Deux mois de silence absolu. Puis, sans le moindre avertissement, des dizaines de millions de dollars en Ethereum se mettent à circuler à nouveau. Le 20 octobre 2026, les observateurs de la blockchain ont constaté un mouvement massif : environ 25 700 ETH, soit près de 61,6 millions de dollars, ont été déposés dans Tornado Cash. Derrière ces transferts se cache le groupe de portefeuilles lié à l’un des plus grands piratages de l’année dans la finance décentralisée.
Le retour inattendu de l’attaquant de Drift Protocol
L’histoire commence le 1er avril 2026. Ce jour-là, Drift Protocol, une plateforme de produits dérivés décentralisés construite sur Solana, perd le contrôle de ses fonds. En quelques heures, plus de 285 millions de dollars s’évaporent. Les attaquants ne se contentent pas d’un simple vol technique. Ils ont préparé le terrain pendant des mois en se faisant passer pour des représentants d’une société de trading.
Ils ont cultivé la confiance de membres du conseil de sécurité de Drift. Une fois les approbations multisignatures obtenues, ils ont pris le contrôle administratif. Ensuite, ils ont introduit un faux jeton baptisé CarbonVote Token, ou CVT, qu’ils ont fait accepter comme collatéral. En fabriquant une activité de trading artificielle autour de ce jeton, ils ont créé une illusion de valeur. Puis ils ont emprunté de véritables actifs contre ce collatéral fantôme.
Le résultat ? Des centaines de millions en stablecoins et en cryptomonnaies sont partis. Chainalysis a d’abord estimé les pertes à 285 millions de dollars. Drift a ensuite publié un bilan plus détaillé atteignant environ 295,7 millions. La différence s’explique par les méthodes de valorisation et le périmètre comptable retenus.
Des mois d’inactivité suivis d’un réveil soudain
Après le coup, les fonds ont circulé entre Solana et Ethereum. L’attaquant a progressivement accumulé de l’ETH. Puis le silence s’est installé. Pendant près de deux mois, les adresses associées n’ont presque plus bougé. Les analystes on-chain ont guetté le moindre signe de vie.
Le 20 octobre, le calme a volé en éclats. Lookonchain a signalé le dépôt de 25 700 ETH dans Tornado Cash sur une période de deux heures. À ce moment-là, les portefeuilles contrôlaient encore 81 864 ETH, soit environ 195 millions de dollars. Un autre observateur, Onchain Lens, avait repéré un peu plus tôt le mouvement d’au moins 13 400 ETH, valorisés autour de 32 millions.
Ces chiffres ne doivent pas être additionnés. Ils correspondent à des observations faites à des moments différents. Une troisième source a même évoqué 19 600 ETH déposés en 196 transactions, pour une valeur d’environ 46,81 millions. Les balances évoluent vite. Une adresse se terminant par 57c1 aurait encore conservé 6 114 ETH après ses premiers retraits, soit près de 14,6 millions de dollars.
À retenir : les montants publiés le même jour varient selon l’heure de l’observation. Les analystes suivent plusieurs adresses distinctes. Les soldes changent au fil des transferts. Il est donc impossible de figer un chiffre unique et définitif en temps réel.
Pourquoi Tornado Cash attire encore les fonds volés
Tornado Cash n’est pas un simple service de transfert. C’est un protocole de mixage. Les utilisateurs déposent des cryptomonnaies dans un pool commun. Plus tard, ils peuvent retirer un montant équivalent vers une adresse totalement différente. La traçabilité directe s’en trouve fortement réduite.
Envoyer de l’ETH dans ce protocole ne signifie pas automatiquement que l’argent a été monétisé ou vendu sur une plateforme d’échange. Cela ne prouve pas non plus qu’un tiers a récupéré les fonds. Cela indique seulement que l’opérateur des portefeuilles a choisi d’opacifier la suite du parcours.
Dans l’écosystème crypto, ce type de mouvement reste un signal fort. Les autorités de régulation et les sociétés d’analyse on-chain y voient souvent une étape de blanchiment. Les défenseurs de la confidentialité y voient un outil de protection de la vie privée. Les deux interprétations coexistent, et le débat n’est pas tranché.
Les soupçons d’implication nord-coréenne
Dès les premiers jours après l’attaque, des indices ont orienté les investigations vers un groupe lié à la Corée du Nord. Elliptic a noté des schémas de transactions et des techniques de laundering cohérents avec des opérations antérieures attribuées à des acteurs nord-coréens.
Drift a ensuite indiqué qu’une enquête menée par la société de cybersécurité Mandiant avait attribué l’incident au groupe UNC6862. Ce même groupe aurait déjà été impliqué dans l’attaque contre Radiant Capital en octobre 2024, qui avait coûté environ 50 millions de dollars à la plateforme.
Ces attributions reposent sur des analyses de comportements, de signatures techniques et de flux de fonds. Elles ne constituent pas une preuve judiciaire définitive accessible au public. Elles pèsent cependant lourd dans la compréhension du contexte géopolitique de ces attaques.
Les attaquants ont passé des mois à construire une relation de confiance avant de frapper. Cette approche d’ingénierie sociale longue durée distingue clairement cette opération des exploits purement techniques opportunistes.
Comment l’attaque a réellement fonctionné
Le mécanisme repose sur une particularité de Solana appelée durable nonce. Cette fonctionnalité permet de préparer une transaction à l’avance et de la maintenir valide jusqu’à son exécution. Les attaquants ont exploité cette possibilité pour obtenir des signatures sans que les signataires comprennent pleinement les conséquences.
Une fois les autorisations en poche, ils ont modifié les paramètres administratifs. Ils ont autorisé le jeton CVT comme collatéral. Puis ils ont orchestré une activité de trading fictive pour donner à ce jeton une apparence de liquidité et de prix. Enfin, ils ont retiré de véritables actifs contre cette garantie sans valeur réelle.
Cette méthode combine ingénierie sociale, compréhension fine des mécanismes de gouvernance et exploitation d’une fonctionnalité légitime de la blockchain. Elle montre à quel point les protocoles DeFi restent vulnérables lorsque la confiance humaine intervient dans les processus de sécurité.
Le programme de compensation mis en place par Drift
Face aux pertes, Drift n’est pas resté inactif. Le 1er octobre 2026, le protocole a ouvert les réclamations et les rachats de tokens de récupération DFX. Chaque dollar USDT de perte vérifiée donne droit à un token DFX.
L’offre totale de DFX a été fixée à environ 299,5 millions de tokens. Au lancement, le pool de récupération contenait autour de 3,1 millions d’USDT. Les utilisateurs peuvent racheter leurs DFX contre les fonds disponibles, les échanger ou les conserver en attendant que le pool se reconstitue.
Le montant réellement récupérable dépend du solde du pool et du nombre de tokens encore en circulation. Détenir un DFX ne garantit donc pas un remboursement immédiat à la valeur nominale. Le protocole a indiqué que les revenus de sa plateforme relancée, Velocity, alimenteraient le pool. Tether s’est engagé à hauteur de 127,5 millions de dollars. D’autres partenaires ont promis jusqu’à 20 millions supplémentaires.
Les fonds récupérés grâce à des actions judiciaires, des gelages ou d’autres procédures seront également versés dans le pool. Les réclamations restent ouvertes jusqu’au 1er janvier 2028. Ce calendrier laisse du temps, mais il ne résout pas l’incertitude sur le pourcentage final de récupération.
Points clés du programme DFX
- 1 DFX = 1 USDT de perte vérifiée
- Offre totale : environ 299,5 millions de tokens
- Pool initial : environ 3,1 millions d’USDT
- Engagement Tether : jusqu’à 127,5 millions de dollars
- Date limite des réclamations : 1er janvier 2028
Un mois d’avril particulièrement meurtrier pour la DeFi
L’attaque contre Drift n’est pas un cas isolé. Au cours des 18 premiers jours d’avril 2026, les pertes liées aux exploits dans la finance décentralisée ont dépassé 600 millions de dollars. Drift et KelpDAO figurent parmi les victimes majeures de cette vague.
Ces chiffres rappellent que la DeFi, malgré ses progrès, reste exposée. Les protocoles gèrent des sommes colossales. Les mécanismes de gouvernance et de sécurité reposent encore souvent sur un nombre limité de personnes. Une faille humaine ou technique peut avoir des conséquences immédiates et massives.
Les attaquants sophistiqués l’ont bien compris. Ils investissent du temps dans la préparation. Ils étudient les processus internes. Ils exploitent la confiance. Les défenses purement techniques ne suffisent plus.
Ce que révèle le suivi on-chain
Les plateformes d’analyse comme Lookonchain, Onchain Lens ou d’autres spécialistes livrent des informations quasi en temps réel. Elles permettent de suivre les mouvements de grands portefeuilles suspects. Elles ne donnent cependant pas une vision exhaustive et instantanée.
Les soldes évoluent. Les fonds transitent par des adresses intermédiaires. Certains montants peuvent être divisés ou consolidés. Les chiffres publiés à quelques heures d’intervalle divergent donc naturellement. Les journalistes et les utilisateurs doivent interpréter ces données avec prudence.
Dans le cas présent, les différentes sources convergent sur un point central : l’exploiteur de Drift a repris une activité significative de dépôt vers Tornado Cash le 20 octobre 2026 après une longue période de calme.
Les limites de la traçabilité malgré la transparence de la blockchain
La blockchain est publique. Chaque transaction est enregistrée de façon permanente. Pourtant, les mixeurs et les techniques de fragmentation compliquent considérablement le travail des enquêteurs. Tornado Cash a été conçu précisément pour briser le lien direct entre dépôt et retrait.
Les autorités ont déjà pris des mesures contre ce type de protocoles. Certaines versions ou interfaces ont fait l’objet de sanctions. L’usage continue néanmoins. Les attaquants adaptent leurs méthodes. Les défenseurs de la privacy continuent de développer de nouveaux outils.
Cette course permanente entre opacité et transparence structure une grande partie de l’écosystème crypto actuel. Elle place les utilisateurs légitimes dans une position délicate : ils souhaitent protéger leur vie privée sans pour autant faciliter le blanchiment de fonds illicites.
Impact sur la confiance des utilisateurs
Chaque grand exploit laisse des traces psychologiques. Les utilisateurs qui ont perdu des fonds sur Drift attendent maintenant de savoir quel pourcentage ils pourront récupérer. D’autres investisseurs, même non directement touchés, observent avec attention la façon dont le protocole gère la crise.
Le lancement des tokens DFX constitue une réponse structurée. Elle n’efface pas le sentiment de vulnérabilité. La DeFi promettait une finance sans intermédiaire et plus résistante. Les attaques répétées rappellent que la décentralisation ne supprime pas les risques. Elle les déplace.
Les protocoles doivent désormais renforcer non seulement le code, mais aussi les processus humains. Les conseils de sécurité, les multisignatures et les procédures d’approbation nécessitent des garde-fous supplémentaires. L’ingénierie sociale est devenue une arme de premier plan.
Les prochaines étapes possibles
Plusieurs scénarios se dessinent. Les fonds déposés dans Tornado Cash peuvent rester en sommeil pendant un temps plus ou moins long. Ils peuvent être progressivement retirés vers de nouvelles adresses. Ils peuvent aussi faire l’objet de tentatives de gel si des plateformes d’échange identifient des flux suspects.
Drift a indiqué que tout montant récupéré par voie judiciaire ou administrative serait ajouté au pool de compensation. La réussite de ces démarches reste incertaine. Les enquêtes internationales contre des groupes attribués à la Corée du Nord sont complexes et longues.
Du côté des utilisateurs, la patience s’impose. Le programme de récupération s’étend jusqu’en 2028. D’ici là, le volume du pool et le prix de marché des DFX détermineront le niveau de compensation effectif.
Une leçon pour l’ensemble de l’écosystème
L’affaire Drift illustre plusieurs tendances de fond. Premièrement, les attaques les plus coûteuses combinent désormais technique et manipulation humaine. Deuxièmement, les fonds volés transitent souvent par Ethereum et des mixeurs avant de disparaître. Troisièmement, les protocoles tentent de plus en plus de mettre en place des mécanismes de compensation partiels plutôt que de laisser les victimes seules face à leurs pertes.
Ces évolutions ne rendent pas la DeFi invulnérable. Elles montrent cependant une prise de conscience. La sécurité ne se limite plus au code audit. Elle englobe la formation des équipes, la vérification des interlocuteurs et la limitation des pouvoirs administratifs.
Les prochaines années diront si ces leçons sont réellement intégrées. En attendant, chaque mouvement de fonds provenant d’un exploit ancien continue d’attirer l’attention des analystes et des médias spécialisés.
Le rôle croissant des observateurs on-chain
Des comptes spécialisés publient désormais des alertes presque en direct. Ils suivent les portefeuilles liés aux exploits majeurs. Ils quantifient les dépôts dans les mixeurs. Ils estiment les soldes restants. Cette transparence relative permet à la communauté de rester informée.
Elle crée aussi une forme de pression. Les attaquants savent qu’ils sont observés. Les protocoles savent que l’opinion publique suit l’évolution des fonds. Les autorités disposent d’indices supplémentaires pour orienter leurs enquêtes.
Cette surveillance permanente constitue un des aspects les plus originaux de l’écosystème crypto. Nulle part ailleurs dans la finance traditionnelle un vol de plusieurs centaines de millions de dollars ne génère autant de données publiques accessibles en temps quasi réel.
Entre récupération et résignation
Pour les victimes de Drift, l’espoir de récupération existe. Il reste mesuré. Le pool initial de 3,1 millions d’USDT face à près de 300 millions de tokens DFX montre l’ampleur de l’écart. Les engagements de Tether et d’autres partenaires peuvent réduire cet écart, mais pas forcément le combler entièrement.
Certains utilisateurs choisiront de vendre leurs DFX rapidement pour récupérer une partie de leurs pertes. D’autres préféreront attendre, misant sur une reconstitution progressive du pool. Chaque stratégie comporte ses risques.
Dans tous les cas, l’expérience laisse un goût amer. La promesse d’une finance ouverte et résistante s’est heurtée à la réalité d’une attaque préparée avec méthode et patience.
Ce qu’il faut retenir de cette reprise d’activité
Le 20 octobre 2026 marque un tournant dans le suivi de l’exploit Drift. Après deux mois de quasi-inactivité, l’attaquant a de nouveau déplacé des dizaines de millions de dollars vers Tornado Cash. Les chiffres exacts varient selon les sources et l’heure d’observation, mais l’ordre de grandeur est clair : plus de 60 millions de dollars ont circulé en quelques heures.
Les portefeuilles liés à l’attaque contrôlaient encore des sommes importantes au moment des transferts. L’enquête se poursuit. Les attributions à un groupe nord-coréen restent les plus sérieuses avancées jusqu’à présent. Le programme de compensation DFX offre une voie de récupération partielle aux victimes.
Cette affaire rappelle que dans la DeFi, le temps ne fait pas toujours disparaître les fonds volés. Il les rend parfois plus difficiles à suivre. Les prochains mouvements de ces portefeuilles continueront d’être scrutés de près par l’ensemble de la communauté.
L’histoire de Drift n’est pas terminée. Elle illustre à la fois la vulnérabilité des protocoles et la capacité de réaction de l’écosystème. Entre ingénierie sociale, mixage de fonds et mécanismes de compensation, elle concentre presque tous les enjeux contemporains de la finance décentralisée.
Les utilisateurs, les développeurs et les régulateurs tirent chacun leurs conclusions. Pour l’instant, une chose est certaine : après deux mois de silence, l’exploiteur de Drift a choisi de se rappeler au souvenir de tous. Et les yeux restent rivés sur la suite.
Dans un secteur où la confiance se construit lentement et se brise rapidement, chaque nouveau transfert de fonds issus d’un exploit majeur relance le débat. Comment protéger les protocoles ? Comment indemniser les victimes ? Comment concilier confidentialité et lutte contre le blanchiment ? Les réponses évoluent, mais les questions restent brûlantes.
Le cas Drift restera sans doute l’un des exemples les plus étudiés de l’année 2026. Non seulement pour le montant des pertes, mais aussi pour la sophistication de la préparation et pour la manière dont les fonds continuent de circuler des mois après l’attaque initiale. Une leçon d’humilité pour tout l’écosystème.
