Un portefeuille connecté au piratage de 295 millions de dollars du protocole Drift a déplacé environ 61 millions de dollars en Ethereum vers Tornado Cash le 20 octobre 2026, mettant fin à près de deux mois de dormance et ravivant les inquiétudes concernant le blanchiment de cryptomonnaies volées.

Les données de suivi blockchain montrent que l'attaquant contrôle toujours environ 81 454 ETH, d'une valeur d'environ 194 millions de dollars. Ce dernier mouvement souligne la difficulté à laquelle sont confrontés les enquêteurs pour retracer les fonds volés sur les plateformes de finance décentralisée (DeFi).

25 700 ETH envoyés à Tornado Cash en deux heures

La surveillance on-chain a détecté environ 25 700 ETH affluent vers Tornado Cash dans une fenêtre de deux heures mardi. Les transactions impliquaient des portefeuilles liés à l'attaque d'avril contre le protocole Drift, une plateforme de dérivés décentralisée construite sur Solana.

Tornado Cash obscurcit l'historique des transactions en regroupant des dépôts de cryptomonnaies provenant de plusieurs adresses. Bien que les transactions blockchain restent publiquement visibles, le service rend considérablement plus difficile la liaison entre les dépôts et les retraits ultérieurs. Le mixer est depuis longtemps au cœur des procédures réglementaires et pénales : le département du Trésor américain l'a placé sous sanctions en 2022, avant que ces sanctions ne soient levées en mars 2025 après qu'une cour d'appel fédérale a jugé que cette désignation avait dépassé les pouvoirs de l'agence. Les enquêteurs américains et des Nations unies ont repeatedly identifié ce service comme un canal de blanchiment privilégié pour les hackers liés à la Corée du Nord.

L'activité de mardi fait suite à un transfert antérieur d'environ 23 100 ETH via le mixer en juillet. Même après ces deux transferts, les portefeuilles associés à l'attaquant continuent de détenir d'importantes réserves de cryptomonnaies. Une dormance prolongée suivie de transferts échelonnés est un schéma fréquemment observé par les analystes dans les exploits de grande valeur, où les fonds volés restent inactifs avant d'être poussés vers des mixers par lots.

Mandiant relie le piratage à un groupe nord-coréen

La violation s'est produite le 1er avril 2026, lorsque des attaquants ont compromis le protocole Drift et drainé environ 295,4 millions de dollars d'actifs utilisateurs. Les enquêteurs ont ensuite examiné les transactions suspectes, les autorisations administratives compromises et le déplacement des fonds volés à travers les réseaux blockchain.

Une enquête judiciaire menée par la société de cybersécurité Mandiant a attribué l'attaque à UNC6862, un groupe de menace nord-coréen, comme précédemment rapporté par CoinDesk. Ces conclusions ont renforcé les préoccupations concernant des opérations cybercriminelles sophistiquées ciblant l'infrastructure DeFi. Mandiant attribue des étiquettes « UNC » aux groupes d'activité qu'elle n'a pas encore formellement nommés, et cette attribution s'inscrit dans un schéma plus large : des groupes liés à la Corée du Nord ont été impliqués dans des vols de cryptomonnaies totalisant des milliards de dollars ces dernières années, des produits que les chercheurs des Nations unies affirment contribuer à financer les programmes d'armement du pays.

Les attaquants auraient passé des mois à cultiver des relations avec les contributeurs du protocole avant d'exécuter l'exploit. L'opération a démontré comment l'ingénierie sociale et des contrôles administratifs compromis peuvent porter atteinte aux plateformes de cryptomonnaies sans exploiter les vulnérabilités classiques des contrats intelligents.

Le programme de récupération se poursuit pendant que les fonds circulent

Le protocole Drift a lancé son programme de jetons de récupération DFX le 1er octobre pour indemniser les utilisateurs touchés par l'attaque. Les utilisateurs éligibles peuvent réclamer des jetons représentant leurs pertes et les échanger contre les fonds de récupération disponibles.

Le pool de récupération contenait initialement environ 3,1 millions de dollars, un financement supplémentaire pouvant provenir des revenus de la plateforme, des actifs récupérés et d'autres contributions — une fraction des quelque 295,4 millions de dollars perdus lors de la violation, ce qui souligne à quel point les victimes de grands exploits cryptographiques sont rarement intégralement remboursées.

Les derniers transferts d'Ethereum compliquent toutefois les efforts pour retracer et récupérer les fonds volés restants, obligeant les enquêteurs à continuer de surveiller les portefeuilles associés tandis que l'attaquant déplace des actifs via des services axés sur la confidentialité, les observateurs on-chain suivant si d'autres lots des réserves restantes font surface au mixer.

L'incident souligne les risques de sécurité persistants dans la finance décentralisée et met en évidence la nécessité de garanties administratives renforcées, d'une surveillance des transactions et d'efforts coordonnés de récupération d'actifs.

Source : CryptoMeter io