{"id":457,"date":"2026-08-31T22:31:20","date_gmt":"2026-08-31T22:31:20","guid":{"rendered":"https:\/\/hoge.gg\/fr\/certik-bilan-aout-2026-defi-manipulation-prix\/"},"modified":"2026-08-31T22:31:20","modified_gmt":"2026-08-31T22:31:20","slug":"certik-bilan-aout-2026-defi-manipulation-prix","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/certik-bilan-aout-2026-defi-manipulation-prix\/","title":{"rendered":"CertiK : le bilan d’ao\u00fbt o\u00f9 la DeFi a pay\u00e9 le prix"},"content":{"rendered":"

Dimanche 30 ao\u00fbt 2026, en fin de journ\u00e9e, la blockchain Cronos a tout simplement cess\u00e9 de produire des blocs. Pas un ralentissement ni une congestion passag\u00e8re : un arr\u00eat complet, d\u00e9cid\u00e9 en quelques minutes par les validateurs pour contenir un pillage en cours sur Tectonic, le principal protocole de pr\u00eat du r\u00e9seau associ\u00e9 \u00e0 Crypto.com. Le lendemain, 31 ao\u00fbt, le cabinet de s\u00e9curit\u00e9 CertiK a publi\u00e9 son d\u00e9compte mensuel. Le verdict est s\u00e9v\u00e8re : environ 215 millions de dollars (pr\u00e8s de 185 millions d’euros) partis en fum\u00e9e sur trente jours, selon les chiffres relay\u00e9s par The Crypto Times<\/a>. Ao\u00fbt signe ainsi le mois au plus grand nombre d’incidents recens\u00e9s par CertiK depuis le d\u00e9but de l’ann\u00e9e.<\/p>

Ce qui frappe n’est pas seulement le montant. C’est la forme des pertes. Apr\u00e8s un premier semestre o\u00f9 les attaquants avaient d\u00e9laiss\u00e9 le code au profit des cl\u00e9s priv\u00e9es, du phishing et des failles op\u00e9rationnelles, ao\u00fbt 2026 marque le retour en force d’un vieux d\u00e9mon : la manipulation de prix. Deux protocoles de pr\u00eat, Tectonic sur Cronos et Moonwell sur Base, ont \u00e9t\u00e9 vid\u00e9s sans qu’une seule ligne de leur code audit\u00e9 ne c\u00e8de. Le contrat a fait exactement ce pour quoi il avait \u00e9t\u00e9 \u00e9crit. C’est le d\u00e9cor qui mentait. Alors que le Bitcoin s’\u00e9change autour de 68 000 euros (pr\u00e8s de 79 000 dollars) d’apr\u00e8s CoinGecko<\/a>, la question qui hante la DeFi de fin d’\u00e9t\u00e9 n’est plus \u00ab le code est-il correct ? \u00bb mais \u00ab le prix qui sert de garantie est-il r\u00e9el ? \u00bb.<\/p>

Ao\u00fbt 2026 : 215 millions de dollars partis en fum\u00e9e<\/h2>

CertiK n’audite pas seulement des contrats : le cabinet tient aussi la comptabilit\u00e9 des pertes du secteur via sa plateforme Skynet. Son tableau de bord mensuel<\/a> agr\u00e8ge incidents, montants d\u00e9rob\u00e9s, fonds gel\u00e9s et vecteurs d’attaque. Pour ao\u00fbt, l’addition atteint environ 215 millions de dollars, en hausse sur juillet, tir\u00e9e par la DeFi qui concentre \u00e0 elle seule quelque 144,6 millions de dollars des pertes du mois, toujours d’apr\u00e8s la synth\u00e8se publi\u00e9e par The Crypto Times<\/a>.<\/p>

La ventilation par vecteur d’attaque raconte une histoire pr\u00e9cise. La manipulation de prix, \u00e0 elle seule, p\u00e8se 131,6 millions de dollars, soit pr\u00e8s des deux tiers du total. Le phishing, qui avait domin\u00e9 une partie du premier semestre, recule \u00e0 41,5 millions. Les vuln\u00e9rabilit\u00e9s de code pur, celles que les audits traquent en priorit\u00e9, ne repr\u00e9sentent que 20,6 millions, et la compromission de portefeuilles 11,8 millions. Autrement dit : le poste que les auditeurs savent le mieux couvrir est devenu le plus petit.<\/p>

Vecteur d’attaque<\/th>Pertes (ao\u00fbt 2026)<\/th>Part du total<\/th><\/tr><\/thead>
Manipulation de prix<\/td>131,6 M$<\/td>~61 %<\/td><\/tr>
Phishing<\/td>41,5 M$<\/td>~19 %<\/td><\/tr>
Vuln\u00e9rabilit\u00e9s de code<\/td>20,6 M$<\/td>~10 %<\/td><\/tr>
Compromission de portefeuilles<\/td>11,8 M$<\/td>~5 %<\/td><\/tr>
Gouvernance<\/td>8,5 M$<\/td>~4 %<\/td><\/tr>
Total<\/strong><\/td>~215 M$<\/strong><\/td>100 %<\/strong><\/td><\/tr><\/tbody><\/table>
R\u00e9partition des pertes crypto d’ao\u00fbt 2026 par vecteur, d’apr\u00e8s le d\u00e9compte CertiK (montants arrondis).<\/figcaption><\/figure>

Une donn\u00e9e temp\u00e8re toutefois le tableau : sur ces 215 millions, environ 110,7 millions de dollars (quelque 95 millions d’euros) ont \u00e9t\u00e9 gel\u00e9s ou restitu\u00e9s. C’est une proportion inhabituellement \u00e9lev\u00e9e, et elle tient largement \u00e0 un seul \u00e9v\u00e9nement : l’arr\u00eat d’urgence de la blockchain Cronos, qui a pi\u00e9g\u00e9 sur place la majeure partie du butin de Tectonic. Nous y revenons plus bas, car ce chiffre en apparence rassurant cache un d\u00e9bat de fond sur ce qu’est vraiment une blockchain \u00ab d\u00e9centralis\u00e9e \u00bb.<\/p>

Tectonic : l’exploit qui a fig\u00e9 toute une blockchain<\/h2>

Tectonic est, ou plut\u00f4t \u00e9tait, le plus gros protocole de pr\u00eat de Cronos, le r\u00e9seau layer-1 gravitant dans l’orbite de Crypto.com. Le 30 ao\u00fbt, un attaquant l’a vid\u00e9 d’un montant estim\u00e9 autour de 75 millions de dollars (environ 65 millions d’euros), selon CoinDesk<\/a> et The Block<\/a>. L’ampleur est brutale : d’apr\u00e8s Decrypt<\/a>, le protocole affichait 121,7 millions de dollars de d\u00e9p\u00f4ts et 82,7 millions de pr\u00eats actifs avant l’attaque. D\u00e8s le lundi, les donn\u00e9es de DefiLlama montraient une valeur verrouill\u00e9e effondr\u00e9e \u00e0 environ 3 millions, soit une chute de 97,5 % sur trente jours.<\/p>

La r\u00e9ponse a \u00e9t\u00e9 radicale. Plut\u00f4t que d’isoler la seule application touch\u00e9e, les validateurs de Cronos ont stopp\u00e9 la production de blocs sur l’ensemble du r\u00e9seau, gelant transferts, ponts et contrats intelligents. \u00ab The Cronos Network has been halted and we’ll provide updates here \u00bb, a communiqu\u00e9 le r\u00e9seau, laiss\u00e9 \u00e0 l’arr\u00eat pendant des heures. Ce coup de frein a eu un effet paradoxal mais d\u00e9cisif : l’attaquant n’avait r\u00e9ussi \u00e0 faire sortir qu’environ 6 millions de dollars vers Ethereum avant la coupure. Les quelque 60 millions restants sont demeur\u00e9s bloqu\u00e9s sur une cha\u00eene devenue immobile, incapables de bouger. C’est l’essentiel des 110 millions \u00ab r\u00e9cup\u00e9r\u00e9s ou gel\u00e9s \u00bb du mois.<\/p>

Kris Marszalek, patron de Crypto.com, s’est empress\u00e9 de tracer une fronti\u00e8re nette entre le protocole d\u00e9centralis\u00e9 et sa soci\u00e9t\u00e9 : \u00ab Crypto.com app and exchange were not affected and are operating as usual \u00bb, a-t-il d\u00e9clar\u00e9, cit\u00e9 par Decrypt<\/a>. La distinction est juridiquement importante, on le verra pour les investisseurs fran\u00e7ais ; elle est aussi r\u00e9v\u00e9latrice de la nature hybride de ces \u00e9cosyst\u00e8mes, o\u00f9 une plateforme centralis\u00e9e r\u00e9gul\u00e9e coexiste avec des protocoles ouverts que personne ne \u00ab poss\u00e8de \u00bb vraiment.<\/p>

Pour les utilisateurs de Tectonic, l’addition ne s’arr\u00eate pas au montant vol\u00e9. L’effondrement du cours de TONIC et le gel du r\u00e9seau ont d\u00e9clench\u00e9 en cascade des liquidations et laiss\u00e9 le protocole avec une dette irr\u00e9couvrable, cette \u00ab bad debt \u00bb qui hante les places de pr\u00eat apr\u00e8s chaque exploit majeur. M\u00eame si une partie des fonds finit par \u00eatre r\u00e9cup\u00e9r\u00e9e, restaurer la confiance dans un protocole dont la valeur verrouill\u00e9e a fondu de plus de 97 % en quelques jours rel\u00e8vera du chemin de croix. C’est l’autre co\u00fbt, rarement chiffr\u00e9, de ces attaques : la destruction de valeur d\u00e9passe de loin le seul butin de l’assaillant.<\/p>

La m\u00e9canique : gonfler un prix pour vider un protocole<\/h2>

Comment vole-t-on 75 millions sans casser le moindre verrou ? En trompant la seule chose que le contrat de pr\u00eat tient pour vraie : le prix du collat\u00e9ral. Le chercheur on-chain Weilin Li a d\u00e9crit l’attaque de Tectonic comme une \u00ab Mango-market style pump-and-borrow price manipulation attack \u00bb, en r\u00e9f\u00e9rence au pillage de Mango Markets de 2022. Le sch\u00e9ma est aussi ancien que redoutablement efficace.<\/p>

Le point faible tenait \u00e0 un param\u00e8tre de configuration : Tectonic attribuait \u00e0 son jeton de gouvernance, TONIC, un facteur de collat\u00e9ral de 20 %, alors m\u00eame que la liquidit\u00e9 de ce jeton \u00e9tait fam\u00e9lique, de l’ordre de 1,34 million de dollars seulement d’apr\u00e8s l’analyse relay\u00e9e par Decrypt<\/a>. Avec si peu de profondeur de march\u00e9, un capital modeste suffit \u00e0 faire exploser le cours. \u00ab TONIC’s price surged 100-fold within 20 minutes \u00bb, note Weilin Li. La suite est m\u00e9canique : l’attaquant d\u00e9pose ses jetons artificiellement survaloris\u00e9s en garantie, puis emprunte contre cette valeur fictive des actifs bien r\u00e9els et liquides, avant de dispara\u00eetre.<\/p>