne représentent que 20,6 millions, et la compromission de portefeuilles 11,8 millions. Autrement dit : le poste que les auditeurs savent le mieux couvrir est devenu le plus petit.

Une donnée tempère toutefois le tableau : sur ces 215 millions, environ 110,7 millions de dollars (quelque 95 millions d’euros) ont été gelés ou restitués. C’est une proportion inhabituellement élevée, et elle tient largement à un seul événement : l’arrêt d’urgence de la blockchain Cronos, qui a piégé sur place la majeure partie du butin de Tectonic. Nous y revenons plus bas, car ce chiffre en apparence rassurant cache un débat de fond sur ce qu’est vraiment une blockchain « décentralisée ».

Tectonic : l’exploit qui a figé toute une blockchain

Tectonic est, ou plutôt était, le plus gros protocole de prêt de Cronos, le réseau layer-1 gravitant dans l’orbite de Crypto.com. Le 30 août, un attaquant l’a vidé d’un montant estimé autour de 75 millions de dollars (environ 65 millions d’euros), selon CoinDesk et The Block. L’ampleur est brutale : d’après Decrypt, le protocole affichait 121,7 millions de dollars de dépôts et 82,7 millions de prêts actifs avant l’attaque. Dès le lundi, les données de DefiLlama montraient une valeur verrouillée effondrée à environ 3 millions, soit une chute de 97,5 % sur trente jours.

La réponse a été radicale. Plutôt que d’isoler la seule application touchée, les validateurs de Cronos ont stoppé la production de blocs sur l’ensemble du réseau, gelant transferts, ponts et contrats intelligents. « The Cronos Network has been halted and we’ll provide updates here », a communiqué le réseau, laissé à l’arrêt pendant des heures. Ce coup de frein a eu un effet paradoxal mais décisif : l’attaquant n’avait réussi à faire sortir qu’environ 6 millions de dollars vers Ethereum avant la coupure. Les quelque 60 millions restants sont demeurés bloqués sur une chaîne devenue immobile, incapables de bouger. C’est l’essentiel des 110 millions « récupérés ou gelés » du mois.

Kris Marszalek, patron de Crypto.com, s’est empressé de tracer une frontière nette entre le protocole décentralisé et sa société : « Crypto.com app and exchange were not affected and are operating as usual », a-t-il déclaré, cité par Decrypt. La distinction est juridiquement importante, on le verra pour les investisseurs français ; elle est aussi révélatrice de la nature hybride de ces écosystèmes, où une plateforme centralisée régulée coexiste avec des protocoles ouverts que personne ne « possède » vraiment.

Pour les utilisateurs de Tectonic, l’addition ne s’arrête pas au montant volé. L’effondrement du cours de TONIC et le gel du réseau ont déclenché en cascade des liquidations et laissé le protocole avec une dette irrécouvrable, cette « bad debt » qui hante les places de prêt après chaque exploit majeur. Même si une partie des fonds finit par être récupérée, restaurer la confiance dans un protocole dont la valeur verrouillée a fondu de plus de 97 % en quelques jours relèvera du chemin de croix. C’est l’autre coût, rarement chiffré, de ces attaques : la destruction de valeur dépasse de loin le seul butin de l’assaillant.

La mécanique : gonfler un prix pour vider un protocole

Comment vole-t-on 75 millions sans casser le moindre verrou ? En trompant la seule chose que le contrat de prêt tient pour vraie : le prix du collatéral. Le chercheur on-chain Weilin Li a décrit l’attaque de Tectonic comme une « Mango-market style pump-and-borrow price manipulation attack », en référence au pillage de Mango Markets de 2022. Le schéma est aussi ancien que redoutablement efficace.

Le point faible tenait à un paramètre de configuration : Tectonic attribuait à son jeton de gouvernance, TONIC, un facteur de collatéral de 20 %, alors même que la liquidité de ce jeton était famélique, de l’ordre de 1,34 million de dollars seulement d’après l’analyse relayée par Decrypt. Avec si peu de profondeur de marché, un capital modeste suffit à faire exploser le cours. « TONIC’s price surged 100-fold within 20 minutes », note Weilin Li. La suite est mécanique : l’attaquant dépose ses jetons artificiellement survalorisés en garantie, puis emprunte contre cette valeur fictive des actifs bien réels et liquides, avant de disparaître.

• Étape 1. Repérer un actif accepté comme collatéral mais peu liquide, donc facile à faire bouger.
• Étape 2. Acheter ou emprunter cet actif pour propulser son prix vers le haut en quelques minutes.
• Étape 3. Déposer le collatéral gonflé et emprunter, contre cette valeur en carton, des actifs solides (stablecoins, cbBTC, ETH).
• Étape 4. Exfiltrer le butin ; laisser au protocole une dette irrécouvrable et un jeton qui s’effondre.

Ce type d’attaque n’est pas une faille de code au sens classique. Le contrat a correctement lu un prix, correctement calculé un ratio, correctement autorisé un emprunt. Le problème est que ce prix était manipulable. C’est une faille de conception économique, à la lisière de la manipulation d’oracle, et c’est précisément le genre de risque qu’un audit de code ligne à ligne ne détecte pas toujours. Les protocoles de dérivés on-chain connaissent bien ce péril, comme nous le détaillions à propos de la fracture entre perp DEX et perpétuels régulés.

Moonwell : 8,7 millions sans qu’une ligne de code ne cède

Trois jours plus tôt, le 27 août, un scénario quasi identique s’était déroulé sur Base, la layer-2 de Coinbase. Le protocole de prêt Moonwell a perdu environ 8,7 millions de dollars (près de 7,5 millions d’euros), un montant sur lequel crypto.news rapporte que CertiK, PeckShield et Blockaid convergent. Le titre de Yahoo Finance résume la leçon d’une phrase : « Moonwell Lost $8.7 Million Without a Single Line of Code Being Hacked. »

Le rouage est le même que sur Cronos. Un jeton peu échangé, MAMO, servait de collatéral. L’attaquant en a gonflé le prix, puis a emprunté contre cette valeur enflée des actifs de premier ordre : environ 50,6 cbBTC, valorisés à plus de 4 millions de dollars, mais aussi de l’USDC, du wstETH et de l’ETH. PeckShield a observé que l’attaquant avait « consolidated the stolen funds into DAI at a single address ». La riposte de l’équipe Moonwell fut chirurgicale : abaisser les plafonds d’emprunt de tous les marchés Core sur Base à 1 wei, une limite si infinitésimale qu’elle gèle en pratique tout nouvel emprunt, et faire de même pour les plafonds d’offre de MAMO et du jeton WELL.

Comme le souligne crypto.news, la cause première n’était pas une faille du code du contrat, mais un défaut de conception de l’oracle et du choix du collatéral : accepter un actif peu liquide comme garantie. Le code a fonctionné ; l’hypothèse selon laquelle le prix de MAMO reflétait sa valeur réelle, elle, était fausse. Un audit qui vérifie que les fonctions font ce qu’elles annoncent peut parfaitement laisser passer ce genre de bombe à retardement, tapie non dans la logique mais dans les paramètres.

L’oracle, le maillon que l’on oublie d’auditer

Au cœur de ces deux pillages se trouve un composant discret et pourtant vital : l’oracle de prix. Un protocole de prêt ne « voit » pas les marchés ; il interroge un oracle qui lui répond, en substance, « ce jeton vaut tant ». Toute la sécurité du système repose sur la fiabilité de cette réponse. Or il existe plusieurs façons de la construire, et elles ne se valent pas. Un oracle qui lit le prix spot instantané d’un pool peu profond est trivialement manipulable : il suffit de faire bouger ce pool. Un oracle qui calcule une moyenne pondérée dans le temps (TWAP) encaisse mieux les à-coups, mais reste vulnérable si l’attaquant tient sa manipulation sur plusieurs blocs. Les oracles agrégés à la Chainlink, qui compilent de nombreuses sources hors chaîne, sont les plus robustes, mais ne couvrent souvent pas les jetons exotiques et illiquides.

C’est précisément là que le bât blesse. TONIC et MAMO sont exactement le genre d’actifs qu’aucun oracle robuste ne suit sérieusement, faute de liquidité. En les acceptant tout de même comme collatéral, avec un facteur généreux, Tectonic et Moonwell ont ouvert une faille qui n’était inscrite nulle part dans leur code, mais partout dans leurs paramètres. Le précédent le plus célèbre reste Mango Markets, pillé en octobre 2022 selon la même mécanique de pump-and-borrow, l’un des plus gros exploits de manipulation d’oracle de l’histoire de la DeFi. Près de quatre ans plus tard, la leçon n’a manifestement pas été universellement retenue : tant qu’un protocole gagera des prêts réels sur un prix fabriquable, la porte restera entrouverte.

Le fil rouge d’août : le collatéral illiquide

Tectonic et Moonwell ne sont pas des accidents isolés ; ils dessinent un motif. En août 2026, les plus grosses pertes DeFi ont convergé vers une même faiblesse structurelle : l’usage d’actifs peu liquides comme garantie, couplé à des oracles de prix qui font aveuglément confiance au marché. Le tableau ci-dessous récapitule les principaux incidents du mois, tels qu’agrégés par le décompte CertiK et documentés par la presse spécialisée.

Le cas de Term Finance, un exploit de gouvernance à 8,5 millions de dollars le 23 août, complète le tableau par un autre angle mort : celui des mécanismes de contrôle des protocoles. Nous avons raconté en détail comment cette attaque a réussi à contourner le verrou temporel censé protéger le trésor, dans notre enquête sur l’attaque de gouvernance qui a déjoué le timelock. Trois familles d’attaque, un même enseignement : la sécurité d’un protocole ne se résume jamais à la correction de son code.

CertiK, l’arbitre qui tient le tableau d’affichage

Pour comprendre le poids de ces chiffres, il faut comprendre qui les publie. Fondé en 2017 par Ronghui Gu, professeur à Columbia, et Zhong Shao, qui dirige le département d’informatique de Yale, CertiK est né dans le monde académique. Les deux chercheurs avaient bâti CertiKOS, présenté comme le premier noyau de système d’exploitation multicœur entièrement vérifié formellement ; le nom même de l’entreprise vient de « Certified Kernel ». Ils ont ensuite appliqué ces méthodes de preuve mathématique au monde de la blockchain. Le cabinet est aujourd’hui l’un des plus importants du secteur : selon certik.com, il revendique plus de 5 000 clients, près de 20 000 projets audités et plus de 115 000 vulnérabilités détectées.

Au-delà de l’audit, CertiK s’est imposé comme l’agence de notation officieuse de la sécurité crypto. Sa plateforme Skynet surveille en continu un portefeuille de projets dont la capitalisation cumulée avoisine les 500 milliards de dollars, attribue des scores de risque et publie ces bilans mensuels que tout le secteur commente. C’est une position singulière : CertiK est à la fois joueur (il audite) et arbitre (il compte les points). Nous avons consacré un portrait détaillé à cet acteur central et à ses limites dans « CertiK décrypté ». Le cabinet a aussi publié cet été un rapport remarqué sur les « wrench attacks », ces agressions physiques visant les détenteurs de crypto, dont la France s’est révélée l’un des épicentres mondiaux, un sujet que nous avons traité ici.

Le cabinet cherche aussi à industrialiser la détection. Il a poussé en 2026 une offensive dite « IA-native », avec un outil d’audit assisté par intelligence artificielle présenté comme un complément aux auditeurs humains plutôt qu’un remplaçant, capable d’analyser du code en continu et de signaler les schémas suspects. L’objectif affiché est de raccourcir le délai entre le déploiement d’un contrat et la découverte d’un problème, ce « danger window » que Ronghui Gu décrit comme rarement refermé après le lancement. Mais l’intelligence artificielle déplace le problème autant qu’elle le résout : elle excelle à repérer des motifs de code connus, beaucoup moins à juger qu’un facteur de collatéral de 20 % sur un jeton à un million de dollars de liquidité est une invitation au désastre. Ce jugement-là reste, pour l’heure, profondément humain.

Le paradoxe de l’audit : le code tient, le protocole tombe

Le mois d’août confirme, données à l’appui, une thèse que Ronghui Gu martèle depuis la publication du rapport Hack3d du premier semestre. Interrogé par Forbes, le patron de CertiK résumait la bascule : « A protocol can pass a flawless code audit and still lose millions because of a compromised admin key. » Et d’ajouter que les attaquants « are getting more return by going after key management, multisig governance, and operational infrastructure than by hunting for bugs in code ». Août élargit encore le constat : au-delà des clés et de l’infrastructure, c’est désormais la conception économique, oracles et collatéraux, qui offre le meilleur rendement aux pillards.

Le premier semestre 2026 avait déjà donné le ton : environ 1,32 milliard de dollars perdus sur 344 incidents, d’après le rapport Hack3d H1 2026. Le chiffre paraissait en baisse d’une année sur l’autre, mais l’effet était trompeur : le recul s’expliquait par l’absence d’un méga-vol comparable au piratage de Bybit de 2025 ; à périmètre comparable, l’activité malveillante avait en réalité progressé. Gu observait alors que « what stood out most was the shape of the losses ». La forme, encore et toujours.

Ce paradoxe alimente une critique récurrente : un « badge » d’auditeur ne vaut pas garantie. CertiK en a fait l’amère expérience, avec des projets estampillés puis pillés, et une controverse retentissante en 2024 lorsque ses chercheurs avaient retiré près de 3 millions de dollars de fonds réels de Kraken pour démontrer une faille. Le directeur de la sécurité de Kraken, Nick Percoco, avait alors tranché : « This is not white-hat hacking, it is extortion », rapportait CoinDesk. CertiK avait défendu une démarche de recherche légitime. L’épisode rappelle qu’un auditeur reste un prestataire faillible, non un label d’infaillibilité.

Les exemples de projets estampillés puis pillés ne manquent pas. Le protocole Swaprum, audité par CertiK, s’est mué en « rug pull » d’environ 3 millions de dollars en 2023, ses développeurs s’évaporant avec les fonds, comme le documentait DL News ; le DEX Merlin, sur zkSync, avait connu peu avant une fuite orchestrée en interne malgré une note favorable. Ces cas ne prouvent pas que l’audit ne sert à rien, mais qu’il ne couvre pas ce qu’on lui prête souvent : ni la malveillance des fondateurs, ni la manipulation de marché, ni les clés mal gardées. Un audit atteste qu’à un instant donné, dans un périmètre défini, le code examiné ne présentait pas de faille connue. Rien de plus, et c’est déjà beaucoup, à condition de ne pas le confondre avec une assurance tous risques.

Gel, halte et récupération : pourquoi 110 millions sont revenus

Revenons à ce chiffre en apparence réconfortant : environ 110,7 millions de dollars gelés ou restitués sur les 215 millions dérobés en août. Il ne traduit pas une soudaine efficacité défensive de la DeFi, mais l’usage d’outils de plus en plus musclés pour reprendre la main après coup. Le principal, sur le mois, aura été l’arrêt pur et simple de la blockchain Cronos, qui a immobilisé la majeure partie du butin de Tectonic. À cela s’ajoutent les gels de stablecoins par les émetteurs, les listes noires d’adresses et les efforts de traçage menés par des cabinets comme PeckShield ou Blockaid, qui ont suivi pas à pas la consolidation des fonds volés à Moonwell.

Ces mécanismes de récupération sont réels et parfois spectaculaires, mais ils arrivent après la fracture, jamais avant. Un protocole vidé de sa substance ne « récupère » pas au sens où l’utilisateur retrouverait ses fonds : le plus souvent, la valeur reste gelée dans les limbes, prisonnière d’une chaîne à l’arrêt ou d’une adresse blacklistée, le temps de négociations, de forks ou de procédures qui peuvent durer des mois. La restitution n’est pas l’annulation du vol ; c’est, au mieux, une chance de le réparer partiellement.

Ces gels posent d’ailleurs leur propre dilemme. La capacité d’un émetteur de stablecoin à figer une adresse sur simple décision protège les victimes, mais rappelle que ces jetons, présentés comme de la monnaie numérique neutre, restent contrôlables par un tiers. Ce qui sauve aujourd’hui un utilisateur pillé pourrait, demain, servir à en bloquer un autre pour de tout autres raisons. La sécurité par le gel est efficace ; elle a un coût en matière de neutralité, exactement comme l’arrêt d’une blockchain entière.

Halte de chaîne : le prix caché de la sécurité

L’arrêt de Cronos pose une question de fond que le secteur préfère souvent esquiver. Une blockchain que quelques validateurs peuvent stopper en quelques minutes est-elle encore décentralisée ? Le coup de frein a sauvé une soixantaine de millions de dollars, personne ne le conteste. Mais il a aussi révélé qu’un petit groupe d’acteurs pouvait figer l’ensemble des transactions, des ponts et des contrats d’un réseau entier, y compris ceux des utilisateurs parfaitement étrangers à l’incident. La sécurité et la censure partagent ici le même levier.

Il s’agit d’un arbitrage classique entre résilience et neutralité, décliné à l’échelle d’une chaîne entière. Un maximaliste de la décentralisation y verra une trahison du principe fondateur : une chaîne réellement sans permission ne devrait pas pouvoir être éteinte à la demande. Un gestionnaire de risque y verra un mécanisme de coupe-circuit salutaire, comparable à la suspension de cotation d’une place boursière. Les deux ont raison, et c’est bien le problème : chaque réseau doit choisir où placer le curseur, et ce choix, souvent invisible en temps normal, devient soudain déterminant le jour où un attaquant frappe. Pour l’investisseur, la leçon est claire : la « décentralisation » affichée d’un réseau mérite d’être vérifiée, pas présumée.

Vu de France : MiCA, l’AMF et l’angle mort de la DeFi

Pour l’épargnant français, ces exploits soulèvent une question très concrète : quel recours en cas de perte ? La réponse est décevante, et il vaut mieux la connaître avant d’y être confronté. Le règlement européen MiCA encadre les prestataires de services sur crypto-actifs (les PSAN, appelés à devenir CASP) et les émetteurs de jetons, mais pas le code des protocoles décentralisés eux-mêmes. Aucun régulateur français ou européen ne certifie ni n’accrédite les auditeurs de smart contracts : un rapport CertiK ou un score Skynet, aussi utiles soient-ils, ne sont pas des agréments officiels.

Un protocole comme Tectonic ou Moonwell, dans sa version pleinement décentralisée, n’a généralement aucun prestataire régulé dans la boucle. Il n’y a pas de guichet où déposer une réclamation, pas d’intermédiaire tenu par la directive DORA sur la résilience opérationnelle, pas de fonds de garantie. La période transitoire du régime PSAN vers MiCA s’est d’ailleurs achevée le 1er juillet 2026 en France ; l’AMF a rappelé début 2026 que les acteurs non conformes devaient organiser un retrait ordonné. Mais cette protection ne couvre que les intermédiaires enregistrés, pas les contrats autonomes qui vivent sur la chaîne. Rappelons enfin que les dérivés crypto relèvent, eux, de MiFID II et non de MiCA ; nous détaillions cette frontière mouvante à propos des perpétuels régulés face aux perp DEX. Pour la plupart des exploits DeFi, l’investisseur français reste, juridiquement, largement seul.

Cela ne signifie pas que le droit soit totalement absent. Lorsqu’un intermédiaire régulé se trouve dans la chaîne, une plateforme d’échange agréée, un service de conservation, MiCA prévoit un régime de responsabilité (notamment à son article 75 pour la garde d’actifs) et impose, via DORA, des obligations de résilience opérationnelle. Un épargnant lésé par un prestataire enregistré peut saisir l’AMF ou solliciter un médiateur. La difficulté tient à la nature même de la DeFi : quand les fonds passent d’un portefeuille auto-hébergé à un contrat autonome, sans jamais transiter par une entité régulée, ce filet disparaît. La règle de prudence est donc simple : pour les montants qui comptent, privilégier des points d’entrée régulés, et considérer l’exposition à un protocole purement on-chain pour ce qu’elle est, un pari assumé et le plus souvent sans recours.

Se protéger : lire l’audit, pas le badge

Faut-il pour autant fuir la DeFi ? Non, mais il faut apprendre à lire au-delà du logo rassurant. Les incidents d’août livrent une grille de lecture pratique, valable pour tout utilisateur qui dépose des fonds dans un protocole de prêt ou de rendement.

• Regarder le collatéral, pas seulement l’audit. Un protocole qui accepte comme garantie un jeton peu liquide, souvent son propre jeton de gouvernance, avec un facteur de collatéral généreux, est une cible potentielle. Tectonic et Moonwell l’ont montré coup sur coup.
• Comprendre l’oracle. D’où vient le prix qui sert de référence ? Un oracle qui lit le prix spot d’un marché mince est manipulable ; un oracle robuste agrège plusieurs sources, applique des délais ou des bornes.
• Lire le rapport d’audit, pas le badge. Un audit précise un périmètre et une date. Il ne dit rien du code modifié après coup, ni des risques économiques hors de son champ. Nous expliquions comment décoder un rapport dans notre analyse du rapport Trail of Bits.
• Vérifier la vérifiabilité. La confiance minimale, celle qu’on peut contrôler soi-même, vaut mieux que la confiance aveugle : c’est la même logique que celle d’un casino provably fair, où l’utilisateur peut prouver l’équité plutôt que de la présumer.
• Diversifier et limiter l’exposition. Ne jamais concentrer sur un seul protocole plus que ce que l’on est prêt à perdre le jour où le prix, pas le code, se met à mentir.

Certaines réponses techniques existent en amont. La vérification formelle, qui prouve mathématiquement des propriétés du code plutôt que de les tester, gagne du terrain ; nous lui avons consacré un dossier. Mais même la preuve formelle a ses limites : elle démontre que le code respecte une spécification, pas que la spécification elle-même est saine. Si l’on prouve rigoureusement qu’un contrat emprunte correctement contre un prix d’oracle, et que ce prix est faux, la preuve est juste et le protocole tombe quand même.

La trajectoire 2026 : du code aux clés, des clés au prix

Mis bout à bout, les rapports de CertiK dessinent une évolution nette du risque au fil de 2026. En début d’année, les grands sinistres venaient encore de failles de code et surtout de compromissions opérationnelles et de clés privées, à l’image des méga-incidents du premier semestre. Le phishing et l’ingénierie sociale ont ensuite pris le relais, pesant lourd sur plusieurs mois. Août ajoute une couche : le retour de la manipulation de prix comme premier vecteur de pertes DeFi. Le cabinet souligne d’ailleurs qu’une part importante des pertes de l’année reste attribuable à des acteurs étatiques, notamment nord-coréens, un thème développé dans son portail Skynet.

Cette migration du risque, du code vers les clés puis vers le prix, complique la tâche des défenseurs. Chaque déplacement rend obsolète une partie de l’outillage précédent : on a appris à auditer le code, à sécuriser les clés avec du multisig, et voilà que l’attaque se loge dans la conception économique et la liquidité du collatéral, un terrain que peu d’audits couvrent en profondeur. Dans un marché où le Bitcoin évolue autour de 68 000 euros et où les capitaux affluent au gré des anticipations sur la politique de la Fed et de Warsh, chaque hausse gonfle mécaniquement la valeur des cibles, et donc l’incitation à les attaquer. La sécurité de la DeFi ne sera pas gagnée par un audit de plus, mais par une discipline permanente sur les hypothèses les plus fragiles : à commencer par celle que le prix affiché est le prix vrai.

Pour l’investisseur français comme pour le développeur, le message d’août 2026 tient en une ligne : le badge d’audit répond à la question « le code fait-il ce qu’il dit ? », mais l’argent se perd de plus en plus sur une autre question, « le monde autour du code est-il ce qu’il prétend être ? ». Tant que la réponse dépendra d’un jeton illiquide et d’un oracle naïf, les tableaux de chasse mensuels de CertiK continueront de se remplir.

Foire aux questions

Que dit le rapport CertiK d’août 2026 ?

D’après le décompte mensuel de CertiK relayé le 31 août 2026, la crypto a perdu environ 215 millions de dollars sur le mois, avec la DeFi (environ 144,6 millions) et surtout la manipulation de prix (131,6 millions) comme premiers vecteurs. Environ 110,7 millions ont été gelés ou restitués, en grande partie grâce à l’arrêt de la blockchain Cronos après l’exploit de Tectonic.

Qu’est-ce qu’une attaque par manipulation de prix en DeFi ?

C’est une attaque qui trompe l’oracle de prix d’un protocole plutôt que d’exploiter une faille de son code. L’assaillant gonfle artificiellement le cours d’un jeton peu liquide accepté comme garantie, dépose ce collatéral survalorisé, puis emprunte contre lui des actifs bien réels. Le contrat fonctionne normalement ; c’est le prix qui est faux. Tectonic et Moonwell en sont deux exemples récents.

CertiK a-t-il été piraté ?

Non. CertiK est le cabinet de sécurité qui recense et analyse les piratages du secteur via sa plateforme Skynet ; il n’a pas été victime des exploits d’août 2026. La confusion vient du fait que son nom apparaît dans presque tous les articles sur ces incidents, en tant qu’observateur et non de cible.

Un protocole audité par CertiK est-il sûr ?

Un audit réduit le risque, il ne l’annule pas. Il porte sur un code, à une date et dans un périmètre donnés, et ne couvre pas nécessairement les risques économiques comme la manipulation de prix ou le choix d’un collatéral illiquide. Plusieurs protocoles audités ont été pillés. Le badge d’audit n’est ni une garantie ni un agrément réglementaire.

Comment se protéger des exploits de type Tectonic ?

Vérifier quels actifs un protocole accepte comme garantie et leur liquidité, comprendre d’où vient le prix utilisé par l’oracle, lire le rapport d’audit plutôt que le simple logo, privilégier les protocoles éprouvés et diversifier son exposition. En cas de doute sur la robustesse d’un oracle ou d’un collatéral peu échangé, mieux vaut réduire son dépôt.

Par Camille Fontaine, correspondante sécurité et DeFi pour HOGE Wire.