Chainalysis : 14 milliards $ de fraudes crypto en 2025
Binance Research a attribué environ deux tiers des pertes de 621 millions de dollars en DeFi d'avril 2026 à des échecs de contrôle d'accès, et non à des bogues de code.
Chainalysis estime que les flux entrants sur la chaîne vers les escroqueries en crypto atteindront au moins 14 milliards de dollars en 2025, les clusters d'escroquerie liés sur la chaîne aux fournisseurs d'IA ayant des gains moyens par opération bien plus importants.
L'équipe de sécurité de Binance et son bras de recherche soulignent le même pivot du côté des exploits : les attaquants gagnent de plus en plus en compromettant les approbations, les identifiants et les contrôles de gouvernance plutôt qu'en trouvant des bugs dans les contrats intelligents.
Points clés
- Les entrées on-chain vers les escroqueries en crypto-monnaies ont totalisé au moins 14 milliards de dollars en 2025, selon les estimations de Chainalysis.
- Opérations d'escroquerie sur la chaîneliensLes dépenses auprès des fournisseurs d'IA ont en moyenne atteint 3,2 millions de dollars par opération contre 719 000 dollars pour ceux qui n'en avaient pas, une relation que Chainalysis a décrite comme une corrélation plutôt qu'une causalité.
- Les échecs de contrôle d'accès ont entraîné environ deux tiers des pertes de 621 millions de dollars en exploits DeFi d'avril 2026, selon Binance Research.
- Le CSO de Binance, Jimmy Su, a déclaré que les attaquants passent des exploits de contrats aux personnes, aux identifiants et aux systèmes de gouvernance, citant une attaque de gouvernance de 1,2 million de dollars sur BrainTrust que la sécurité de Binance a aidé à prévenir.
Chainalysis estime que les entrées de scams en 2025 s'élèveront à 14 milliards de dollars, alors que les opérations liées à l'IA montrent des gains plus importants.
L'estimation de Chainalysis d'au moins 14 milliards de dollars en 2025 pour les entrées on-chain vers les escroqueries crypto est un indicateur d'échelle, et non un comptage complet.
Les "entrées on-chain" ici désignent des fonds qui peuvent être observés se déplaçant sur des blockchains publiques vers des adresses associées à des escroqueries, ce qui capture ce qui atteint des destinations connues et manque ce qui n'est jamais étiqueté ou est obscurci.
À l'intérieur de cet agrégat, Chainalysis a signalé un sous-ensemble d'opérations frauduleuses avec des liens on-chain vers des fournisseurs d'IA, qui ont en moyenne généré 3,2 millions de dollars par opération, contre 719 000 dollars pour les arnaques sans ces liens. L'entreprise n'a pas présenté cet écart comme une preuve que l'IA avait causé des revenus plus élevés.
C'est une corrélation, et le rapport ne comprend pas de répartition de la part des 14 milliards de dollars qui est spécifiquement activée par l'IA.
Le mécanisme que Chainalysis associe aux clusters d'escroqueries liés à l'IA n'est pas une ingénierie contractuelle exotique. Il s'agit de la fabrication d'identités à grande échelle, utilisant des deepfakes, des échanges de visages et de grands modèles de langage pour usurper l'identité de vraies personnes et construire rapidement des façades crédibles.
Des bugs de code aux clics : Pourquoi les couches d'autorisation deviennent le principal point de défaillance
La manière la plus propre de voler à un protocole est toujours de faire en sorte que le protocole autorise le vol. C'est pourquoi la surface d'attaque monte dans la pile, passant des cas limites de Solidity aux systèmes qui décident qui est autorisé à signer, mettre à jour, mettre en pause ou déplacer des fonds de trésorerie.
Le directeur de la sécurité de Binance, Jimmy Su, a exprimé le changement de manière franche : « Le code n'est plus nécessairement le maillon le plus faible de Web3. Commecontrat intelligent« La sécurité s'améliore, les attaquants déplacent leur attention vers les personnes, les identifiants et les systèmes de gouvernance entourant les protocoles », a déclaré Su.
Il a cité l'aide de Binance Security pour prévenir une attaque de gouvernance de 1,2 million de dollars sur BrainTrust, et a soutenu que défendre un protocole signifie désormais sécuriser « non seulement son code, mais aussi qui peut le contrôler, comment ce contrôle est exercé, et l'infrastructure et les personnes qui le soutiennent. »
Ce cadre est important pour les traders car le risque de gouvernance et de permissionnement n'est pas théorique. Une "attaque de gouvernance" est une tentative de manipuler la prise de décision ou les mécanismes de contrôle d'un protocole, y compris les votes, les clés d'administration ou les permissions basées sur les rôles, pour voler des fonds ou changer les règles.
Si l'attaquant parvient à obtenir un signataire privilégié, une clé d'administration compromise ou une mise à niveau contrainte, le contrat peut se comporter exactement comme prévu tout en produisant une perte.
La couche sociale est celle où l'IA change l'économie. Rime Salmi, fondatrice et PDG de Fractl, a décrit la dynamique d'imitation des investisseurs comme une activité de volume : « Il y a beaucoup de gens qui se font passer pour des investisseurs et qui ne le sont absolument pas. Ils cherchent des investissements ou en fait, ils escroquent.
» Erika Maslauskaite, PDG et co-fondatrice d'AlongID, a fait le même constat du côté de l'identité : « Avec l'IA actuellement, vous pouvez tout falsifier. Vous pouvez littéralement tout falsifier », a-t-elle déclaré, posant la question centrale comme étant « comment vérifions-nous ce qui est vrai et authentique et ce qui ne l'est pas. »
Les échecs de contrôle d'accès dominent un mois de pertes en DeFi, selon Binance Research.
La répartition des pertes de Binance Research d'avril 2026 met un chiffre sur la thèse des permissions. Ce mois-là, les échecs de contrôle d'accès ont représenté environ deux tiers des 621 millions de dollars perdus à cause des exploits DeFi, selon le rapport.
Un « échec de contrôle d'accès » n'est pas une seule classe de bogues. C'est une défaillance dans qui est autorisé à faire quoi, à travers les clés, les rôles et les processus opérationnels, qui permet à un attaquant d'exécuter des actions sans avoir besoin d'une vulnérabilité de contrat nouvelle.
En pratique, cela peut ressembler à des identifiants administratifs compromis, un accès basé sur des rôles mal configuré, ou des voies de gouvernance qui peuvent être manipulées plus rapidement que les défenseurs ne peuvent réagir.
L'expérience utilisateur des portefeuilles est là où cela devient opérationnel pour les utilisateurs avancés. Nitya Subramanian, fondateur et PDG de Para, a décrit les portefeuilles comme le point de congestion pour l'action sur la chaîne : « Les portefeuilles sont finalement le niveau d'autorisation et de flux de contrôle de tout ce qui se passe sur la chaîne.
Chaque chaîne, chaque primitive DeFi, chaque action que vous pouvez entreprendre sur la chaîne doit passer par un portefeuille. Et j'ai l'impression que les gens ne comprennent toujours pas complètement cela. »
Le problème est que la même transparence qui rend les systèmes sur chaîne audités ne résout pas automatiquement l'attribution. Dmitry Machikhin, fondateur et PDG de BitOK, a déclaré que le mélange reste un obstacle persistant : « Même Chainalysis n'a pas de solution à 100 % pour le mélange.
» Le mélange fait référence aux techniques et services qui obfusquent l'origine de la crypto en regroupant et redistribuant des fonds pour rendre le traçage plus difficile.
Machikhin a également soutenu que les signaux d'application ne se propagent pas toujours en blocage efficace. « Il y a eu un cas où le gouvernement israélien a saisi certains portefeuilles dans ses documents officiels… Mais cela ne s'est pas produit, » a-t-il déclaré, en faisant référence à l'attente que les adresses saisies devraient être bloquées par les échanges et d'autres entités.
Son résumé des limites de traçage était encore plus direct : « Nous ne prenons personne. Nous montrons juste … le chemin de l'argent. »
Les agents IA augmentent les enjeux pour l'identité : Registres sur chaîne contre ‘Pas encore de couche de transaction’
Le risque prospectif est que « qui a signé cela » devient plus difficile à répondre à mesure que les logiciels commencent à signer pour les gens.
Varun Kabra, directeur de la croissance de Concordium, a déclaré queles agents IAeffectuant des transactions au nom des utilisateurs « commencent déjà », décrivant un chemin à court terme où les agents « paient pour des choses », « s'inscrivent à des services », et « gèrent probablement vos transactions financières maintenant.
» Il a estimé que le trafic des agents « est à six à douze mois » de dépasser les transactions humaines, et a appelé « la responsabilité humaine envers l'agent … le plus gros problème que je pense que le monde doit résoudre. » Ce calendrier est une affirmation, pas une tendance mesurée dans ce paquet.
La mitigation proposée par Concordium est la plomberie d'identité sur chaîne. La société a déclaré que son registre d'agents comptait 1 131 agents et plus de 15 663 transactions sur chaîne au 14 juillet 2026, et a décrit l'association des identités des agents aux propriétaires humains vérifiés en utilisant la divulgation sélective etpreuves à divulgation nulleLa divulgation sélective signifie révéler uniquement les détails d'identité minimaux nécessaires à la vérification. Une preuve à divulgation nulle est une méthode cryptographique pour prouver que quelque chose est vrai sans révéler les informations privées sous-jacentes.
Il y a un contrepoint difficile du côté de l'infrastructure. Le co-fondateur de XDC Network, Atul Khekade, a déclaré : « L'IA n'a pas de couche de transaction en ce moment.
» Il a ajouté : « Les plateformes d'IA n'ont pas de couche de conformité à la monétisation qu'elles peuvent utiliser pour, par exemple, des transactions réelles pour exécuter des actions, » arguant que les contreparties ne peuvent pas construire cette couche manquante « du jour au lendemain. »
Pour les traders, les indicateurs à court terme sont mesurables. La répartition manquante est quelle portion des 14 milliards de dollars d'entrées de scams de Chainalysis est réellement activée par l'IA, et si les mises à jour futures le quantifient. Du côté des exploits, les nouveaux rapports mensuels de pertes confirmeront soit avril 2026 comme un modèle lourd en permissions, soit le marqueront comme un cas aberrant bruyant.
L'autre signal concret est de savoir si d'autres études de cas émergent comme l'attaque de gouvernance BrainTrust de 1,2 million de dollars empêchée, en particulier celles impliquant des clés administratives, un accès basé sur les rôles ou une manipulation des votes.
Mon avis : La prochaine « saison des exploits » pourrait ressembler à une ingénierie sociale plus des permissions, pas à une réentrance.
La partie qui décide de ce cycle n'est pas de savoir si les contrats intelligents sont « sécurisés. » C'est de savoir si le périmètre d'autorisation autour d'eux se resserre plus rapidement que les attaquants ne peuvent évoluer en usurpation, et la répartition d'avril 2026 de Binance Research suggère que ce n'est pas un cas marginal lorsque deux tiers d'un mois de perte de 621 millions de dollars sont liés au contrôle d'accès.
Le minimum de 14 milliards de dollars de Chainalysis pour les entrées de scams de 2025 fixe la base, et l'écart de 3,2 millions de dollars contre 719 000 dollars par opération dans les clusters liés à l'IA est le détail inconfortable.
Si les rapports futurs peuvent quantifier combien de ces 14 milliards de dollars sont réellement activés par l'IA, et que les données mensuelles d'exploit continuent de pointer vers des échecs de contrôle d'accès, le pivot de la sécurité devient un risque structurel pour la gouvernance et les flux d'approbation de portefeuille plutôt qu'une narration sur des hackers plus intelligents.
