Une adresse liée au braquage de 295 millions de dollars subi par Drift Protocol en avril a déposé 25 700 Ether (ETH) dans le service de mélange Tornado Cash mardi. Le transfert s’inscrit dans un processus de blanchiment que les enquêteurs ont attribué à une organisation étatique nord-coréenne et pourrait compliquer davantage les efforts de récupération pour les milliers d’utilisateurs de Drift qui n’ont pas encore été indemnisés.

Deux heures de transferts par tranches de 100 ETH

Les dépôts ont été effectués sur environ deux heures et représentaient un total d’environ 61,56 millions de dollars au moment du transfert, selon les données d’Arkham Intelligence. Le portefeuille était resté inactif pendant près de deux mois avant cette activité soudaine.

Les relevés de transferts d’Arkham montrent des dépôts d’un montant fixe de 100 ETH, soit environ 237 800 dollars chacun, ainsi que des transactions plus modestes de 10 ETH. Les transferts de 100 ETH correspondent aux pools de dépôt de Tornado Cash. Le service permet aux utilisateurs de retirer ultérieurement les fonds depuis une adresse différente, masquant ainsi le lien entre l’expéditeur et le destinataire. Cette dissociation entre le dépôt et le retrait fait du mélangeur un obstacle persistant aux opérations de traçage et de gel des fonds.

Chainalysis a également cartographié les mouvements des fonds. Dans une publication sur X diffusée mardi, l’entreprise a indiqué que le 1er avril, l’exploiteur avait transféré les fonds depuis les cinq portefeuilles utilisés lors de l’attaque vers un seul portefeuille relais, au moyen de 13 transactions distinctes. Ce portefeuille est ensuite resté inactif jusqu’au début des transferts vers Tornado Cash par tranches de 100 ETH.

Ce transfert n’était pas la première tentative de faire passer les actifs volés par le mélangeur. Une adresse identifiée comme Drift Exploiter 4 a envoyé 23 095 ETH, d’une valeur d’environ 44,4 millions de dollars à l’époque, vers Tornado Cash les 23 et 24 juillet.

Actifs restants dans les portefeuilles de l’exploiteur

Après les dépôts effectués mardi, Arkham continuait de suivre 81 454 ETH, évalués à environ 194 millions de dollars, selon TFTC. Les 71 adresses identifiées comme appartenant au pirate détenaient au total environ 198,58 millions de dollars. Le portefeuille suivi par Arkham contenait également environ 561 600 dollars en USDT, USDC, Solana et USDY, ainsi qu’un Fartcoin d’une valeur d’environ 15 cents. L’importance de ce solde résiduel constitue la principale variable pour la récupération : les fonds toujours présents sur des portefeuilles traçables restent exposés à des gels et à des saisies, tandis que ceux qui entrent dans le mélangeur deviennent beaucoup plus difficiles à atteindre.

Le compte d’analyse on-chain Lookonchain a signalé le transfert sur X :

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

L’attaque a initialement ciblé un protocole basé sur Solana, mais l’attaquant a ensuite utilisé une technologie de pont pour convertir les actifs en ETH. Selon le tableau de répartition des actifs de Drift, l’attaquant a dérobé des tokens d’une valeur de 295,7 millions de dollars, dont 159,3 millions de dollars en JLP, le Jupiter Liquidity Provider Token, et 71,4 millions de dollars en USDC. Ce passage d’une blockchain à l’autre a contraint les enquêteurs à suivre les fonds sur deux registres distincts, allongeant la piste avant même l’intervention du mélangeur.

L’ingénierie sociale a précédé l’attaque

L’analyse post-mortem publiée par Drift sur drift.trade indique que l’attaque du 1er avril n’a pas exploité de vulnérabilité dans le code du protocole. Elle reposait plutôt sur une campagne d’ingénierie sociale menée sur une période de six mois.

TFTC, citant cette même analyse post-mortem, a rapporté que les attaquants s’étaient fait passer pour une société de trading et avaient déposé 1 million de dollars en fonds réels afin d’établir leur crédibilité. Ils avaient également rencontré en personne des contributeurs de Drift lors de conférences. Les attaquants ont ensuite exploité une vulnérabilité d’exécution de code dans les outils destinés aux développeurs, combinée à une fausse application de portefeuille, pour vider le protocole en moins de 12 minutes. Cet épisode souligne que la sécurité dans la finance décentralisée dépasse le code on-chain et concerne également les personnes et les outils qui entourent un protocole.

Dans une publication du 3 juin consacrée à ses efforts de récupération, Drift a déclaré qu’une enquête forensique de Mandiant avait identifié UNC6862, un acteur malveillant nord-coréen, comme responsable de l’attaque. Drift a cité Mandiant, qui évoquait des « liens directs avec d’autres acteurs soutenus par des États impliqués dans des attaques similaires contre d’autres plateformes ».

Un fonds de récupération modeste face aux pertes

Drift a ouvert les demandes de tokens DFX le 1er octobre. Le fonds de récupération détenait alors 3,1 millions de dollars et devait augmenter grâce aux bénéfices des échanges et aux récupérations de fonds. Face aux pertes déclarées de 295 millions de dollars, les premiers demandeurs pouvaient espérer récupérer environ un centime pour chaque dollar perdu.

Les autorités ont gelé environ 9,2 millions de dollars, selon TFTC, soit près de trois cents pour chaque dollar perdu. Alors qu’environ 194 millions de dollars restent contrôlés par l’exploiteur et qu’une part croissante a été transférée vers Tornado Cash, les perspectives de récupération restent limitées. L’Office of Foreign Assets Control des États-Unis a inscrit Tornado Cash sur sa liste noire en 2022, mais rien ne confirme qu’un dépôt effectué par une entité liée à la DPRK ait été récupéré. La suite des événements sera visible à trois endroits : le rythme des nouveaux dépôts vers Tornado Cash depuis les portefeuilles restants, les éventuels nouveaux gels ou récupérations de fonds, et la croissance du fonds de récupération DFX.

L’exploit de Drift est le troisième plus important piratage de cryptomonnaies enregistré en 2026, selon le suivi des exploits crypto de DeFiLlama. Il se classe derrière l’exploit de Bitget, d’un montant de 387,5 millions de dollars, et celui de Liquid Network, d’un montant de 320 millions de dollars.

Rapport original : https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/