Incidents de sécurité dans l’industrie de la blockchain
Au cours du premier semestre 2025, l’industrie de la blockchain a subi plus de 2,37 milliards de dollars de pertes en raison d’incidents de sécurité, le secteur DeFi étant le plus touché. Les escroqueries ciblant les utilisateurs individuels ont également proliféré, l’intelligence artificielle permettant des schémas de plus en plus sophistiqués.
Selon le rapport semestriel « Blockchain Security and AML Report » de SlowMist, l’industrie de la blockchain a enregistré environ 2,37 milliards de dollars de pertes à travers 121 incidents de sécurité durant cette période.
Cela représente une augmentation de près de 66 % des pertes financières par rapport à la même période en 2024, malgré une baisse du nombre d’incidents. Le secteur DeFi reste le plus ciblé, représentant 76,03 % de tous les incidents et environ 470 millions de dollars de pertes.
Types d’incidents et nouvelles tactiques de fraude
Les plateformes d’échanges centralisés (CEX) ont subi des pertes de 1,883 milliard de dollars à partir de seulement 11 incidents, indiquant des cibles de grande valeur pour les attaquants. Les compromissions de comptes étaient la principale cause des incidents de sécurité, suivies des vulnérabilités des contrats intelligents.
Au-delà des attaques directes sur les projets, le rapport de SlowMist a mis en évidence plusieurs tactiques de fraude ciblant les utilisateurs individuels. Les attaquants ont exploité de nouvelles fonctionnalités du mécanisme de délégation de contrat EIP-7702, introduit avec la mise à niveau Pectra d’Ethereum.
Le 24 mai, un utilisateur a perdu 146 551 dollars après être tombé victime d’une attaque de phishing qui a abusé de la fonctionnalité de délégation EIP-7702 de MetaMask.
L’escroquerie, menée par le groupe Inferno Drainer, a trompé l’utilisateur en lui faisant autoriser un contrat ayant l’apparence légitime, qui a ensuite exploité des approbations de jetons en masse pour vider les fonds.
Escroqueries basées sur l’intelligence artificielle
L’avancement rapide de l’intelligence artificielle générative a donné lieu à une nouvelle vague d’escroqueries basées sur la confiance. Au début de 2025, une fausse réunion Zoom utilisant des deepfakes a conduit au vol de tous les actifs crypto de Mehdi Farooq, un partenaire de Hypersphere Ventures.
D’autres cas très médiatisés incluent des vidéos générées par IA d’Elon Musk et d’officiels de Singapour promouvant de fausses escroqueries d’investissement. Ces escroqueries trompent les utilisateurs en leur faisant exécuter du code malveillant depuis leur presse-papiers.
Phishing et ingénierie sociale
Les victimes ont été attirées par de faux comptes sur X se faisant passer pour des influenceurs crypto, puis redirigées vers des groupes Telegram où des liens « Tap to verify » activaient des commandes PowerShell chargées de trojans. Ces attaques ont conduit à une compromission totale des appareils, permettant aux outils d’accès à distance de voler des fichiers de portefeuille, des clés privées et même de contrôler des comptes Telegram sur les systèmes Windows et macOS.
Déguisées en « outils de sécurité Web3 » ou exploitant des mécanismes de mise à jour automatique, ces fausses extensions détournent des liens de téléchargement pour installer des logiciels malveillants et voler des phrases mnémotechniques, des clés privées ou des identifiants de connexion.
Un cas très médiatisé impliquait l’extension « Osiris », où des attaquants ont détourné le compte d’un développeur légitime sur le Chrome Web Store via une exploitation de phishing basée sur OAuth.
Conclusion
En 2025, le phishing basé sur LinkedIn a explosé alors que des attaquants se faisaient passer pour des startups blockchain pour inciter des ingénieurs à télécharger des logiciels malveillants déguisés en tests techniques. Les escroqueries d’ingénierie sociale ont explosé, entraînant plus de 100 millions de dollars de pertes totales pour les utilisateurs, selon SlowMist.
