Scan panoramique de la crise de sécurité de l'écosystème blockchain Web3 en 2025

Les attaques de hackers, les escroqueries et les défaillances d’entreprises se multiplient, la situation de la sécurité blockchain en 2025 est à la fois prometteuse et préoccupante

Préface

2025 touche à sa fin, cette année a été pleine de défis pour l’ensemble de l’écosystème Web3 blockchain. Selon des données de surveillance de sécurité autorisées, les pertes dues à divers incidents de sécurité dans le monde ont de nouveau dépassé des chiffres astronomiques, mais nous avons aussi observé quelques changements positifs — la conscience de la prévention chez les utilisateurs s’améliore, la sécurité de l’industrie se renforce. Cet article synthétise les données clés et événements typiques dans le domaine de la sécurité blockchain en 2025, afin d’aider les professionnels et utilisateurs à mieux comprendre les menaces actuelles et comment y faire face efficacement.

La parole aux chiffres : chiffres impressionnants de la sécurité blockchain en 2025

Situation globale : pertes de 33,75 milliards d’euros en un an

Selon les données de plateformes de surveillance de sécurité professionnelles, en 2025, l’écosystème Web3 a subi des pertes cumulées de 3,375 milliards de dollars américains dues à des attaques de hackers, escroqueries et défaillances de projets. Ce chiffre illustre la gravité du problème.

Plus précisément :

• Les attaques de hackers les plus violentes : 191 incidents, pertes de 3,187 milliards de dollars, en hausse de 77,85 % par rapport à 2024
• Le risque d’escroquerie en baisse : 113 incidents, pertes de 177 millions de dollars, en baisse de 69,15 % par rapport à l’année précédente
• Les défaillances d’entreprises s’améliorent aussi : pertes de 1,15 million de dollars lors de défaillances de projets, en baisse de 92,21 % par rapport à 2024

Ces données révèlent un phénomène intéressant : les méthodes traditionnelles d’escroquerie et de défaillance sont en train d’être remplacées par des attaques de hackers plus sophistiquées. Les cibles des attaquants évoluent, passant des investisseurs individuels à des cibles de plus grande valeur — les échanges centralisés, les grands protocoles DeFi.

Caractéristiques saisonnières évidentes

Les pertes du premier trimestre 2025 ont été les plus importantes, principalement dues à une attaque de chaîne d’approvisionnement contre une plateforme d’échange majeure, entraînant une perte de 1,44 milliard de dollars. Ensuite, les pertes ont diminué trimestre après trimestre, ce qui indique que l’écosystème renforce progressivement ses défenses.

Carte des risques blockchain : quels projets sont les plus vulnérables

Les échanges deviennent la cible privilégiée des hackers

9 attaques contre des échanges centralisés ont causé 1,765 milliard de dollars de pertes, représentant 52,30 % des pertes totales de l’année. Cela montre que les hackers se concentrent entièrement sur ces grandes cibles. Une attaque de chaîne d’approvisionnement contre une plateforme majeure a causé 1,44 milliard de dollars de pertes, et d’autres échanges ont également été victimes de vols à divers degrés.

Pourquoi les échanges sont-ils si vulnérables ? La réponse est simple — ils gèrent de manière centralisée les actifs des utilisateurs, une attaque réussie peut rapporter des gains énormes, ce qui est beaucoup plus rentable que d’attaquer individuellement des projets DeFi.

Projets DeFi : fréquence d’attaques la plus élevée, mais pertes par incident moindres que celles des échanges

91 incidents d’attaques DeFi ont causé 621 millions de dollars de pertes. Le cas le plus marquant est celui de Cetus Protocol, qui a perdu 224 millions de dollars, représentant 36,07 % des pertes DeFi. Vient ensuite Balancer avec 116 millions de dollars.

Cela reflète que, bien que DeFi subisse le plus grand nombre d’attaques, sa structure plus dispersée limite généralement la perte par incident par rapport aux échanges. Cependant, l’exploitation de vulnérabilités dans les contrats reste une méthode d’attaque efficace.

Autres menaces à ne pas négliger

Les portefeuilles, navigateurs, bibliothèques de code tierces, robots MEV, etc., deviennent aussi des cibles d’attaque, ce qui indique que le champ d’action des hackers s’élargit et que leur logique d’attaque évolue.

Classement de la sécurité des blockchains publiques : Ethereum reste le “point chaud”

Parmi toutes les blockchains publiques, Ethereum enregistre le plus grand nombre d’incidents de sécurité, avec 170 incidents ayant causé 2,254 milliards de dollars de pertes, soit 66,79 % des pertes annuelles. Cela reflète non seulement l’importance de l’écosystème Ethereum (forte concentration d’actifs), mais aussi ses vulnérabilités.

BNB Chain arrive en deuxième position avec 64 incidents pour 89,83 millions de dollars de pertes, mais la somme a explosé de 110,87 % par rapport à 2024, ce qui est préoccupant.

Base et Solana suivent avec respectivement 20 et 19 incidents, révélant que la sécurité des nouvelles chaînes est également un enjeu.

Évolution des techniques d’attaque : des vulnérabilités classiques aux défauts logiques complexes

L’exploitation des vulnérabilités de contrats reste dominante

Sur les 191 attaques, 62 proviennent de l’exploitation de vulnérabilités de contrats, soit 32,46 %. Parmi elles, les failles logiques métier sont les plus fatales, causant 464 millions de dollars de pertes. Cela montre qu’en dépit de l’amélioration des audits de sécurité, les défauts logiques dans les contrats restent une porte d’entrée privilégiée pour les hackers.

Les attaques par chaîne d’approvisionnement deviennent la nouvelle tendance

Une attaque contre une plateforme majeure a entraîné 1,44 milliard de dollars de pertes, représentant 42,67 % du total. Ces attaques deviennent une arme privilégiée des hackers — ils ne s’attaquent pas directement aux produits, mais exploitent les dépendances en amont, comme les bibliothèques ou outils.

Le risque de fuite de clés privées diminue

Cette année, 20 incidents de fuite de clés privées ont été recensés, pour une perte totale de 180 millions de dollars, en forte baisse par rapport à l’année précédente. Cela montre que la gestion des clés privées est devenue une priorité, et que la conscience de la prévention chez les utilisateurs s’améliore.

Analyse de deux cas typiques

Cas 1 : La catastrophe de 2,24 milliards de dollars de Cetus Protocol

Le DEX Cetus Protocol dans l’écosystème Sui a été gravement touché en mai 2025. La vulnérabilité provenait d’une erreur dans l’implémentation de l’opération de décalage à gauche dans une bibliothèque open source.

Version simplifiée de l’attaque :

1. Le hacker emprunte 10 millions de haSUI via un prêt flash
2. Il crée une position de liquidité, avec une fourchette de prix [300000, 300200]
3. Avec seulement 1 unité de haSUI, il obtient une valeur de liquidité astronomique (niveau 10^28)
4. Il retire rapidement la liquidité, vidant le pool
5. Il rembourse le prêt flash, réalisant un profit d’environ 570 000 SUI

Cause fondamentale : La vérification de débordement dans la fonction checked_shlw est inefficace. Les entrées inférieures à un seuil spécifique peuvent contourner la vérification, mais le décalage à gauche peut encore provoquer un débordement. La langue Move ne stoppe pas automatiquement en cas de débordement, ce qui donne une opportunité aux hackers — ils peuvent échanger une petite quantité de tokens contre une somme énorme d’actifs.

Cas 2 : La chute systémique de 1,16 milliard de dollars de Balancer

En novembre 2025, le protocole Balancer v2 et ses forks ont été pillés sur plusieurs chaînes, pour un total de 1,16 milliard de dollars.

Processus de l’attaque :

1. Le hacker échange en masse, utilisant BPT pour retirer une grande quantité de tokens de liquidité
2. La réserve de tokens de liquidité dans le pool est fortement réduite
3. Il effectue un échange osETH/WETH
4. Il échange à nouveau les tokens de liquidité contre BPT
5. Il répète ces opérations sur plusieurs pools, puis retire les fonds pour réaliser un profit

Nature de la vulnérabilité : Les pools ComposableStablePools utilisent la formule de StableSwap de Curve. Cependant, les erreurs de précision lors du zoom dans les opérations de mise à l’échelle affectent le calcul de l’invariance, créant des opportunités d’attaque. La fonction mulDown, qui arrondit à la baisse, amplifie encore cette erreur.

Perspective anti-blanchiment : la “disparition” des actifs volés

Une opération de blanchiment orchestrée par un cartel

Un réseau de blanchiment contrôlé par un chef de cartel de la drogue a été dévoilé. Ils ont trafiqué de la cocaïne via la Colombie et le Mexique, utilisant la cryptomonnaie pour blanchir leurs fonds illégaux. Trois adresses associées ont manipulé 266 millions d’USDT. Bien que certains actifs aient été gelés par les autorités, la majorité a été transférée via des échanges à haute fréquence et des transferts en plusieurs étapes.

Ce cas montre que : les hackers ou criminels utilisent DeFi, ponts cross-chain, échanges, etc., pour brouiller la traçabilité des fonds et échapper à la loi.

L’affaire GMX : 40 millions de dollars disparus

En juillet 2025, GMX a été attaqué via une vulnérabilité de réentrée, avec un profit de 42 millions de dollars. Le suivi a révélé :

• L’attaquant a converti diverses cryptomonnaies en ETH et USDC via des protocoles DEX
• Il a dispersé ses fonds à travers des ponts cross-chain vers Ethereum
• 32 millions de dollars en ETH ont été répartis sur 4 adresses
• 10 millions de dollars ont été transférés vers Arbitrum

Leçon clé : La “disparition” des actifs volés se fait en plusieurs étapes — transfert initial sur la chaîne d’origine, dispersion via cross-chain, puis stockage dans différentes adresses. Ce processus est désormais la méthode standard des hackers.

Réflexions et perspectives : les avertissements de 2025

Des signaux positifs apparaissent

Comparé à 2024, les pertes dues aux escroqueries et défaillances ont fortement diminué, ce qui indique que :

• la conscience de la prévention chez les utilisateurs s’améliore
• les projets prennent davantage en compte la sécurité lors des audits
• l’industrie renforce ses mesures de sécurité
• l’apprentissage des erreurs passées s’améliore

Mais de nouvelles menaces émergent

• Les attaques par chaîne d’approvisionnement deviennent le principal risque : depuis les dépendances jusqu’aux outils, les hackers exploitent les maillons faibles en amont
• L’augmentation des attaques de social engineering/phishing : dans les 10 principales incidents de sécurité, 2 concernent des pertes importantes pour des utilisateurs individuels, souvent dues à l’ingénierie sociale
• Les défauts logiques complexes dans les protocoles difficiles à anticiper : les hackers évoluent des vulnérabilités simples vers des défauts de conception
• Le déploiement multi-chaînes augmente la surface d’attaque : les projets déployés sur plusieurs chaînes offrent plus de points d’entrée

Les menaces pour les utilisateurs individuels s’intensifient

Les attaques de phishing, le kidnapping, le chantage, etc., augmentent. Beaucoup de petites escroqueries, non rapportées publiquement, sont sous-estimées dans les données, mais leurs victimes subissent des pertes concrètes.

Recommandations pour 2026 et au-delà

1. Pour les projets : la sécurité de la chaîne d’approvisionnement doit être prioritaire, avec une surveillance continue des dépendances et une évaluation des menaces
2. Pour les plateformes : renforcer la prévention contre l’ingénierie sociale, avec des barrières techniques et une collaboration communautaire pour une défense en plusieurs couches
3. Pour les utilisateurs : renforcer la vigilance, protéger ses informations personnelles, limiter l’exposition publique de ses actifs
4. Pour l’industrie : construire un écosystème de défense dynamique, intégrant la sensibilisation individuelle, la sécurité technique et la coopération avec les autorités

Conclusion

Les défis de la sécurité Web3 blockchain en 2025 sont sans précédent, mais c’est aussi une période d’introspection et de progrès. Les méthodes d’attaque évoluent, la défense doit suivre le rythme. De la sécurité de la chaîne d’approvisionnement à la prévention de l’ingénierie sociale, en passant par l’audit technique et l’éducation des utilisateurs, chaque étape est cruciale.

L’avenir de la sécurité ne dépend pas d’une seule technologie, mais de la capacité globale de l’écosystème à se défendre — la collaboration entre projets, sociétés de sécurité, plateformes d’échange, utilisateurs et régulateurs sera déterminante. La future technologie blockchain dépend de notre capacité aujourd’hui à bâtir des défenses solides.