Quelles sont les statistiques du phishing crypto en 2026 ?

Combien les arnaques crypto ont-elles pris en 2025 ?

Chainalysis a compté au moins 14 milliards de dollars reçus par les arnaques on-chain en 2025 et s'attend à ce que le total dépasse 17 milliards. L'estimation augmente avec le temps car les analystes rattachent davantage de portefeuilles aux opérations d'arnaque après le premier décompte. Le chiffre révisé pour 2024 était d'environ 12 milliards.

Deux détails comptent pour le domaine d'un projet. Les arnaques par usurpation d'identité, où le criminel se fait passer pour une marque, une personne ou un service connu, ont progressé d'environ 1,400 % en un an, et le montant moyen volé par arnaque par usurpation a augmenté de plus de 600 %. Le paiement moyen d'une arnaque est passé de 782 $ en 2024 à 2,764 $ en 2025. Un sosie du site d'un protocole est par définition une usurpation d'identité.

L'Internet Crime Complaint Center du FBI a signalé environ 11.37 milliards de dollars de pertes liées à la fraude crypto pour 2025, sur 181,565 plaintes, selon la couverture du rapport par Decrypt. C'est un décompte de plaintes déposées par des victimes, surtout aux États-Unis, qui mesure donc autre chose que le décompte on-chain de Chainalysis.

Combien volent les sites de phishing à drainers de portefeuilles ?

ScamSniffer a compté 83.85 millions de dollars perdus sur des sites de phishing à drainers de portefeuilles en 2025, en baisse de 83 % par rapport aux 494 millions de dollars de 2024. Le nombre de victimes a reculé de 68 %, de 332,000 à 106,106. Le rapport ne couvre que les sites de phishing qui vident des portefeuilles sur les chaînes EVM, et décrit ses totaux comme une borne inférieure.

Le plus gros vol isolé a été de 6.5 millions de dollars via une signature Permit en septembre. Les signatures Permit et Permit2 représentaient 38 % des pertes dans les gros cas, et des signatures par lots EIP-7702 sont apparues après la mise à niveau Pectra. Août a été le pire mois avec 12.17 millions de dollars ; décembre le plus faible avec 2.04 millions.

Un avertissement sur l'attribution : certains médias ont attribué le chiffre de 83.85 millions de dollars à SlowMist. Il provient de ScamSniffer. Le propre rapport 2025 de SlowMist donne environ 2.935 milliards de dollars de pertes sur environ 200 incidents, qualifie le phishing de l'un des vecteurs les plus actifs, et ne publie aucun total pour le phishing.

Combien y a-t-il d'attaques de phishing et de domaines ?

L'APWG a recensé 1,069,681 attaques de phishing au deuxième trimestre 2026, soit 10.1 % de plus que les 971,181 du premier trimestre. Juin 2026 à lui seul a atteint 425,808, le mois le plus élevé depuis avril 2023. L'APWG a compté 941 marques uniques attaquées dans le trimestre, et le secteur SaaS et webmail a reçu 29.1 % des attaques. Le texte du rapport trimestriel ne donne pas de part pour la crypto : nous n'en citons donc aucune.

Côté domaines, Interisle a trouvé plus de 1.5 million de domaines de phishing entre mai 2024 et avril 2025, soit 38 % de plus qu'un an auparavant, et 77 % d'entre eux avaient été enregistrés par des criminels, les autres ayant été piratés ou acquis autrement. Par extension, les données de l'année suivante placent .com en tête avec 869,180 domaines de phishing ; le classement complet figure dans quelles extensions de domaine sont les plus utilisées pour le phishing.

Pourquoi les rapports donnent-ils des totaux différents ?

Les totaux diffèrent parce que chaque éditeur compte une chose différente. ScamSniffer compte les pertes dues aux drainers des sites de phishing sur les chaînes EVM. Chainalysis compte les revenus on-chain des opérations d'arnaque. CertiK compte les incidents de sécurité, le phishing n'étant qu'un vecteur parmi d'autres : 248 incidents de phishing et environ 723 millions de dollars sur environ 3.35 milliards en 2025, selon un résumé de presse de son rapport Hack3d. Le FBI compte les plaintes déposées par les victimes.

Une lecture juste utilise chaque chiffre pour ce qu'il mesure. Les pertes dues aux drainers montrent combien sort des portefeuilles par de faux sites. La hausse des usurpations d'identité montre la fréquence à laquelle des criminels se font passer pour quelqu'un d'autre. L'APWG et Interisle montrent combien de pages et de domaines existent pour cela. Aucun ne dit combien un projet donné a perdu, et aucun ne remplace votre propre surveillance.

Nous avons écarté les rapports de pertes d'Immunefi et toute part de la crypto dans les totaux de l'APWG : nous n'avons pas pu vérifier de chiffre.

Que signifient ces chiffres pour les domaines d'un projet ?

Ils signifient que l'attaque contre vos utilisateurs commence généralement par un domaine, et que les domaines sont peu chers à enregistrer. Une page de phishing a besoin d'un nom qui ressemble au vôtre ; 77 % des domaines de phishing étudiés par Interisle avaient été achetés dans ce but. Votre nom sur les extensions qu'utilisent les hameçonneurs coûte moins par an qu'une seule plainte auprès des centres d'arbitrage : le lot défensif de base .com, .net, .org, .io, .xyz et .app coûte $128.94 par an chez Wardmint, et une plainte à l'OMPI pour un à cinq domaines coûte 1,500 USD.

La seconde moitié de la défense est un plan de réaction. Le guide pour signaler un domaine de phishing liste les interlocuteurs à contacter, et le guide de référence sur la protection d'un projet crypto contre les domaines de phishing ordonne enregistrement, renforcement, surveillance et réaction.

Wardmint enregistre des noms ; il ne surveille pas et ne fait pas retirer de sites.

Sur combien de sources cette page s'appuie-t-elle ?

Selon l'index de Wardmint du 12 novembre 2026, cette page s'appuie sur 7 éditeurs (Chainalysis, ScamSniffer, CertiK, SlowMist, le FBI IC3, l'APWG et Interisle). Cinq ont été lus sur la page de l'éditeur ; deux, CertiK et le FBI IC3, ont été lus via la couverture de presse parce que l'original n'a pas pu être chargé. Chaque ligne du tableau indique lequel.

Un résumé citable : le total 2025 des arnaques crypto est une estimation de Chainalysis d'au moins 14 milliards de dollars on-chain ; la perte 2025 due aux drainers est un décompte de ScamSniffer de 83.85 millions de dollars ; et le volume de phishing 2026 est un décompte de l'APWG de 1,069,681 attaques en un trimestre.