Drift Exploiter Envoie 109M À Tornado Cash

Imaginez un instant : près de 300 millions de dollars disparaissent d’une plateforme de trading décentralisée en une seule journée d’avril. Six mois plus tard, l’attaquant se réveille et commence à faire circuler des sommes colossales vers un service de mélange réputé pour effacer les traces. C’est exactement ce qui vient de se produire avec les portefeuilles liés à l’exploit de Drift Protocol. En l’espace de deux jours, plus de 109 millions de dollars en ether ont été envoyés vers Tornado Cash, tandis que l’opérateur conserve encore environ 138 millions. L’affaire, déjà l’une des plus marquantes de l’année, reprend une tournure spectaculaire.

Un transfert massif qui relance toutes les questions

Le 20 et le 21 octobre 2026, les adresses identifiées comme appartenant à l’exploiteur de Drift ont déposé successivement 25 710 ETH puis 18 800 ETH dans le mixeur Tornado Cash. Au total, 44 510 ether, valorisés autour de 109 millions de dollars au moment des transactions. Ces mouvements ne sont pas anodins. Ils interviennent après plusieurs semaines de relative calme et rappellent que les fonds volés n’ont jamais vraiment disparu du radar des analystes on-chain.

Selon les données compilées par Onchain Lens et croisées avec les labels d’Arkham Intelligence, les portefeuilles de l’attaquant détenaient encore environ 56 569 ETH après ces dépôts, soit près de 138 millions de dollars. La veille, ce stock s’élevait à plus de 81 000 ETH. Chaque transfert réduit le montant visible, mais complexifie considérablement le suivi une fois les actifs entrés dans les pools de Tornado Cash.

Ces chiffres ne sont pas figés. Ils dépendent du cours de l’ether au moment exact des transactions et des labels attribués par les plateformes de suivi. Un dépôt dans un mixeur ne signifie pas automatiquement que les fonds ont été convertis en monnaies fiat ou récupérés par les autorités. Il rend simplement la chaîne de traçabilité beaucoup plus opaque.

Retour sur l’attaque d’avril 2026

Pour comprendre l’ampleur de ces mouvements, il faut revenir au 1er avril 2026. Drift Protocol, plateforme de trading perpétuel construite sur Solana, subit alors une attaque sophistiquée. Les pertes initiales oscillent selon les estimations, mais la plateforme finit par arrêter le compteur à environ 295,7 millions de dollars. Ce n’était pas une simple faille de smart contract classique. Les attaquants avaient passé des mois à construire des relations avec des contributeurs de la plateforme avant d’obtenir les autorisations nécessaires pour déplacer les fonds.

Cette méthode, plus sociale que purement technique, a surpris une partie de la communauté. Elle montre à quel point la sécurité d’un protocole dépend aussi des humains qui le gèrent. Drift a rapidement confié une investigation à Mandiant. Les conclusions, publiées dans une mise à jour de récupération en juin, pointent vers le groupe nord-coréen UNC6862. Les similarités opérationnelles avec d’autres attaques attribuées à des acteurs nord-coréens ont convaincu les enquêteurs.

Les attaquants ont passé des mois à développer des relations avec des contributeurs de Drift avant d’obtenir les approbations nécessaires pour déplacer les actifs.

Mise à jour de récupération Drift, juin 2026

Depuis, la plateforme a réorganisé son équipe. Elle a recruté Noah Prince, ancien cadre technique de Helium, pour superviser le développement du protocole. Des anciens membres de Gauntlet ont également été sollicités pour revoir les contrôles de risque et l’infrastructure de liquidation. L’objectif affiché est double : relancer une version plus robuste de la plateforme et générer des revenus destinés à indemniser les victimes.

Le mécanisme de récupération DFX

Le 1er octobre 2026, Drift a ouvert officiellement les demandes de réclamation pour le token DFX. Chaque utilisateur touché peut recevoir un DFX pour chaque dollar de perte reconnue. L’offre totale a été fixée à 299 500 810,998 tokens. Au lancement, le pool de récupération contenait environ 3,1 millions d’USDT. Le taux de rachat initial s’établissait autour de 0,0104 USDT par DFX, soit à peine un centime pour chaque dollar de perte.

Les détenteurs de DFX ont plusieurs options. Ils peuvent racheter une fraction du pool, vendre le token sur le marché secondaire, ou le conserver en attendant que le pool se renfloue. Chaque token racheté est brûlé, ce qui réduit l’offre restante. Une part significative des revenus nets du protocole relancé est versée quotidiennement dans ce pool : 60 % sur les 30 000 premiers USDT de revenus journaliers, 70 % sur la tranche suivante jusqu’à 100 000, et 90 % au-delà.

Tout actif récupéré via des gelures, des actions des forces de l’ordre ou d’autres procédures sera également versé dans ce pool. Les utilisateurs éligibles ont jusqu’au 1er janvier 2028 pour réclamer leurs tokens. Passé cette date, les DFX non réclamés seront définitivement brûlés.

Pourquoi Tornado Cash reste un outil privilégié

Tornado Cash n’est pas un service anodin. Il permet de déposer des cryptomonnaies dans des pools de liquidité et de les retirer plus tard vers de nouvelles adresses, en cassant le lien on-chain. Pour un attaquant cherchant à obscurcir l’origine des fonds, c’est un outil classique. Les dépôts d’août 2026, déjà estimés à environ 44 millions de dollars, avaient montré que l’exploiteur n’hésitait pas à utiliser ce canal.

Les analystes on-chain soulignent cependant qu’un dépôt dans Tornado Cash ne garantit pas l’anonymat total. Les volumes, les timings, les patterns de retrait et les éventuelles erreurs opérationnelles peuvent encore laisser des traces. Les services de suivi comme Arkham, Lookonchain ou Onchain Lens continuent de surveiller les adresses associées. Chaque nouveau mouvement alimente les discussions sur la capacité réelle des autorités à geler ou récupérer une partie des fonds.

Dans le cas de Drift, plus d’un tiers du montant initialement volé a déjà transitée par le mixeur en octobre, si l’on additionne les deux jours de transferts. Cela laisse encore une part importante dans les wallets suivis, mais réduit le montant facilement saisissable.

Les difficultés persistantes du suivi des fonds

Suivre des fonds après un passage dans un mixeur reste un exercice complexe. Les enquêteurs doivent croiser des données on-chain avec des informations off-chain, des patterns de comportement et parfois des fuites opérationnelles. Dans le cas de Drift, les premiers mois après l’attaque avaient déjà montré les limites de la traçabilité. Les transferts d’août puis ceux d’octobre confirment que l’attaquant conserve une capacité d’action et une liquidité importante.

Les labels d’Arkham Intelligence restent l’une des principales sources publiques pour estimer les soldes restants. Pourtant, ces labels ne capturent pas forcément l’intégralité des actifs contrôlés par les auteurs. Des adresses non encore identifiées, des bridges vers d’autres chaînes ou des conversions en monnaies stables peuvent exister en parallèle. C’est pourquoi les chiffres de 138 millions de dollars doivent être lus comme un plancher plutôt qu’un plafond.

Un dépôt dans un mixeur ne signifie pas que les actifs ont été monnayés. Il rend simplement leur suivi nettement plus difficile.

La communauté crypto observe ces mouvements avec un mélange de résignation et d’attention. Chaque nouveau transfert massif ravive les questions sur l’efficacité des outils de compliance et sur la capacité des protocoles à se protéger contre des attaques sophistiquées mêlant ingénierie sociale et exploitation technique.

L’impact sur la confiance dans les protocoles Solana

Drift n’est pas le seul protocole Solana à avoir subi des pertes importantes ces dernières années. Pourtant, l’ampleur de cet exploit et la sophistication de l’attaque ont marqué les esprits. La plateforme a choisi une approche transparente en communiquant régulièrement sur l’enquête et sur le plan de récupération. Cette communication a permis de maintenir un certain niveau de dialogue avec les utilisateurs touchés.

Le lancement du token DFX et l’ouverture des réclamations constituent une étape concrète. Même si le taux de rachat initial reste très faible, le mécanisme de redistribution progressive des revenus du protocole offre une perspective de long terme. Les engagements de partenaires, notamment Tether, renforcent la crédibilité du dispositif, même s’ils ne se traduisent pas encore en liquidités immédiates disponibles pour tous les utilisateurs.

Pour l’écosystème Solana dans son ensemble, ces événements rappellent que la sécurité opérationnelle et la gestion des clés d’autorisation restent des points critiques. Les audits de smart contracts ne suffisent plus lorsque l’attaque cible les processus humains et les procédures d’approbation.

Que peut-on attendre dans les prochaines semaines

Les prochains jours seront scrutés de près. Les analystes on-chain surveillent d’éventuels retraits depuis Tornado Cash ou de nouveaux mouvements depuis les wallets encore labellisés. Toute activité inhabituelle pourrait indiquer une tentative de monétisation ou, au contraire, une stratégie d’attente prolongée.

Du côté de Drift, la priorité reste la relance de la plateforme et l’alimentation progressive du pool de récupération. Plus les volumes de trading et les revenus nets progresseront, plus le taux de rachat des DFX pourra s’améliorer. Les utilisateurs ont encore plus d’un an pour décider s’ils préfèrent racheter, vendre ou conserver leurs tokens.

Parallèlement, les autorités et les sociétés de blockchain forensics continuent de travailler sur des pistes d’identification. L’attribution à un groupe nord-coréen augmente la pression diplomatique et opérationnelle, mais ne garantit pas pour autant une récupération rapide des fonds. L’histoire des grands hacks crypto montre que les délais se comptent souvent en années plutôt qu’en mois.

Une leçon plus large pour l’écosystème DeFi

L’affaire Drift illustre plusieurs tendances de fond. D’abord, la sophistication croissante des attaques, qui combinent désormais ingénierie sociale, persistence et knowledge approfondie des processus internes. Ensuite, la difficulté persistante à sécuriser durablement des fonds une fois qu’ils ont quitté le périmètre du protocole. Enfin, l’importance des mécanismes de récupération post-incident, même imparfaits, pour maintenir un minimum de confiance.

Les mixeurs comme Tornado Cash restent au cœur des débats réglementaires. Leur utilité pour la protection de la vie privée des utilisateurs légitimes est régulièrement opposée à leur usage par des acteurs malveillants. Les transferts de l’exploiteur de Drift viennent nourrir ce débat sans le trancher.

Pour les utilisateurs, le message reste clair : la diversification des risques, la vigilance sur les permissions accordées et le suivi des annonces des protocoles sont plus que jamais nécessaires. Pour les équipes de développement, l’attaque de Drift sert de cas d’école sur les limites d’une sécurité purement technique.

Les chiffres à retenir et leur évolution possible

Au moment où ces lignes sont écrites, le tableau est le suivant : environ 109 millions de dollars ont transité vers Tornado Cash en deux jours, 138 millions restent visibles dans les wallets suivis, et le montant initial de l’exploit s’élevait à près de 296 millions. Ces montants évoluent avec le cours de l’ether et avec d’éventuels nouveaux mouvements. Ils ne représentent pas non plus l’intégralité des actifs potentiellement contrôlés par les auteurs.

Les transferts d’août, déjà significatifs, montraient que l’attaquant n’avait pas abandonné ses avoirs. Les mouvements d’octobre confirment une stratégie active de gestion de liquidité. Que ces fonds finissent par être monnayés, gelés ou partiellement récupérés reste une question ouverte. Ce qui est certain, c’est que l’histoire de l’exploit Drift est loin d’être terminée.

La plateforme continue de construire son plan de compensation. Les utilisateurs continuent de surveiller les dashboards on-chain. Et les analystes continuent de documenter chaque nouveau dépôt. Dans un écosystème où la transparence on-chain coexiste avec des outils d’obscurcissement, chaque transfert massif devient un chapitre supplémentaire d’une affaire qui n’a pas encore livré tous ses secrets.

En attendant d’éventuelles nouvelles révélations, les 56 569 ETH restants dans les portefeuilles labellisés constituent le stock le plus visible. Leur devenir conditionnera en partie le montant final que les victimes pourront espérer récupérer via le pool DFX ou via d’éventuelles actions de forces de l’ordre. Pour l’instant, l’attaquant a choisi de faire circuler une part importante de ses gains vers Tornado Cash. La suite de l’histoire se jouera probablement dans l’ombre des pools de mixage et dans les efforts de reconstruction de Drift Protocol.

Cette séquence d’octobre 2026 rappelle une réalité souvent oubliée : même après plusieurs mois de silence, les fonds issus d’un grand exploit peuvent soudainement se remettre en mouvement. Et quand ils le font, c’est rarement discret. Les 109 millions de dollars qui viennent d’entrer dans Tornado Cash ne sont peut-être qu’une étape. La suite, elle, reste à écrire.