Détecter n’est pas empêcher : la surveillance crypto en revue

Le troisième trimestre 2026 a réglé un vieux débat. Pendant des années, la question de sécurité crypto se résumait à une ligne sur une plaquette de levée de fonds : audité par X. Puis sont arrivés trois mois qui ont vidé cette promesse de son sens. Selon le rapport Hack3d du troisième trimestre publié par CertiK, les pertes liées aux incidents de sécurité ont atteint environ 1,13 milliard d’euros (1,26 milliard de dollars) sur 247 incidents, en hausse de 53,9 % sur le trimestre, et septembre a été le pire mois de l’année avec 99 incidents et plus de 686 millions d’euros dérobés (Cointelegraph, rapport CertiK T3 2026). Le cumul depuis janvier dépasse désormais 2,39 milliards d’euros (2,68 milliards de dollars).

Le détail compte plus que le total. Les deux plus gros sinistres du trimestre, le vol de 346 millions d’euros environ chez l’exchange Bitget et l’exploitation de 285 millions d’euros sur le Liquid Network de Blockstream, n’avaient rien d’un bug de smart contract. Aucun cabinet d’audit de code, aussi rigoureux soit-il, n’aurait pu les voir venir, parce que la faille n’était pas dans le code. Ce constat a déplacé l’argent et l’innovation de la sécurité crypto : la partie qui lève le plus de fonds et grandit le plus vite n’est plus l’audit ponctuel, c’est la surveillance en temps réel. Cet article passe cette couche en revue : qui sont les acteurs, ce qu’ils promettent, comment ils travaillent, et pourquoi, en 2026, détecter un hack reste très loin de l’empêcher.

Le trimestre qui a tout dit

Commençons par les faits. Le hack de Bitget, annoncé les 24 et 25 septembre, a vu partir environ 346 millions d’euros (387,5 millions de dollars) des portefeuilles chauds et tièdes de la plateforme, répartis sur sept réseaux. La directrice générale Gracy Chen a écarté le vol de clé privée : les fonds sont sortis via des transferts internes non autorisés, c’est-à-dire une compromission de l’infrastructure opérationnelle, pas une ligne de Solidity mal écrite (PYMNTS). En trois heures, l’argent avait quitté Bitget en 23 transferts vers quatre chaînes, et le 1er octobre Chainalysis attribuait le vol à la Corée du Nord, portant au-delà du milliard de dollars le butin des groupes liés à Pyongyang en 2026 (Chainalysis via Cryptorank).

Le deuxième choc du trimestre a frappé le 6 septembre le Liquid Network, la sidechain Bitcoin opérée par Blockstream. L’attaquant a exploité un défaut du logiciel des validateurs pour fabriquer des jetons de bitcoin synthétique non adossés, puis les a convertis en vrais BTC, pour environ 285 millions d’euros (319 millions de dollars). Particularité rare : après des échanges on-chain avec l’équipe, l’attaquant a restitué 3 400 BTC le lendemain, soit plus de 85 % du butin (TRM Labs). Derrière ces deux dossiers, le trimestre aligne des vecteurs tout aussi hostiles au code audité : la manipulation d’oracle de Tectonic (environ 120 millions de dollars d’impact selon CertiK), le vol de 112,7 millions de dollars lié à des portefeuilles Coldcard, et une longue série de compromissions de clés et d’ingénierie sociale. Septembre, à lui seul, a cumulé près de 769 millions de dollars de pertes, dont environ 273 millions gelés ou rendus, laissant une perte nette de 495,3 millions (crypto.news).

Pourquoi un audit ne pouvait rien voir

Un audit de smart contract est une photographie. Un cabinet lit une version figée du code pendant deux à six semaines, cherche les classes de bugs connues, rend un rapport, puis s’en va. Ce travail reste nécessaire : il élimine les erreurs d’arithmétique, les failles de contrôle d’accès, les réentrances. Mais il couvre le vecteur le plus fréquent, pas le plus coûteux. Le cabinet de recherche Ack3 a calculé que, sur le premier semestre 2026, 94,4 % des montants volés à des projets pourtant audités sont sortis par du code ou de l’infrastructure que les auditeurs n’avaient jamais examinés (Ack3). Clés, gouvernance multisig, nœuds RPC, configuration des intégrations tierces, logiciel des validateurs, portefeuilles d’exchange : tout cela vit hors du périmètre de l’audit, et c’est précisément là que l’argent part en 2026.

Ronghui Gu, cofondateur de CertiK, le formule sans détour : les attaquants, dit-il, obtiennent un meilleur rendement en visant la gestion des clés, la gouvernance multisig et l’infrastructure opérationnelle qu’en chassant des bugs dans le code, et surtout, selon lui, la fenêtre de danger ne se referme pas après le lancement : un projet est audité une fois, passe, puis ne revient jamais sur ce code pendant que le reste de sa pile évolue autour (Forbes). Si la fenêtre reste ouverte en permanence, un contrôle ponctuel ne suffit plus. Il faut quelqu’un, ou quelque chose, qui regarde en continu. C’est la promesse de la deuxième ligne de défense.

La surveillance en temps réel, deuxième ligne

La surveillance en temps réel (on parle aussi de runtime monitoring ou de détection on-chain) part d’une idée simple : si l’attaque se produit après l’audit, il faut la repérer pendant qu’elle se prépare ou se déroule. Concrètement, ces plateformes ingèrent en continu les données d’une ou plusieurs chaînes, souvent complétées par des signaux hors chaîne (mempool, réseaux sociaux, dépôts de code, mouvements de portefeuilles connus), et font tourner des modèles d’apprentissage automatique qui cherchent des schémas anormaux : un contrat qui reçoit un flash loan géant, une adresse fraîchement financée par un mixeur qui interagit avec un pont, un paramètre de gouvernance qui bascule, un oracle qui décroche d’un marché épais. Quand un motif correspond à une attaque probable, le système lève une alerte en quelques secondes, idéalement avant la transaction qui vide le coffre.

La différence avec les cabinets de forensique on-chain (Chainalysis, TRM Labs, Elliptic) est une question de calendrier. La forensique travaille après : elle trace l’argent volé, l’attribue, aide à geler ce qui peut l’être. La surveillance travaille avant ou pendant : elle veut donner à un protocole ou à un exchange les quelques minutes qui séparent la détection de la perte. C’est un marché distinct de celui de l’audit, avec ses propres acteurs, ses propres levées de fonds et, on le verra, ses propres angles morts. Quatre noms dominent la conversation en 2026, chacun avec un modèle différent.

Hypernative : la détection institutionnelle

Hypernative, société israélienne lancée en septembre 2022, est devenue la référence du créneau pour les grands protocoles et les institutions. Elle a levé environ 65 millions de dollars en trois tours, dont une série B de 40 millions codirigée par Ten Eleven Ventures et Ballistic Ventures, après une série A de 16 millions rapportée par The Block. Sa plateforme surveille à la fois des données on-chain et off-chain sur plus de 60 chaînes, dit identifier plus de 200 types de risques (exploits de contrats, failles de ponts, manipulations de marché) et revendique plus de 200 clients, parmi lesquels Uniswap, Circle, Chainlink, Consensys, Galaxy et, ironie du secteur, Chainalysis.

Les chiffres mis en avant sont spectaculaires et doivent être lus comme des revendications commerciales, pas comme des faits audités : Hypernative affirme avoir contribué à préserver plus de 3 milliards de dollars de fonds clients, et dit détecter 98 % des exploits environ deux minutes avant la première transaction malveillante (mpost). Deux minutes, c’est à la fois énorme et dérisoire, et toute la tension de ce marché tient dans cet écart, sur lequel nous reviendrons. Pour un trésor DeFi de plusieurs milliards, pour un pont cross-chain ou pour l’émetteur d’un stablecoin, c’est le genre d’avance qui justifie un abonnement à cinq ou six chiffres par an.

Hexagate : Chainalysis passe à la prévention

Le signal le plus clair de la montée en puissance de ce marché date du 19 décembre 2024 : Chainalysis, le géant de la forensique, a racheté Hexagate, une jeune société israélienne de détection de menaces Web3 fondée en 2022 (Cointelegraph). Le directeur général de Chainalysis, Jonathan Levin, a expliqué que son entreprise devait aller au-delà de l’enquête pour investir dans la prévention : tracer l’argent volé ne console pas la victime, l’arrêter avant le vol oui. C’est le même glissement que celui décrit dans notre revue des hacks de ponts cross-chain, où les clés cèdent avant le code : quand la faille n’est plus dans le contrat, la défense remonte vers l’infrastructure et le temps réel.

Hexagate, désormais déployée sur Avalanche, Stacks et d’autres réseaux, utilise des modèles d’apprentissage automatique pour repérer en temps réel des transactions suspectes et revendique avoir évité plus d’un milliard de dollars de pertes à ses clients, dont Coinbase et Consensys, avec, selon l’entreprise, la quasi-totalité des hacks connus détectés et plus de 98 % repérés avant leur exécution (Chainalysis). Le rachat a une portée symbolique : l’acteur dont le métier historique était de suivre l’argent après le hack a payé pour apprendre à le voir avant. La prévention est officiellement devenue un produit.

Blockaid : filtrer avant la signature

Hypernative et Hexagate surveillent surtout le protocole et l’infrastructure. Blockaid, autre société israélienne fondée par d’anciens de l’armée et lancée en octobre 2023, attaque le problème par l’autre bout : l’utilisateur et sa signature. Sa technologie simule et valide chaque transaction en temps réel, avant qu’elle ne parte, pour montrer au signataire ce qui va réellement changer dans son portefeuille, et bloquer les connexions à des applications malveillantes. C’est la brique de sécurité embarquée dans des portefeuilles grand public comme MetaMask et dans des plateformes comme Coinbase, Stellar, Uniswap ou World App.

Blockaid a bouclé une série B de 50 millions de dollars en février 2025, menée par Ribbit Capital avec GV, Variant et Cyberstarts (The Block). L’entreprise dit avoir bloqué plus de 71 millions d’attaques, identifié plus de 15 millions d’applications décentralisées malveillantes et, depuis son lancement, sécurisé plus de 101 milliards de dollars d’actifs en évitant plus de 5,3 milliards de pertes potentielles. Ce filtrage pré-signature est la dernière barrière contre des arnaques qui ne relèvent d’aucun audit de contrat : le drainer caché derrière un bouton, l’approbation piégée, ou l’empoisonnement d’adresse qui transforme un copier-coller en virement au voleur. Là encore, la faille n’est pas dans le code du protocole, elle est dans ce que l’humain s’apprête à signer.

Forta : la surveillance décentralisée

Face à ces plateformes propriétaires, Forta propose un modèle ouvert et décentralisé, articulé autour du jeton FORT. Le réseau repose sur deux briques : des bots de détection, scripts qui analysent les données de la chaîne pour repérer une condition de menace précise, et des nœuds de scan qui exécutent ces bots sur chaque transaction et chaque nouveau bloc (ethereum.org). Des centaines d’agents, dopés à l’apprentissage automatique, surveillent ainsi Ethereum, Polygon ou BNB Chain en continu. Point décisif pour la suite : un bot Forta peut être branché directement sur la fonction de pause d’un protocole, transformant une alerte en action automatique.

Cette architecture ouverte explique pourquoi Forta s’est intégrée aux efforts communautaires de sécurité, notamment dans le sillage de l’initiative Trillion Dollar Security de l’Ethereum Foundation, où le réseau est cité comme brique de surveillance en temps réel (The Defiant). Le modèle décentralisé a une vertu : n’importe quelle équipe peut écrire un bot pour sa propre logique métier. Il a aussi une limite : un réseau ouvert ne vend pas de garantie contractuelle, et la qualité des bots dépend de leurs auteurs.

Skynet, Monitor et le reste de la carte

Autour de ces quatre acteurs gravite le reste du marché. CertiK, le cabinet d’audit le plus visible, a intégré la surveillance à son offre avec Skynet, un tableau de bord de notation continue qui suit, d’après l’entreprise, près de 500 milliards de dollars de capitalisation de projets audités (CertiK). OpenZeppelin, désormais filiale de S&P Global, a de son côté arrêté sa plateforme Defender au 1er juillet 2026 pour la remplacer par des briques open-source, dont un composant Monitor, en justifiant ce virage par la liberté laissée aux équipes de bâtir leur propre infrastructure (OpenZeppelin). S’y ajoutent les surveillants du risque économique, comme Chaos Labs et Gauntlet, qui ne cherchent pas un exploit de code mais une dérive de paramètres (collatéral, liquidité, décrochage de peg) capable de rendre un protocole insolvable sans la moindre ligne de code piratée, exactement le type de risque qui pèse sur un émetteur comme Ethena et son dollar synthétique adossé à un basis trade.

Le tableau ci-dessous résume la carte. Les bilans sont des chiffres revendiqués par les sociétés elles-mêmes : ils mesurent l’ambition du secteur, pas une vérité indépendante.

Détecter n’est pas empêcher

Voici le point que les plaquettes commerciales effleurent : une alerte n’est pas un arrêt. Détecter une attaque deux minutes avant la transaction fatale ne vaut que si quelqu’un, ou un automatisme, peut agir dans ces deux minutes. Or la fenêtre d’action réelle en 2026 est brutale. Le casse de Drift, reconstitué image par image, a vidé environ 285 millions de dollars en douze minutes (Chainalysis), un rythme que notre récit détaillé du mode opératoire et de la parade qui recentralise illustre bien. Chez Bitget, l’argent a quitté la plateforme en trois heures et 23 transferts. Chez Tectonic, la manipulation d’oracle a fait son œuvre en une vingtaine de minutes. À cette vitesse, un humain qui lit une alerte, convoque un appel d’urgence et prépare une transaction de pause a déjà perdu.

David Schwed, directeur des opérations de la société de sécurité SVRN, résume la logique pour l’outillage automatisé : si la personne qui fait tourner l’outil ne peut pas évaluer ce qu’il renvoie, elle n’a pas acheté de la sécurité, elle a acheté un faux sentiment de sécurité (CoinDesk). Transposé à la surveillance : un abonnement à une plateforme de détection sans équipe d’astreinte capable d’agir, ni plan de réponse testé, ni mécanisme d’arrêt automatique, ne produit pas une défense, il produit une notification plus rapide du désastre. Le tableau suivant met la promesse des deux minutes à l’épreuve des faits du trimestre.

Le coupe-circuit et le dilemme de la recentralisation

La réponse technique à l’étroitesse de la fenêtre, c’est le coupe-circuit : une fonction de pause qui peut geler un contrat en une seule transaction, déclenchée automatiquement par un bot de surveillance plutôt que par un humain. Forta met en avant cette intégration, et des propositions de standard circulent pour normaliser ce schéma de circuit breaker. Sur le papier, c’est l’aboutissement logique de la détection : transformer les deux minutes d’avance en un gel instantané avant que le coffre ne se vide.

En pratique, le coupe-circuit rouvre un procès que la DeFi croyait clos. Qui détient la clé de pause ? Un multisig d’équipe, un garde unique, un bot autonome ? Chacune de ces réponses réintroduit exactement le point de contrôle centralisé que la décentralisation prétend supprimer, et crée une nouvelle surface d’attaque : capturer la fonction de pause, c’est pouvoir figer un protocole sain, ou pire, le pauser pour empêcher les retraits pendant qu’on l’attaque par ailleurs. C’est la tension que notre analyse des attaques de gouvernance et de la parade qui recentralise décrit dans un autre registre : chaque mécanisme de défense d’urgence est aussi un levier de pouvoir, et un levier de pouvoir finit toujours par être convoité. Un faux positif a lui aussi un coût : pauser à tort un protocole de prêt en pleine volatilité peut déclencher les liquidations qu’on voulait éviter.

SEAL 911 et le Safe Harbor : les pompiers du direct

Entre la détection automatique et le coupe-circuit, il existe une couche humaine, bénévole et étonnamment efficace : la Security Alliance (SEAL), lancée le 14 février. Son service SEAL 911 est un canal d’urgence sur Telegram où une quarantaine de hackers white hat peuvent recevoir le signalement d’un hack en cours et aider en temps réel : prévenir l’équipe, coordonner une pause de contrat quand elle est possible, suivre les fonds. Le prototype remonte à 2022, et le premier sauvetage documenté date de septembre 2023, quand des white hats affiliés ont stoppé un voleur en plein exploit et préservé environ 200 000 dollars (Cointelegraph Magazine).

SEAL a aussi tenté de régler le problème juridique qui paralyse souvent l’intervention : un white hat qui déplace les fonds d’autrui pendant une attaque agit dans une zone grise. L’accord Whitehat Safe Harbor est un contrat on-chain qu’un protocole adopte à l’avance pour préautoriser ces interventions d’urgence, avec restitution des fonds sous 72 heures et une prime plafonnée à 10 % des montants récupérés, dans la limite d’un million de dollars (Security Alliance). C’est l’aveu, par l’industrie elle-même, que la surveillance ne vaut que si elle débouche sur un droit d’agir, négocié avant la crise et non pendant. L’outil détecte, l’humain intervient, mais seulement si le cadre a été posé à froid.

DORA : la seule règle qui impose la surveillance

Aucun régulateur n’accrédite les cabinets d’audit de smart contracts, et ni MiCA ni le droit français n’imposent de faire auditer le code d’un protocole. La surveillance, elle, a trouvé un ancrage réglementaire inattendu : le règlement européen DORA sur la résilience opérationnelle numérique, pleinement applicable depuis le 17 janvier 2025. DORA impose aux entités couvertes de surveiller, détecter et classer les incidents liés aux technologies de l’information, puis de les déclarer selon une cascade stricte : une notification initiale dans les quatre heures suivant la qualification d’un incident majeur et au plus tard 24 heures après sa détection, une notification intermédiaire sous 72 heures, un rapport final sous un mois (Debevoise Data Blog).

Les prestataires de services sur crypto-actifs agréés sous MiCA, c’est-à-dire les exchanges, les conservateurs et les gestionnaires, entrent explicitement dans le périmètre de DORA. En clair, une plateforme comme Bitget, si elle opérait sous licence européenne, devrait déjà disposer d’une capacité de détection et de réponse, et déclarer son incident en quelques heures : exactement la discipline que la surveillance en temps réel outille. En France, c’est l’AMF qui supervise les CASP et rappelle que la période transitoire des anciens PSAN s’est achevée le 1er juillet 2026 (AMF). La limite est nette : DORA contraint le prestataire centralisé, l’entité identifiable derrière une marque. Il ne touche pas le protocole DeFi pleinement décentralisé, qui reste hors champ. Pour ce dernier, la surveillance n’est pas une obligation, c’est un choix, et l’absence de surveillance n’expose à aucune sanction autre que le marché.

Ce que « surveillé » veut dire pour vous

La conclusion du trimestre n’est pas que l’audit est inutile ; il reste le filtre indispensable contre les bugs de code. La conclusion est que l’audit est un point de départ, jamais un point d’arrivée, et que la défense sérieuse en 2026 s’empile en couches : le code est audité, le système est surveillé, l’équipe est capable de réagir, et le risque résiduel est idéalement assuré. La surveillance en temps réel est la couche qui a le plus progressé, parce qu’elle répond au vrai visage des pertes : des attaques rapides, visant l’infrastructure et les humains, hors de portée d’une photographie du code.

Pour un investisseur ou un utilisateur, le réflexe utile change donc de nature. Demander qui a audité ne suffit plus ; il faut demander qui regarde en continu, et qui peut appuyer sur le bouton. Un protocole qui publie son dispositif de surveillance, nomme son fournisseur, décrit sa procédure de pause et son adhésion à un cadre comme le Safe Harbor en dit plus long sur sa maturité qu’un badge d’audit vieux de deux ans. Car la leçon du T3 2026 tient en une phrase, et elle s’ajoute à la liste des vérités inconfortables de ce cycle : tracer n’est pas récupérer, déposer n’est pas épargner, et désormais, détecter n’est pas empêcher. L’alerte n’a de valeur que par la main qui agit derrière elle, et dans une fenêtre de douze minutes, cette main doit déjà être en place.

Foire aux questions

Quelle est la différence entre un audit et la surveillance en temps réel ?

Un audit est une revue ponctuelle du code à un instant donné : il cherche les bugs connus avant le déploiement, puis s’arrête. La surveillance en temps réel observe en continu la chaîne et l’infrastructure après le lancement, pour repérer une attaque pendant qu’elle se prépare ou se déroule. L’audit couvre le vecteur le plus fréquent, le code ; la surveillance vise les vecteurs les plus coûteux de 2026, souvent hors du périmètre d’un audit.

La surveillance en temps réel peut-elle vraiment empêcher un hack ?

Pas à elle seule. Ces plateformes détectent une attaque, parfois environ deux minutes avant la transaction décisive, mais détecter n’est pas empêcher. Pour arrêter le vol, il faut agir dans une fenêtre très courte, via un coupe-circuit automatique ou une équipe d’astreinte. Or les plus gros sinistres de 2026 ont vidé leur cible en quelques minutes à quelques heures : sans mécanisme d’arrêt préparé à l’avance, l’alerte ne fait qu’annoncer la perte plus vite.

Quelles sont les principales plateformes de surveillance crypto en 2026 ?

Les plus citées sont Hypernative, orientée institutions et grands protocoles, Hexagate, racheté par Chainalysis fin 2024, et Blockaid, spécialisé dans la simulation de transaction avant signature pour les portefeuilles. S’y ajoutent le réseau décentralisé Forta et son jeton FORT, la plateforme Skynet de CertiK, les briques open-source d’OpenZeppelin, ainsi que des surveillants du risque économique comme Chaos Labs et Gauntlet.

La réglementation impose-t-elle la surveillance en temps réel en crypto ?

Partiellement. Le règlement européen DORA, applicable depuis le 17 janvier 2025, oblige les prestataires de services sur crypto-actifs agréés sous MiCA à détecter, surveiller et déclarer leurs incidents selon une cascade stricte allant de quatre heures à un mois. En France, l’AMF supervise ces prestataires. Mais DORA ne vise que les entités centralisées, exchanges et conservateurs ; un protocole DeFi pleinement décentralisé reste hors champ et n’a aucune obligation de surveillance.

Comment savoir si un projet crypto est surveillé en temps réel ?

Un projet sérieux documente son dispositif : il nomme son fournisseur de surveillance, décrit sa procédure de pause d’urgence et précise qui détient la clé pour la déclencher. L’adhésion à un cadre comme le Safe Harbor de la Security Alliance, qui préautorise les interventions de white hats pendant une attaque, est un bon signal. En l’absence de ces informations, un simple badge d’audit, surtout ancien, ne dit rien de la défense en temps réel.

Par la rédaction de HOGE Wire, desk sécurité.