Exploiteur Drift Réapparaît Avec 61,6 M$ En ETH

Deux mois de silence presque total, puis soudain un mouvement massif. Le 20 octobre 2026, un groupe de portefeuilles lié à l’un des plus gros exploits de l’année a repris du service. Environ 25 700 ETH, soit près de 61,6 millions de dollars, ont été déposés dans Tornado Cash en quelques heures seulement. Ce retour inattendu relance toutes les questions autour de l’attaque du 1er avril contre Drift Protocol, cette plateforme de dérivés décentralisés sur Solana qui avait perdu près de 285 millions de dollars.

Un retour surprise après deux mois d’inactivité

Les analystes on-chain suivaient de près ces adresses depuis le printemps. Pendant longtemps, rien ne bougeait. Les fonds semblaient dormants. Puis, en l’espace de deux heures, les transferts ont commencé. Lookonchain a été parmi les premiers à signaler l’opération : 25 700 ETH envoyés vers le mixer. Selon leurs estimations, le groupe contrôlait encore environ 81 864 ETH, valorisés autour de 195 millions de dollars au moment des faits.

D’autres comptes de surveillance ont publié des chiffres légèrement différents, ce qui est classique dans ce type d’observation en temps réel. Onchain Lens avait repéré un peu plus tôt au moins 13 400 ETH, soit environ 32 millions de dollars. Un autre suivi évoquait 19 600 ETH répartis en 196 transactions. Ces écarts ne signifient pas des contradictions majeures. Ils reflètent simplement des captures effectuées à des moments distincts pendant le déroulement des mouvements.

Ces chiffres donnent une idée de l’ampleur, mais ils ne permettent pas encore de dresser un bilan définitif. Les balances changent au fur et à mesure des transferts, et les enquêteurs suivent plusieurs portefeuilles distincts. Une adresse se terminant par 57c1, par exemple, aurait encore conservé un peu plus de 6 000 ETH après ses premiers envois sortants.

Pourquoi Tornado Cash reste l’outil privilégié

Tornado Cash n’est pas un simple échange. C’est un service de mixage qui regroupe les dépôts de nombreux utilisateurs et permet de retirer les fonds via d’autres adresses. L’objectif est de rompre la chaîne de traçabilité directe. Envoyer des ETH dans ce type de protocole ne signifie pas automatiquement que l’argent a été monétisé ou vendu sur une plateforme centralisée. Cela complexifie simplement le suivi.

Dans le cas de Drift, les fonds volés avaient déjà circulé entre Solana et Ethereum. Une partie importante avait été convertie en ETH avant ces derniers mouvements. Le choix de Tornado Cash s’inscrit donc dans une logique de dissimulation progressive, déjà observée dans d’autres opérations d’envergure.

Envoyer des fonds vers un mixer ne prouve ni leur conversion en liquidités ni leur récupération par un tiers. Cela rend simplement le parcours plus opaque.

Analyse on-chain synthétique

Retour sur l’attaque du 1er avril

Pour comprendre l’importance de ces transferts, il faut revenir à l’origine. Le 1er avril 2026, Drift Protocol a subi une attaque sophistiquée. Les pirates n’ont pas exploité une simple faille de code. Ils ont pris le contrôle administratif de la plateforme en obtenant des validations de transactions auprès de membres du Security Council.

Selon les reconstitutions, les attaquants ont passé plusieurs mois à se faire passer pour des représentants d’une société de trading. Ils ont tissé des relations, gagné la confiance, puis utilisé une particularité de Solana : les durable nonces. Ces transactions pré-signées restent valides jusqu’à leur exécution. Une fois un nombre suffisant d’approbations multisignatures obtenues, le contrôle administratif a basculé.

Les pirates ont ensuite validé un faux token, baptisé CarbonVote Token ou CVT, comme collatéral. Ils ont généré une activité artificielle autour de ce token pour créer un historique de prix trompeur, puis l’ont utilisé pour retirer de véritables actifs : stablecoins et cryptomonnaies. Chainalysis a estimé les pertes à 285 millions de dollars, soit plus de la moitié de la valeur totale verrouillée sur le protocole à l’époque.

Drift a publié plus tard un inventaire détaillé qui s’élevait à environ 295,7 millions de dollars. L’écart s’explique par des différences de valorisation et de périmètre comptable. Dans tous les cas, il s’agit de l’un des plus grands coups de l’année dans la DeFi.

L’ombre des opérateurs nord-coréens

Très rapidement, les experts en sécurité ont établi des rapprochements avec des groupes déjà connus. Elliptic a souligné des patterns de transactions et des techniques de blanchiment similaires à d’autres attaques attribuées à la Corée du Nord. Drift a ensuite indiqué qu’une investigation menée par Mandiant pointait vers le groupe UNC6862.

Ce même groupe avait déjà été associé à l’exploit de Radiant Capital en octobre 2024, qui avait coûté environ 50 millions de dollars. L’attaque contre Drift s’inscrit donc dans une série plus large. Au mois d’avril, les pertes liées aux exploits DeFi avaient dépassé les 600 millions de dollars en seulement dix-huit jours, avec notamment Drift et KelpDAO parmi les victimes.

Le programme de recovery lancé par Drift

Pendant que les fonds continuent de circuler, Drift a mis en place un dispositif de compensation. Le 1er octobre 2026, la plateforme a ouvert les demandes de claims et de redemptions pour les tokens de recovery DFX. Chaque dollar USDT de perte vérifiée donne droit à un token DFX.

L’offre totale a été fixée à environ 299,5 millions de tokens. Au lancement, le pool de recovery contenait autour de 3,1 millions d’USDT. Les utilisateurs peuvent échanger leurs DFX contre les fonds disponibles, les trader, ou les conserver en attendant que le pool se reconstitue. Le montant effectivement récupérable dépend du solde du pool et du nombre de tokens encore en circulation. Détenir un DFX ne garantit donc pas un remboursement immédiat à la valeur nominale.

Drift a précisé que les revenus de sa plateforme de trading relancée, baptisée Velocity, viendraient alimenter ce pool. Tether s’est engagé à hauteur de 127,5 millions de dollars maximum, et d’autres partenaires ont promis jusqu’à 20 millions supplémentaires. Tout fonds récupéré via des actions judiciaires, des gels ou d’autres procédures sera également versé dans le pool. Les claims restent ouverts jusqu’au 1er janvier 2028.

Ce que ces nouveaux mouvements changent

Le dépôt de dizaines de millions de dollars dans Tornado Cash ne signe pas nécessairement la fin de l’histoire. Les autorités et les sociétés d’analyse on-chain continuent de suivre les flux. Certains mixers ont déjà fait l’objet de sanctions ou de pressions, et des outils de traçabilité de plus en plus sophistiqués existent.

Pourtant, l’opération reste un rappel brutal de la fragilité de certains protocoles DeFi face à des attaquants patients et organisés. Ici, ce n’est pas une vulnérabilité purement technique qui a été exploitée, mais une combinaison de social engineering, de gouvernance multisignature et de fonctionnalités natives de la blockchain Solana.

Les victimes de Drift se retrouvent dans une situation classique : une partie des pertes pourrait être compensée via le programme DFX, mais le calendrier et le montant exact restent incertains. Pendant ce temps, les fonds volés continuent de circuler, parfois après de longues périodes d’inactivité destinées à faire baisser la vigilance.

Un schéma qui se répète dans la DeFi

L’affaire Drift n’est pas isolée. Ces dernières années, plusieurs protocoles ont été frappés par des attaques combinant ingénierie sociale et contrôle administratif. Les montants en jeu augmentent, les méthodes se raffinent, et les délais entre le vol et la monétisation s’allongent parfois volontairement.

Dans le cas présent, le silence de deux mois a pu servir à tester la réaction des autorités, à observer les éventuels gels de fonds, ou simplement à attendre un moment jugé plus favorable. Le fait de reprendre les transferts en masse vers Tornado Cash montre que les opérateurs considèrent encore ce canal comme viable, malgré les efforts de régulation et de traçabilité.

Pour les utilisateurs de protocoles DeFi, le message reste le même : la sécurité ne repose pas uniquement sur le code. La gouvernance, la gestion des clés, la formation des équipes et la résistance au social engineering sont devenues des enjeux critiques. Un seul maillon faible peut suffire à faire basculer des centaines de millions de dollars.

Les chiffres à retenir pour y voir plus clair

Voici une synthèse des montants les plus cités dans les différentes observations :

• Perte initiale estimée par Chainalysis : 285 millions de dollars
• Inventaire publié par Drift : environ 295,7 millions de dollars
• Dernier dépôt signalé : 25 700 ETH (environ 61,56 M$)
• Solde restant observé : autour de 81 864 ETH (près de 195 M$)
• Engagement Tether pour le recovery : jusqu’à 127,5 millions de dollars

Ces données évoluent rapidement. Les valorisations dépendent du cours de l’ETH au moment de chaque observation, et les soldes se modifient au gré des transferts. C’est pourquoi les chiffres publiés le même jour peuvent parfois diverger légèrement.

Que peut-on espérer pour la suite ?

Deux scénarios principaux se dessinent. Dans le premier, les fonds continuent d’être mélangés et progressivement monétisés, rendant toute récupération massive difficile. Dans le second, des avancées dans le traçage on-chain ou des coopérations internationales permettent de geler ou de récupérer une partie des actifs. Drift a explicitement indiqué que tout montant récupéré serait versé dans le pool de recovery.

Les utilisateurs ayant déposé des claims DFX devront patienter. Le mécanisme est conçu pour s’enrichir progressivement grâce aux revenus de Velocity et aux contributions externes. Plus le pool se remplit, plus la valeur de rachat potentielle d’un token DFX augmente. Mais rien n’est garanti à court terme.

En attendant, le secteur DeFi observe. Chaque nouvel exploit de cette envergure pousse les protocoles à revoir leurs procédures de gouvernance, à renforcer les contrôles sur les multisignatures et à former leurs équipes aux techniques d’ingénierie sociale. L’attaque contre Drift a montré qu’il ne suffit plus de sécuriser le code. Il faut aussi sécuriser les humains qui le gouvernent.

Un rappel sur la nature même des mixers

Tornado Cash et les services similaires ont toujours suscité des débats. D’un côté, ils offrent une forme de confidentialité financière dans un environnement où toutes les transactions sont publiques par défaut. De l’autre, ils sont régulièrement utilisés pour dissimuler le produit d’activités illicites. Les régulateurs ont multiplié les actions contre ce type d’outils, mais leur usage persiste.

Dans le cas de Drift, le recours massif à Tornado Cash après une longue période de calme illustre bien cette tension. Les pirates cherchent à maximiser leurs chances de sortir les fonds sans être interdits, tandis que les analystes et les forces de l’ordre tentent de suivre les flux malgré le mixage.

Il est important de rappeler qu’un dépôt dans un mixer ne signifie pas automatiquement la disparition définitive des fonds. Des techniques d’analyse statistique, de clustering et de suivi de comportements permettent parfois de relier des adresses de sortie à des adresses d’entrée, même après un passage dans un service de mixage.

Le contexte plus large des exploits DeFi en 2026

L’année 2026 a déjà été marquée par plusieurs attaques de grande ampleur. Le mois d’avril a été particulièrement rude, avec plus de 600 millions de dollars de pertes en moins de trois semaines. Drift et KelpDAO figurent parmi les plus touchés, mais d’autres protocoles ont également souffert.

Ces événements poussent le secteur à s’interroger sur la maturité de la sécurité. Les audits de code restent indispensables, mais ils ne couvrent pas les risques liés à la gouvernance et aux relations humaines. Les équipes de sécurité doivent désormais intégrer des scénarios de social engineering dans leurs tests, et les processus de signature multisignature doivent être renforcés.

Drift a tiré les leçons de l’attaque en ouvrant un programme de recovery ambitieux et en relançant son activité sous une nouvelle forme. D’autres protocoles pourraient s’inspirer de cette approche pour mieux préparer leurs utilisateurs à d’éventuels incidents.

Ce que les utilisateurs peuvent retenir

Pour les détenteurs de crypto et les utilisateurs de protocoles DeFi, l’affaire Drift offre plusieurs enseignements concrets. Premièrement, la diversification reste essentielle : ne jamais concentrer l’intégralité de ses fonds sur un seul protocole, aussi sérieux soit-il. Deuxièmement, la compréhension des mécanismes de gouvernance et de sécurité d’un protocole devient un critère de choix aussi important que les rendements proposés.

Troisièmement, en cas d’incident, la rapidité de réaction de l’équipe et la qualité du plan de recovery font une différence réelle. Drift a mis plusieurs mois avant d’ouvrir les claims DFX, mais le dispositif existe et s’appuie sur des contributions externes importantes. Enfin, le suivi on-chain montre que même après un long silence, les fonds volés peuvent ressortir. La vigilance des analystes et des autorités ne disparaît pas avec le temps.

Le retour de l’exploiteur de Drift sur Tornado Cash ne ferme pas le chapitre. Il en ouvre un nouveau, plus opaque, dans lequel chaque transfert sera scruté. Pour les victimes, l’espoir de récupération repose désormais sur le pool DFX et sur d’éventuelles avancées dans le traçage des fonds. Pour le reste de l’écosystème, c’est un nouveau signal d’alarme sur la nécessité de renforcer toutes les couches de sécurité, techniques comme humaines.

Les prochaines semaines diront si d’autres mouvements massifs surviennent, et si une partie des 195 millions de dollars encore apparemment sous contrôle des pirates finit par être gelée ou récupérée. En attendant, le marché continue d’observer, et les protocoles DeFi de s’adapter. L’histoire de Drift n’est pas terminée. Elle vient simplement d’entrer dans une nouvelle phase, plus discrète, mais tout aussi déterminante.