Une vague de piratages médiatisés dans la crypto en avril, que beaucoup soupçonnaient d'avoir été orchestrés à l'aide d'outils d'IA sophistiqués pour identifier des vulnérabilités dans les contrats intelligents, a suscité la crainte que chaque protocole DeFi ne soit soudainement en danger.
En mai, Manuel Aráoz, fondateur de la plateforme de sécurité blockchain OpenZeppelin, a déclaré que « toute la DeFi était désormais dangereuse » après des pertes cryptos de 630 millions de dollars dues à des exploits en avril.
Mais alors même que l'industrie se préparait au scénario de protocoles DeFi tombant comme des dominos face à une IA agentique, le flot d'attaques semblait décroître.
Cela a amené Haseeb Qureshi, associé directeur de Dragonfly, à déclarer récemment que la crainte d'une « hackpocalypse » de la DeFi était une « fausse alerte ». Il a souligné qu'en incluant même les gros piratages d'avril, le taux de dollars piratés par mois depuis le début de l'année était « plus bas » et que « la taille médiane des piratages par année diminue également ».
Alors, qui a raison ? La crainte d'une épidémie de piratage pilotée par l'IA est-elle totalement exagérée, ou s'agit-il simplement de l'accalmie avant la tempête ?
« Je pense que le récit de la ‘hackpocalypse’ est exagéré s'il suggère que l'IA a déjà remplacé les clés compromises, les infrastructures faibles et l'erreur humaine comme principales causes des pertes dans le Web3 », déclare Stephen Ajayi, ingénieur en sécurité offensive principal chez Hacken, au Magazine.
Mais il ajoute que cela ne signifie pas que les craintes sont totalement infondées.
« Je ne confondrais pas ‘pas encore dominant’ avec ‘ne viendra pas’. Mon point de vue est que nous en sommes encore aux premiers stades : le battage médiatique précède les données d'incidents, mais la courbe des capacités rattrape rapidement », précise Ajayi.
L'IA change les attaques, même si elle ne les cause pas
Les protocoles Web3 ont perdu plus de 1,3 milliard de dollars lors de 344 incidents de sécurité au premier semestre 2026, selon le rapport S1 de CertiK.
Il est impossible de dire combien de ces incidents impliquaient des exploits identifiés ou assistés par l'IA. Natalie Newson, enquêtrice blockchain senior chez CertiK, explique que « prouver si l'IA a été utilisée pour trouver une faille peut être difficile ».
À lire aussi : Les piratages pilotés par l'IA pourraient tuer la DeFi — à moins que les projets n'agissent maintenant
Plutôt que de chercher une attribution directe, Newson dit observer des preuves circonstancielles comme des changements dans le comportement des attaquants. Elle note une forte augmentation d'exploitations de contrats intelligents anciens et de contrats non vérifiés.
Le rapport de CertiK a constaté que 73 incidents de vulnérabilité du code au premier semestre 2026 concernaient des contrats déployés depuis au moins un an avant d'être exploités. « En 2025 dans son ensemble, ce nombre était de 45 », déclare Newson. Cela suggère que l'IA aide les attaquants à analyser des volumes de code bien plus importants qu'auparavant.
Plutôt que d'inventer de toutes nouvelles classes d'attaques, l'IA semble rendre les attaques existantes moins chères, plus rapides et plus faciles à mettre à l'échelle.
Évolution mensuelle des montants des exploits cryptos et du nombre d'incidents au S1. Source : CertiK
« Les systèmes d'IA peuvent aider à analyser les bases de code, identifier les modèles associés à des vulnérabilités connues, signaler une logique suspecte, résumer du code complexe et hiérarchiser les zones pour un examen plus approfondi », explique Newson.
« Un attaquant, ou un défenseur, peut examiner bien plus de contrats en un temps donné », a-t-elle déclaré, ce qui signifie que les anciennes bases de code peuvent désormais être en danger.
Le vrai danger, c'est l'échelle
La plateforme de données blockchain Chainalysis voit également le plus grand impact de l'IA comme un multiplicateur d'activité, industrialisant ainsi les formes familières de criminalité crypto.
Sully Hanif, responsable secteur public Royaume-Uni chez Chainalysis, déclare au Magazine : « Notre rapport 2026 sur la criminalité crypto a révélé que les escroqueries cryptos assistées par l'IA sont 4,5 fois plus rentables que les escroqueries traditionnelles, extrayant 3,2 millions de dollars par opération contre 719 000 dollars. »
« L'IA permet aux escrocs d'atteindre et de manipuler bien plus de victimes simultanément. »
Le danger ne vient pas seulement des exploits de contrats intelligents. Chainalysis a constaté que les escroqueries par usurpation d'identité ont augmenté de plus de 1 400 % en glissement annuel en 2025, les criminels utilisant des deepfakes générés par IA et des logiciels de remplacement de visage facilement disponibles sur les marchés Telegram.
« Nous avons vu l'IA suralimenter les playbooks existants », dit-il. « L'écosystème de la fraude en tant que service propose désormais des services modulaires clés en main, et l'IA rend chaque module plus efficace. »
À lire aussi : Les modèles d'IA ont conduit à une 'apocalypse des vulnérabilités' en sécurité crypto : PDG d'Immunefi
Chainalysis a récemment identifié 36,7 millions de dollars volés à des protocoles dont le code source du contrat intelligent n'avait jamais été vérifié publiquement. Hanif avertit que les attaquants utilisent de grands modèles de langage pour rétro-concevoir du bytecode brut et identifier des vulnérabilités à grande échelle.
Les données : 36,7 millions de dollars provenant de contrats non vérifiés. Source : Chainalysis
« L'IA est susceptible d'avoir son plus grand impact là où l'effort humain a traditionnellement été le goulot d'étranglement », déclare Newson. « Nous observons que l'IA est utilisée pour usurper l'identité de personnel de support, d'appels vidéo, d'influenceurs [...] Le plus grand risque est que les attaquants n'aient plus besoin d'expertise technique ou de compétences linguistiques solides. »
Alors, d'où viennent les piratages à un milliard de dollars ?
En regardant les données, les plus grosses pertes cryptos de 2026 auraient pu être réalisées sans l'utilisation de l'IA.
Le rapport de CertiK a constaté que la compromission de portefeuilles est restée le vecteur d'attaque le plus dommageable au premier semestre, représentant plus de 444 millions de dollars de pertes sur seulement 33 incidents.
Le rapport sur la sécurité Web3 du T2 2026 de Hacken a constaté qu'environ 88 % de la valeur totale volée au deuxième trimestre était due à des clés compromises, des signataires et des infrastructures opérationnelles plutôt qu'à des bogues de contrats intelligents, principalement en raison des deux attaques liées à la Corée du Nord contre Drift Protocol et KelpDAO.
Sur les 763 971 791 $ volés, 88,3 % ont été retracés vers des clés, signataires et infrastructures compromis. Source : Hacken
Ajayi explique qu'au lieu de remplacer les méthodes d'attaque traditionnelles, l'IA les amplifie en identifiant les employés vulnérables, générant des campagnes de phishing convaincantes, analysant le code public et accélérant le développement d'exploits. Cependant, la gouvernance compromise, la mauvaise sécurité opérationnelle et les infrastructures faibles déterminent toujours si les attaques réussissent.
« L'IA est un nouvel amplificateur, mais les vieilles failles de sécurité déterminent encore l'ampleur de l'explosion », a-t-il déclaré.
L'IA change le champ de bataille, mais pas les fondamentaux
Bien sûr, l'IA peut également être utilisée comme une force pour le bien, et l'industrie de la sécurité la déploie aussi de manière défensive. Hanif a déclaré que les enquêteurs passent du réactif au préventif, et « les outils existent désormais pour arrêter les escroqueries avant que les victimes ne perdent de l'argent ».
« En fin de compte, l'IA est susceptible d'améliorer les capacités des attaquants et des défenseurs », a déclaré Newson, « avec l'équilibre de l'avantage dépendant de la capacité de chaque camp à intégrer et à opérationnaliser la technologie le plus efficacement. »
Magazine : Strategy est devenu un symbole de l'éclatement de la bulle Internet : l'histoire pourrait-elle se répéter ?
