Un portefeuille que Etherscan étiquette « Drift Exploiter 5 » a envoyé environ 25 700 ETH vers Tornado Cash dans la matinée du 20 octobre, le premier mouvement de ce type depuis juillet parmi les portefeuilles du piratage de Drift Protocol. Coindaro a vérifié les transferts sur deux explorateurs de blocs : le solde du portefeuille est passé d’environ 25 715 ETH à moins de 4 ETH entre 07 h 08 et 09 h 21 UTC, en dépôts de 100 ETH et un dernier dépôt de 10 ETH. À 2 382 $ l’ETH, le cours de 10 h 22 UTC, cela représente environ 61 millions de dollars.
Les trackers on-chain qui ont donné l’alerte ont publié des chiffres différents. Lookonchain a compté 25 700 ETH (61,56 millions de dollars), ce qui correspond à ce que montrent les explorateurs. Salus a compté 19 600 ETH en 196 transactions, une mise à jour antérieure d’Onchain Lens donnait au moins 13 400 ETH, et le titre de The Defiant parle de 54,8 millions de dollars. FinWire, qui a compilé plusieurs de ces décomptes, précise qu’ils ont été relevés à des moments différents et qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il ne faut pas les additionner.
À 10 h 55 UTC, Drift n’avait rien publié sur ce mouvement sur sa page d’actualités.
Le piratage de Drift, le 1er avril, a siphonné entre 285 et 295 millions de dollars à la plateforme de contrats perpétuels de Solana, selon le décompte retenu. Dans sa mise à jour du 3 juin sur la reprise, Drift indique que l’enquête de Mandiant a attribué l’attaque à UNC6862, que Drift décrit comme un groupe de pirates nord-coréen.
Un dépôt sur Tornado Cash n’est pas un retrait en espèces. Il masque le portefeuille d’origine des fonds, mais l’ether doit encore sortir du mélangeur, et les retraits peuvent être étudiés. L’essentiel du butin n’a pas bougé : environ 81 450 ETH dorment dans les autres portefeuilles qu’Etherscan associe aux adresses de l’exploiteur de Drift.
Exploiteur de Drift et Tornado Cash : ce que disent les trackers et la blockchain
Lookonchain, l’enquêteur on-chain le plus cité sur ce dossier, a publié le premier récit complet. Son message, tel que reproduit par FinWire, se lit ainsi : « L’exploiteur de Drift Protocol, qui a volé plus de 270 M$, déplace des $ETH vers #TornadoCash après deux mois d’inactivité. » Les 270 millions de dollars sont en deçà des 285 à 295 millions retenus par Chainalysis, Hacken et Drift lui-même, et l’écart depuis la dernière vague est plus proche de trois mois que de deux.
Salus, une société de sécurité qui affirme exploiter un système de surveillance de Tornado, a vu entrer 19 600 ETH en 196 transactions et indiqué que le portefeuille se terminant par 57c1 conservait alors 6 114,15 ETH. Ce portefeuille est Drift Exploiter 5. À 09 h 21 UTC, il avait expédié presque tout : le chiffre de Salus est donc un relevé fait pendant que les dépôts se poursuivaient.
Onchain Lens a publié encore plus tôt, quand son compteur affichait 13 400 ETH ou plus. The Defiant a titré sur 54,8 millions de dollars ; le corps de son article ne s’est pas chargé chez nous, et nous n’avons donc pu voir ni son chiffre en ETH, ni sa fenêtre horaire, ni sa source.
| Source | Ce qui est mesuré | ETH | Valeur en dollars |
|---|---|---|---|
| Lookonchain (via FinWire, PANews) | Dépôts sur environ deux heures | 25 700 | 61,56 M$ |
| Salus (via FinWire) | 196 transactions vues par sa surveillance de Tornado | 19 600 | 46,81 M$ |
| Onchain Lens (via FinWire, KuCoin News) | Mise à jour antérieure, montant minimum | 13 400 ou plus | environ 32 M$ |
| The Defiant | Chiffre du titre ; corps de l’article illisible pour Coindaro | non indiqué | 54,8 M$ |
| Vérification Coindaro (Etherscan, Blockscout) | Baisse du solde de Drift Exploiter 5, de 07 h 08 à 09 h 21 UTC | environ 25 710 | environ 61,2 M$ au cours de 10 h 22 UTC |
Chaque valeur en dollars est la conversion de la source elle-même, faite à son propre moment, sauf la dernière ligne, qui est un calcul de Coindaro. L’écart entre les trackers tient au calendrier : un décompte publié en cours de route est plus bas que celui d’après le dernier dépôt.
Environ 81 450 ETH restent dans des portefeuilles étiquetés comme adresses de l’exploiteur de Drift
Etherscan regroupe cinq adresses sous son étiquette Drift Exploit. À 10 h 51 UTC le 20 octobre, Coindaro a relevé leurs soldes : Drift Exploiter 1 détenait 24 881,98 ETH, Drift Exploiter 3 détenait 56 568,38 ETH, Drift Exploiter 5 3,98 ETH, et les Exploiters 2 et 4 presque rien. Le total atteint environ 81 454 ETH, soit près de 194 millions de dollars au cours de 10 h 22 UTC. Aucun des deux gros portefeuilles n’a envoyé d’ether le 20 octobre jusqu’à cette heure.
Les soldes avancés par les trackers diffèrent encore. Lookonchain affirme que l’exploiteur détient toujours 81 864 ETH, environ 195 millions de dollars. Le sous-titre de The Defiant place les cinq portefeuilles étiquetés par Etherscan à environ 84 164 ETH. Onchain Lens, relayé par KuCoin News, a recensé 93 965 ETH, 477 375 USDY et 1,33 SOL, soit environ 224,59 millions de dollars, dans les portefeuilles qu’il suit. L’étiquette d’Etherscan ne couvre pas forcément toutes les adresses contrôlées par l’attaquant : Arkham regroupe près de vingt portefeuilles dans son cluster « Drift Protocol Exploiter », a rapporté Cryptopolitan en juillet.
Exploiter 5 n’est pas un portefeuille récent. L’historique de soldes de Blockscout montre qu’il a reçu ses premiers ethers le 1er avril, jour du piratage, et qu’il détenait environ 25 715 ETH depuis le 19 avril sans y toucher jusqu’à ce matin.
Ce que les explorateurs ne peuvent pas montrer, c’est la suite du trajet de l’ether. Tornado Cash rompt le lien entre un dépôt et un retrait, et FinWire dit que le tracker Arkham, accessible au public, ne lui a pas non plus permis de confirmer les chiffres.
Piratage de Drift Protocol : comment le 1er avril s’est déroulé
Drift exploite une plateforme de contrats à terme perpétuels sur Solana. La perte est chiffrée à environ 285 millions de dollars par Chainalysis et dans le rapport du deuxième trimestre de Hacken, et à environ 295 millions par Drift. Notre article sur le bilan des piratages du troisième trimestre montre que les trackers divergent aussi sur le décompte du trimestre.
L’attaque a été préparée pendant des mois. Selon Chainalysis, cité par Cryptopolitan, des personnes se faisant passer pour une société de trading quantitatif ont fréquenté des événements du secteur et déposé plus d’un million de dollars sur la plateforme pour gagner la confiance. Des appareils ont ensuite été compromis.
L’étape technique a reposé sur les « durable nonces » de Solana, une fonction qui permet de signer une transaction maintenant et de l’envoyer plus tard. Les attaquants ont obtenu des approbations pré-signées de deux des cinq membres du Conseil de sécurité de Drift. Ils ont aussi gonflé le prix d’un jeton nommé CarbonVote Token (CVT) par des échanges fictifs, puis l’ont déposé en garantie.
Trente et un retraits ont suivi en 12 minutes environ, et au moins 20 autres projets Solana ont été perturbés, a constaté Chainalysis. PeckShield a indiqué que la valeur totale verrouillée de Drift avait chuté de plus de moitié.
Sur l’identité des auteurs, Coindaro s’appuie sur une seule déclaration : la mise à jour de Drift du 3 juin, selon laquelle l’enquête de Mandiant a attribué l’exploit à UNC6862 et selon laquelle les méthodes du groupe correspondent à des opérations nord-coréennes passées.
Juillet : la première vague vers Tornado Cash
Les 23 et 24 juillet, le portefeuille qu’Etherscan étiquette Drift Exploiter 4 a envoyé 23 095,1 ETH, soit environ 44,4 millions de dollars à l’époque, vers Tornado Cash, plus 0,85 ETH vers des adresses de dépôt de la plateforme Bybit. PeckShield a publié ces chiffres, a rapporté Cryptopolitan ; crypto.news attribue à la chercheuse on-chain JL (0xJaelle) la première détection du mouvement. Ce portefeuille contient aujourd’hui 0,0038 ETH et n’a rien envoyé le 20 octobre.
La vague de juillet s’est aussi vue du côté du mélangeur. Les données de L2Beat citées par The Defiant ont compté 968 dépôts sur Tornado Cash le 23 juillet, la journée la plus chargée de 2026, avec environ 57 millions de dollars d’ETH entrés, dont quelque 44 millions venant de l’exploiteur de Drift en moins de deux heures.
Quatre-vingt-neuf jours séparent les deux vagues. Toutes deux suivent le même schéma : un portefeuille, une longue pause, puis une série de dépôts de 100 ETH sur environ deux heures.
Le plan de remboursement de Drift ne compte pas sur l’ETH volé
Pour les utilisateurs de Drift, la question concrète est le plan de remboursement, présenté le 5 mai et rapporté par CoinDesk. Chaque dollar de perte vérifiée est compensé par un jeton de récupération, désormais appelé DFX. La réserve est partie d’environ 3,8 millions de dollars d’actifs restants du protocole et doit être alimentée par les revenus de la plateforme, jusqu’à 127,5 millions de dollars de Tether liés à la performance, et jusqu’à 20 millions de dollars de partenaires. Aucune de ces sources n’est l’ether volé.
Drift se relance avec l’USDT de Tether plutôt que l’USDC de Circle comme monnaie de règlement principale, a rapporté Decrypt en avril. Dans sa mise à jour du 3 juin, la société a dit qu’elle se relancerait comme la « plus grande plateforme de contrats perpétuels fondée sur l’USDT sur Solana ». Les demandes et rachats de DFX ont ouvert le 1er octobre, selon la page d’actualités de Drift, et restent ouverts jusqu’au 1er janvier 2028, d’après FinWire.
Une partie de l’argent a été bloquée. Environ 3,36 millions de dollars d’USDC liés au piratage ont été gelés, a rapporté CoinDesk en mai, et Drift propose une prime de 10 % sur tout actif récupéré. Nous n’avons trouvé aucun résultat publié pour cette prime, ni arrestation, ni saisie.
Le raid sur Drift n’a pas été le seul grand piratage d’avril. Le 18 avril, une attaque contre le pont rsETH de Kelp a coûté près de 280 millions de dollars, selon le décompte de CoinDesk ; notre page du projet LayerZero explique ce que cette attaque a changé pour le protocole de messagerie.
Ce qu’un dépôt sur Tornado Cash prouve, et ce qu’il ne prouve pas
Tornado Cash est un ensemble de contrats intelligents sur Ethereum. Les utilisateurs déposent un montant fixe d’ETH dans une réserve (0,1, 1, 10 ou 100 ETH) puis le retirent plus tard vers une adresse neuve grâce à une preuve cryptographique, ce qui rompt le lien visible entre les deux portefeuilles. Notre guide de la DeFi explique comment ces contrats fonctionnent sans opérateur.
Un dépôt ne fait que placer les fonds dans la réserve. Pour dépenser l’ether, l’exploiteur doit le retirer, puis généralement l’échanger, le faire passer par un pont ou l’envoyer à un service qui paie en monnaie classique. Les analystes peuvent tout de même tenter de rapprocher retraits et dépôts grâce aux horaires, aux montants et aux adresses réceptrices.
La situation juridique du mélangeur a changé depuis que les États-Unis l’ont sanctionné en 2022. La cour d’appel du cinquième circuit a jugé le 26 novembre 2024 que le Trésor avait outrepassé ses pouvoirs en sanctionnant les contrats intelligents immuables de Tornado Cash, et l’Office of Foreign Assets Control a retiré Tornado Cash de sa liste de sanctions le 21 mars 2025. Le cofondateur Roman Semenov y figure toujours.
Le développeur Roman Storm a été reconnu coupable en août 2025 de complot en vue d’exploiter un service de transmission d’argent sans licence ; le jury n’a pas réussi à se prononcer sur les chefs de blanchiment d’argent et de complot de violation des sanctions. La juge Katherine Polk Failla a fixé le nouveau procès sur ces deux chefs au 26 avril 2027, a rapporté Decrypt, tandis que la requête de Storm en acquittement est toujours en attente.
Ce que l’on ignore encore, et ce qu’il faut surveiller
Les dépôts sont confirmés sur la chaîne ; leur but ne l’est pas. Nous ne savons pas si de l’ether de juillet ou d’octobre est déjà ressorti de Tornado Cash, ni si la prime a donné quoi que ce soit. Drift n’avait pas réagi à 10 h 55 UTC, et nous n’avons trouvé aucune déclaration d’Arkham sur les nouveaux transferts.
Deux portefeuilles détiennent encore l’essentiel de l’ether : Drift Exploiter 3, avec environ 56 568 ETH, et Drift Exploiter 1, avec environ 24 882 ETH. Tout nouveau transfert depuis ceux-ci sera visible sur leurs pages Etherscan dès qu’il sera miné.
Il faudra aussi guetter une déclaration de Drift, les premiers retraits importants de la réserve de 100 ETH, et tout gel annoncé par une plateforme qui les recevrait. Pour les détenteurs de DFX, le financement de la réserve de remboursement reste le même quoi qu’il advienne de l’ETH des portefeuilles de l’exploiteur. La fenêtre de réclamation se ferme le 1er janvier 2028.