Drift Protocol (DRIFT) : le piratage de 295 millions de dollars sur Solana, le jeton DFX et la relance sous le nom de Velocity

Drift Protocol, pendant quatre ans l’une des plus actives des plateformes de contrats perpétuels sur Solana, ne négocie plus sous son nom. Le 1er avril 2026, des attaquants ont pris le contrôle de ses droits d’administration et siphonné entre 285 et 295 millions de dollars environ, selon qui compte. Drift Labs a reconstruit la plateforme à partir de son code v2 et l’a rebaptisée Velocity, avec effet au 1er juillet 2026.

Les personnes qui ont perdu de l’argent détiennent désormais un jeton de compensation, le DFX. À l’ouverture des réclamations, le 1er octobre 2026, un DFX s’échangeait contre environ 0,0104 USDT, soit à peu près un centime par dollar perdu. Tether et ses partenaires ont promis des sommes bien plus élevées, mais aucune n’avait atteint le fonds début octobre.

L’argent volé bouge de nouveau. Le 20 octobre, un portefeuille que Etherscan étiquette « Drift Exploiter 5 » a envoyé 25 710 ETH dans Tornado Cash en un peu plus de deux heures, comme nous l’avons rapporté dans notre article sur les dépôts de l’attaquant de Drift dans Tornado Cash. Deux médias ont signalé un deuxième lot le lendemain. Le soir du 21 octobre, un portefeuille étiqueté détenait encore 56 568 ETH, d’après la page d’étiquette « Drift Exploit » d’Etherscan.

Le site aux couleurs de Drift n’a pas suivi. Le 21 octobre, la page d’accueil de drift.trade affichait encore des boutons de trading et d’anciennes statistiques, sans un mot sur Velocity ni sur l’attaque d’avril. L’ancien protocole, répertorié sous le nom Drift Trade sur DefiLlama, retenait environ 642 000 dollars ce jour-là.

Drift Protocol aujourd’hui : devenu Velocity, il rembourse quelques centimes par dollar

Trois éléments portent encore le nom de Drift en octobre 2026 : le DFX, le jeton de gouvernance DRIFT avec son site de fondation drift.foundation et son forum de vote, et l’ancien site web. Aucun des trois n’est un marché Drift en activité.

L’activité de trading, c’est Velocity, sur velocity.exchange. Sa documentation la décrit comme une plateforme de contrats perpétuels et un marché monétaire « déployés sous la forme d’un seul programme Solana », issus d’un fork du code de Drift Protocol v2. Le plan de reprise du 5 mai de Drift promettait un nouveau programme « à une nouvelle adresse, avec des clés entièrement renouvelées » : il s’agit donc d’un nouveau déploiement, pas des anciens contrats sous un autre logo. Drift avait lancé une v3 en décembre 2025 ; la part qui en passe dans Velocity n’est pas documentée.

Le 21 octobre, le site de Velocity listait des perpétuels sur BTC, ETH et SOL avec un effet de levier jusqu’à 20x, et sur HYPE jusqu’à 10x, réglés en USDT, le stablecoin que décrit notre fiche Tether (USDT). Un marché de perpétuels sur actions portait la mention « Coming Soon », alors que la FAQ du site annonçait NVDA et TSLA dès le lancement. Les garanties acceptées étaient le wBTC, le wETH, le SOL et l’USDT.

Les chiffres de frais ne concordent pas entre eux. La FAQ du site indique des frais de preneur de 0,060 % sur BTC, ETH et SOL, ramenés à 0,02 % selon le volume sur 30 jours, avec une remise de 0,0025 % pour les apporteurs de liquidité et 5 % de réduction pour les utilisateurs parrainés. La documentation donne un palier de base de 0,04 %, et un test de decentralised.news publié le 17 juillet citait 0,035 % à 0,020 %.

L’activité est faible. DefiLlama suit Velocity depuis le 29 septembre et relève un intérêt ouvert de 95 346 dollars le 21 octobre, après être resté sous 120 000 dollars pendant les deux semaines précédentes. En décembre 2025, Drift revendiquait 650 millions de dollars d’intérêt ouvert.

Ce qu’était Drift et comment la plateforme fonctionnait

Drift a démarré sur Solana fin 2021 ; DefiLlama la recense depuis le 3 décembre 2021. Elle proposait des contrats perpétuels, des contrats qui suivent le prix d’un actif sans date d’échéance, exécutés par des programmes on-chain plutôt que par le moteur d’appariement d’une entreprise.

Sa particularité tenait au compte unique. Un trader déposait plusieurs actifs, les prêtait ou les empruntait via un marché monétaire intégré et négociait des perpétuels contre leur valeur combinée, un mode appelé marge croisée. Quand les pertes entamaient les garanties, des keepers clôturaient les positions, comme l’explique notre entrée de glossaire sur la liquidation. Un fonds d’assurance alimenté par des stakers couvrait les créances irrécouvrables.

En 2024 et 2025, Drift a ajouté des coffres gérés par des gestionnaires de stratégies, des pools isolés pour les actifs plus risqués, un système de routage d’ordres nommé Swift, un produit à effet de levier appelé Amplify et des Builder Codes pour les interfaces tierces. Sa plus grosse stratégie de coffre reposait sur le JLP, le jeton de liquidité de Jupiter, la place de marché de Solana.

Drift v3 a ouvert sur invitation le 4 décembre 2025. Drift affirmait que 85 % des ordres au marché étaient exécutés dans le même slot Solana, soit environ 400 millisecondes, et que l’impact sur le prix des gros ordres au marché était passé de 20 points de base à 2. Le même billet revendiquait plus de 1,5 milliard de dollars de TVL, plus de 133 milliards de dollars de volume cumulé et 650 millions de dollars d’intérêt ouvert : des chiffres de Drift, pas des données indépendantes.

De 1,1 milliard de dollars bloqués à moins d’un million

Les données de DefiLlama sur Drift Trade, lues le 21 octobre 2026 à 18 h 18 UTC, montrent la montée puis l’effondrement. Les valeurs sont des points de minuit UTC, sauf la dernière.

Date	Valeur totale bloquée (DefiLlama)
1er mai 2024	283,4 millions de dollars
1er janvier 2025	806,3 millions de dollars
10 octobre 2025 (pic)	1 112,7 millions de dollars
1er décembre 2025	647,0 millions de dollars
1er avril 2026	311,4 millions de dollars
2 avril 2026	23,5 millions de dollars
1er juin 2026	6,3 millions de dollars
21 octobre 2026, 16 h 32 UTC	0,64 million de dollars

Les frais ont suivi la même pente. DefiLlama compte environ 25,2 millions de dollars de frais sur l’année civile 2025, avec un pic à 4,23 millions en octobre. En 2026, le chiffre mensuel est passé de 1,31 million de dollars en janvier à 0,66 million en mars, puis à environ 13 500 dollars en avril et à zéro depuis mai. Le total des frais depuis l’origine atteint 41,1 millions de dollars.

Le volume est plus difficile à cerner. La série de volumes de DefiLlama est réservée à une offre payante, et les totaux de Drift sont passés de « 120 milliards de dollars et plus » en novembre 2025 à « plus de 150 milliards de dollars » dans le récit de Cindy Leow du 29 septembre 2026. Ce sont les chiffres de l’entreprise.

Comment Drift a-t-il été piraté ? Le détournement du 1er avril 2026

Aucune faille dans les contrats intelligents de Drift n’a été nécessaire. « Personne n’a cassé le code de Drift », a écrit Rekt : les attaquants ont obtenu les droits d’administration. La séquence ci-dessous suit le récit de Chainalysis du 9 avril, qui repose sur l’enquête de Drift elle-même et que Chainalysis dit ne pas avoir pu vérifier de façon indépendante. Elliptic et Rekt concordent sur l’essentiel.

Six mois d’ingénierie sociale

Pendant environ six mois, des personnes se faisant passer pour une société de trading quantitatif ont noué des relations avec des contributeurs de Drift lors de conférences, sur Telegram et pendant des séances de travail. Elles ont intégré un coffre sur Drift et y ont déposé plus d’un million de dollars pour passer pour un vrai client.

Les 10 et 11 mars 2026, elles ont retiré des fonds de Tornado Cash pour financer l’opération. Le 12 mars, elles ont créé un jeton nommé CarbonVote (CVT), conservé environ 80 % de l’offre et l’ont échangé en boucle autour de 1 dollar dans un pool qui contenait environ 500 dollars. Un oracle qu’elles contrôlaient relayait ensuite ce prix, si bien que le CVT avait l’apparence d’un actif doté d’un marché.

Nonces durables et conseil 2 sur 5 sans verrou temporel

À partir du 23 mars, les attaquants ont mis en place des comptes à nonce durable, certains liés à des membres du Security Council de Drift. Sur Solana, un nonce durable permet de signer une transaction maintenant et de l’envoyer des jours plus tard, au lieu de la voir expirer en une minute ou deux. Au moins deux membres du conseil ont signé des transactions qu’ils ne comprenaient pas entièrement.

Le 26 mars, Drift a transféré ses droits d’administration vers un nouveau multisig du Security Council, qui exigeait deux signatures sur cinq et n’avait aucun verrou temporel (timelock) : une modification approuvée prenait effet immédiatement. Les attaquants ont aussi obtenu des signatures sur ce nouveau multisig. Le verdict de Rekt : le maillon faible, c’était « deux signatures et aucun timelock ».

Fausses garanties, vrais retraits

À 16:05:18 UTC le 1er avril, la première transaction pré-signée proposait de remettre la clé d’administration à une adresse de l’attaquant ; une seconde plus tard, la deuxième l’exécutait. Avec les droits d’administration, l’attaquant a inscrit le CVT comme garantie, levé les plafonds d’emprunt et de retrait, déposé 500 millions de CVT « valant » environ 500 millions de dollars et retiré de vrais actifs en échange.

Elliptic désigne les coffres JLP Delta Neutral, SOL Super Staking et BTC Super Staking comme cibles principales. Chainalysis dénombre au moins 18 types de jetons et situe le dernier retrait confirmé à 18:31 UTC ; l’instantané de pause de Drift est horodaté 18:31:47 UTC. Au moins 20 autres protocoles de Solana ont signalé des perturbations, des pauses ou des pertes.

L’argent a quitté Solana en quelques minutes. Les jetons volés ont été échangés puis transférés vers Ethereum, surtout sous forme d’USDC via le Cross-Chain Transfer Protocol de Circle, le SOL passant par Chainflip, avant d’être convertis en ETH. Selon Chainalysis, les premiers fonds sont arrivés sur Ethereum environ 23 minutes après la prise de contrôle. Circle a ensuite gelé environ 3,36 millions d’USDC issus de trois transferts, mais Rekt lui reproche d’avoir laissé passer plus de 230 millions de dollars en six heures.

Attribution à la Corée du Nord : ce que disent Drift et Mandiant

Le 5 avril, Drift, appuyée par le groupe de sécurité SEAL 911, a déclaré avec un degré de confiance moyen à élevé que les attaquants étaient les mêmes acteurs que ceux du piratage de Radiant Capital d’octobre 2024, que Mandiant avait attribué à UNC4736. Le 3 juin, Drift a écrit que l’analyse forensique indépendante de Mandiant attribuait l’attaque à UNC6862, que Drift décrit comme un groupe de menace nord-coréen.

Il s’agit d’une attribution par des sociétés d’analyse forensique, pas d’une décision de justice. Aucune inculpation, arrestation ni saisie liée à l’affaire n’avait été signalée au 21 octobre.

L’ampleur des pertes : de 285 à 295 millions de dollars

Il n’existe pas de chiffre unique. L’écart vient des moments retenus pour valoriser les actifs et de ce que chaque décompte inclut.

Source et date	Estimation de la perte
Elliptic, mis à jour le 7 avril 2026	environ 286 millions de dollars
Chainalysis, 9 avril 2026	environ 285 millions de dollars
Point de situation de Drift, 16 avril 2026 (19 actifs)	295 706 374,93 dollars
Plan de reprise de Drift, 5 mai 2026	295 426 725,97 dollars
Liste des piratages de DefiLlama, lue le 21 octobre 2026	295 millions de dollars

Le détail de Drift au 16 avril montre où se situaient les pertes : JLP 159,3 millions de dollars, USDC 71,4 millions, cbBTC 11,3 millions et SOL 10,4 millions. DefiLlama classe l’affaire dans le contrôle d’accès, avec la technique « Proxy Upgrade Hijack ». D’après Cointelegraph le 20 octobre, DefiLlama en fait le troisième plus gros piratage de 2026.

Plan de compensation de Drift : DFX, Tether et un centime par dollar

Le 16 avril, Drift a annoncé un soutien de Tether pouvant aller jusqu’à 127,5 millions de dollars, plus 20 millions de dollars d’autres partenaires. L’ensemble comprenait une facilité de crédit de 100 millions de dollars indexée sur les revenus, une subvention pour l’écosystème et des prêts à des teneurs de marché ; la plateforme relancée devait régler en USDT au lieu de l’USDC.

Le plan de reprise de Drift du 5 mai fixe les règles : un jeton de compensation par dollar de perte vérifiée, soldes valorisés à 16:06:00 UTC le 1er avril, juste avant l’attaque, et avoirs au comptant convertis en USDT. Il recensait environ 3,8 millions de dollars d’actifs restant dans le protocole et une prime de 10 % sur les fonds récupérés, gérée avec Bybit et d’autres, ZeroShadow et Mandiant assurant l’analyse forensique.

Comment fonctionne le jeton de compensation DFX

Le billet de Drift sur le DFX du 1er octobre décrit un jeton Solana standard à offre fixe de 299 500 810,998 unités, une par USDT de perte vérifiée. Le rachat brûle des DFX et verse des USDT en une seule transaction, définitive. Le montant par jeton est le solde du fonds divisé par le nombre de DFX en circulation. Un dépôt le fait monter ; un rachat le laisse inchangé, mais chaque jeton brûlé signifie que les dépôts suivants sont partagés entre moins de détenteurs.

Le fonds est réalimenté chaque jour à 00:00 UTC. Velocity verse 15 % de ses frais de trading nets au fonds d’assurance et 15 % à son capital d’AMM ; sur les 70 % restants, le fonds prend 60 % des 30 000 premiers USDT du jour, 70 % entre 30 000 et 100 000 USDT et 90 % au-delà. Les 127,5 millions d’USDT au maximum de Tether, les 20 millions des partenaires et les fonds récupérés rejoignent le même fonds.

Les réclamations se terminent à 00:00 UTC le 1er janvier 2028, et les DFX non réclamés sont alors brûlés. Le DFX peut être vendu sur Raydium au lieu d’être racheté. Il est distinct du DRIFT et, selon le plan de mai, n’est pas accepté comme garantie.

Des promesses ne sont pas des paiements

Au lancement, le fonds contenait environ 3,1 millions d’USDT, ce qui explique qu’un DFX se rachetait environ 0,0104 USDT : une perte de 1 000 USDT revenait à environ 10,40 USDT. The Block a rapporté le 2 octobre que 216 480 DFX avaient été rachetés pour environ 2 250 USDT, que les revenus de Velocity avaient ajouté 31 USDT après le premier jour, et qu’aucun apport de Tether ou de partenaires n’apparaissait sur le tableau de bord.

Selon le plan du 5 mai, l’argent de Tether est déployé en fonction des revenus de la plateforme au trimestre précédent. C’est un engagement qui dépend de l’activité de Velocity, pas de la trésorerie déjà versée au fonds. Combien de DFX ont été réclamés depuis, et ce que rapporte un jeton aujourd’hui, n’a pas pu être lu sur le tableau de bord le 21 octobre.

Fonds gelés et vote DIP-10

Selon The Block, le point de la Fondation du 30 septembre évaluait les fonds gelés à environ 9,2 millions de dollars, à ajouter au fonds une fois libérés par les forces de l’ordre. Quels actifs sont concernés et qui les a gelés n’a pas été publié. Deux transferts Wormhole, 59,37 WBTC et 557,90 WETH, ont été retenus jusqu’à fin juillet, et leur sort n’est pas public.

Le premier argent du fonds est venu des déposants eux-mêmes. Le DIP-10, publié sur le forum de gouvernance le 12 mai, proposait de convertir tous les actifs restants du pool d’emprunt et de prêt en stablecoins pour constituer la réserve de compensation. Des utilisateurs dont les soldes n’avaient pas été touchés ont objecté sur le forum que leurs dépôts restants étaient mutualisés avec les pertes de tous. Le résultat final du vote ne figure pas dans les sources consultées ; un premier fonds d’environ 3,1 millions d’USDT est cohérent avec une conversion menée à terme.

Piratage de Drift : les dépôts dans Tornado Cash de juillet et d’octobre

Début mai, l’attaquant détenait environ 130 259 ETH répartis sur quatre portefeuilles Ethereum, selon Drift. Les 23 et 24 juillet, le portefeuille étiqueté Exploiter 4 a envoyé 23 095,1 ETH, soit environ 44,4 millions de dollars à l’époque, vers Tornado Cash, et 0,85 ETH vers des adresses de dépôt de Bybit, comme PeckShield l’a signalé. The Block a rapporté le 2 octobre que trois portefeuilles de l’attaquant détenaient encore 107 165 ETH.

Pour la vague d’octobre, Cryptoslate a compté 258 dépôts de l’Exploiter 5 entre 07:08 et 09:21 UTC le 20 octobre, pour un total de 25 710 ETH. Le 21 octobre, FinanceFeeds, citant le traqueur Onchain Lens, et Crypto Briefing ont rapporté un nouveau dépôt de 18 800 ETH, soit environ 46 millions de dollars, ce qui porte les deux jours à 44 510 ETH, environ 109 millions de dollars. Coindaro n’a pas vérifié le second jour dans une liste de transactions. En ajoutant juillet, FinanceFeeds avance un total d’environ 67 605 ETH passés par le mixeur. Aucune déclaration de Drift, de Velocity ou de la Fondation sur les mouvements d’octobre n’avait paru au soir du 21 octobre.

Un dépôt dans Tornado Cash masque la destination des fonds ; il ne prouve pas une vente. FinanceFeeds relève que les transferts ne montrent pas que l’ETH a été vendu ni mis hors de portée des enquêteurs, et Cryptoslate juge non tranchée la part qui reviendra dans le fonds DFX.

Aux États-Unis, le mixeur ne figure plus sur la liste des sanctions : l’OFAC a retiré Tornado Cash et ses adresses Ethereum le 21 mars 2025, tandis que le cofondateur Roman Semenov reste visé. Un autre cofondateur, Roman Storm, a été reconnu coupable en août 2025 d’association de malfaiteurs pour exploiter un service de transmission de fonds sans licence ; le jury n’a pas tranché sur les chefs de blanchiment et de sanctions, et Decrypt fait état d’un nouveau procès prévu le 26 avril 2027.

Velocity : ce qui change dans la plateforme reconstruite

Drift a lié sa relance à deux examens extérieurs, OtterSec pour le code et Asymmetric Research pour la sécurité opérationnelle. Le 17 septembre 2026, Velocity a publié le rapport d’OtterSec et mis son code source sur GitHub. D’après la documentation de Velocity, l’audit s’est déroulé du 19 juin au 20 juillet 2026 et a relevé 154 problèmes : aucun critique, 41 élevés, 109 moyens, un faible et trois informatifs. Velocity affirme que chaque problème élevé est corrigé dans le code déployé. L’examen STRIDE de la Solana Foundation était toujours en cours.

La conception de l’administration est le principal changement. Les pouvoirs sont répartis en niveaux, chacun avec son multisig : un administrateur « froid » pour les mises à jour du programme, avec des sociétés de sécurité extérieures parmi les signataires, un administrateur « tiède » pour les paramètres, un administrateur de pause qui ne peut qu’ajouter des pauses, et des portefeuilles « chauds » pour les bots. Les signataires utilisent des appareils dédiés, les multisigs critiques sont verrouillés dans le temps, chaque proposition et chaque approbation déclenche une alerte, et des garde-fous du programme limitent les actions d’administration sensibles. La mise à jour d’avril de Drift ajoutait que les nonces durables seraient désactivés pour tous les signataires.

Velocity a aussi abandonné le trading au comptant ; les échanges (swaps) restent, et les marchés au comptant servent toujours pour les garanties et les prêts. Le fonds d’assurance est présenté comme appartenant entièrement à ses stakers. Dans le billet de Velocity du 17 septembre, le responsable du protocole Noah Prince a déclaré que « chaque modification qui atteint les utilisateurs sera auditée par un cabinet extérieur avant d’arriver sur le mainnet ».

Un détail reste en suspens : le 21 octobre, la page d’accueil de la documentation indiquait encore que le programme n’était « pas encore open source », alors que le code se trouvait sur GitHub sous velocity-exchange.

Une nouvelle équipe aux commandes

Le même billet annonçait que la bêta s’ouvrirait à tous « dans les prochains jours » ; Cryptoticker indique que la liste blanche a été levée le 21 septembre. Le 29 septembre, Cindy Leow a annoncé sur X qu’elle se mettait en retrait. Selon Solana Compass, le cofondateur David Lu garde le recouvrement des actifs et le travail avec les forces de l’ordre aux côtés de la Fondation, tandis que Noah Prince, ancien responsable de l’ingénierie du protocole chez Helium et chez Drift depuis juin, dirige le protocole. Les responsables produit, partenariats et croissance ne sont désignés que par leur identifiant X.

Le jeton DRIFT après le changement de nom

DRIFT est un jeton Solana d’une offre maximale de 1 milliard d’unités, lancé avec un airdrop dont les réclamations ont ouvert le 16 mai 2024. La mise à jour de la tokenomics de Drift du 18 novembre 2025 chiffrait l’offre en circulation à 555 713 264 unités (55,6 %), avec un plafond de circulation de 750 millions et un calendrier d’émission sur cinq ans.

Cette mise à jour répartissait l’offre entre écosystème et trading (43 %), airdrop de lancement (10 %), développement du protocole (25 %, dont la moitié débloquée à l’époque) et participants stratégiques (22 %). Les allocations de l’équipe étaient bloquées 18 mois, puis acquises sur 18 mois. Rien n’indique publiquement si cela a changé après l’attaque.

Le rôle actuel du DRIFT n’est pas clair. Le site et la documentation de Velocity ne le mentionnaient pas le 21 octobre, et decentralised.news rapportait en juillet que le fork avait supprimé les remises de frais liées au staking du jeton. La gouvernance passe toujours par drift.foundation et son forum, et le 16 avril Drift recensait environ 8,74 millions de DRIFT parmi les actifs restants du protocole. Le cours en direct est affiché sur cette fiche, pas dans le texte.

Financement et audits

Drift dit avoir levé 52,5 millions de dollars. DefiLlama recense un tour d’amorçage de 3,8 millions de dollars le 26 octobre 2021 avec Alameda Research, Jump Capital, Multicoin Capital, Not3Lau Capital et QCP Capital ; les pages de Drift ne les nomment pas. Polychain Capital a mené une série A de 23,5 millions de dollars le 22 mai 2023, avec les cofondateurs de Solana Anatoly Yakovenko et Raj Gokal, Ethereal Ventures et Folius Ventures. Multicoin Capital a mené une série B de 25 millions de dollars le 19 septembre 2024 avec Blockchain Capital, Primitive Ventures et Folius. Le dispositif de Tether d’avril est un arrangement de compensation, pas une levée de fonds en capital.

Trail of Bits a examiné Drift v2 du 7 novembre au 2 décembre 2022 et n’a signalé aucune faille de gravité élevée ; le rapport de Neodyme sur le même code date du 10 mai 2024. Les deux ne portaient que sur le code, pas sur le dispositif d’administration qui a cédé en avril 2026. Le rapport d’OtterSec de septembre 2026 est le premier sur le code de Velocity après le fork.

Historique de Drift Protocol, de 2021 à 2026

• 2021 : fondation de Drift ; tour d’amorçage le 26 octobre ; mainnet sur Solana en fin d’année.
• 11 mai 2022 : pendant l’effondrement de LUNA, DefiLlama enregistre un incident d’« abus de paramètres de risque » de 14,5 millions de dollars sur Drift v1, les fonds étant indiqués comme restitués.
• 19 décembre 2022 : Drift v2 ouvre sur le mainnet à tous les utilisateurs.
• 22 mai 2023 : série A de 23,5 millions de dollars menée par Polychain Capital.
• 16 mai 2024 : lancement du DRIFT avec un airdrop.
• 19 septembre 2024 : série B de 25 millions de dollars menée par Multicoin Capital.
• 10 octobre 2025 : la valeur totale bloquée atteint son pic à 1,11 milliard de dollars sur DefiLlama.
• 4 décembre 2025 : lancement de Drift v3, sur invitation.
• 1er avril 2026 : prise de contrôle de l’administration et siphonnage d’environ 285 à 295 millions de dollars.
• 16 avril 2026 : Tether et ses partenaires annoncent jusqu’à 147,5 millions de dollars de soutien.
• 1er juillet 2026 : la plateforme est rebaptisée Velocity.
• 23 et 24 juillet 2026 : premiers dépôts dans Tornado Cash depuis un portefeuille de l’attaquant.
• 17 septembre 2026 : publication du rapport d’OtterSec et du code source.
• 29 septembre 2026 : Cindy Leow se met en retrait.
• 1er octobre 2026 : ouverture des réclamations et des rachats de DFX.
• 20 et 21 octobre 2026 : deuxième vague de dépôts dans Tornado Cash.

Risques de Drift Protocol : pourquoi Coindaro lui donne 5 sur 5

Coindaro note le projet 5 sur 5 pour le risque. Les utilisateurs ont perdu environ 285 à 295 millions de dollars et n’avaient récupéré qu’environ un centime par dollar à l’ouverture des rachats. La cause était opérationnelle : un multisig 2 sur 5, aucun timelock et des signataires piégés pour pré-signer. Les clés par niveaux et les timelocks de Velocity visent ce point précis, mais aucun audit ne peut garantir que personne ne se fera plus tromper.

Le code est un fork de Drift v2 dont les parties nouvelles ont été auditées une seule fois, et l’examen STRIDE courait toujours le 21 octobre. Avec un intérêt ouvert proche de 95 000 dollars, les gros ordres peuvent déplacer les prix davantage que sur une place très active. Une nouvelle équipe dirige la plateforme, l’essentiel de l’argent de la compensation dépend de Tether et des revenus futurs de Velocity, et l’attaquant contrôle encore des dizaines de milliers d’ETH.

En France, les produits dérivés à effet de levier sur crypto-actifs sont encadrés et l’AMF met régulièrement en garde contre les plateformes non autorisées ; le règlement européen MiCA vise de son côté les prestataires de services sur crypto-actifs. Coindaro n’a pas vérifié si Velocity s’adresse aux résidents français.

Les traders qui cherchent une place de perpétuels on-chain plus grande peuvent comparer Hyperliquid, qui fonctionne sur sa propre blockchain ; Coindaro ne donne aucun avis sur celle à utiliser.

À surveiller ensuite

Premier test : l’arrivée ou non de l’argent de Tether ou des partenaires dans le fonds DFX, car les revenus actuels de Velocity font à peine bouger le montant racheté. Deuxième test : l’ETH restant, puisque Etherscan montrait 56 568 ETH sur l’Exploiter 3 le 21 octobre. Viennent ensuite la fin de l’examen STRIDE, les perpétuels sur actions marqués « Coming Soon », ainsi que le carnet d’ordres et le Prop AMM sur lesquels, selon Solana Compass, la nouvelle équipe travaille. Le nouveau procès de Roman Storm est fixé au 26 avril 2027, et la fenêtre de réclamation du DFX se ferme le 1er janvier 2028.