La récupération des fonds après le piratage de Drift compliquée : 61.5 M$ transférés vers Tornado Cash

Une adresse liée au vol de 295 millions de dollars du protocole Drift en avril a déposé 25 700 Ether (ETH) dans le service de mélange Tornado Cash mardi, poursuivant un processus de blanchiment que les enquêteurs ont retracé jusqu'à une organisation soutenue par l'État en Corée du Nord. Cela est important pour les milliers d'utilisateurs de Drift qui n'ont pas encore été payés.

Deux heures, 100 ETH à la fois

Les dépôts sont arrivés au fil de deux heures environ, totalisant environ 61,56 millions de dollars pendant le transfert, selon les données d'Arkham Intelligence. Le portefeuille était inactif depuis environ deux mois avant cet afflux soudain.

Selon les journaux de transfert d'Arkham, les dépôts ont été effectués en montants fixes de 100 ETH (237 800 $ chacun) et en tranches plus petites de 10 ETH. Les dépôts fixes correspondent aux pools de dépôt de Tornado Cash, qui permettent à un utilisateur de retirer des fonds à une étape ultérieure depuis une adresse différente sans révéler le lien entre l'expéditeur et le destinataire.

Ces mouvements ont également été cartographiés par Chainalysis. Dans un post publié le mardi, l'entreprise a indiqué que le 1er avril, l'exploitant avait transféré les fonds des cinq portefeuilles utilisés pour l'exploitation vers un portefeuille d'escale unique en 13 transactions distinctes. L'exploitant a laissé le portefeuille rester inactif jusqu'à ce que les fonds soient déposés dans le mélangeur par tranches de 100 ETH.

Il ne s'agit pas du premier cycle de nettoyage des fonds. Une adresse appelée Drift Exploiter 4 a envoyé 23 095 ETH (environ 44,4 millions de dollars) au même mélangeur les 23 et 24 juillet.

Ce qu'il reste dans les portefeuilles

À la lumière des dépôts effectués mardi, Arkham continue de suivre 81 454 ETH valant environ 194 millions de dollars, selon TFTC. Environ 198,58 millions de dollars se trouvent sur les 71 adresses appartenant au pirate. De plus, ces comptes contiennent environ 561 600 $ en USDT, USDC, Solana et USDY, ainsi qu'un Fartcoin d'une valeur d'environ 15 centimes, selon la vue de portefeuille d'Arkham.

L'exploiteur du protocole Drift, qui a volé plus de 270 M$, déplace de l'$ETH vers #TornadoCash après deux mois d'inactivité.

Au cours des dernières 2 heures, l'exploitant a déposé 25 700 $ETH (61,56 M$) sur #TornadoCash et détient toujours 81 864 $ETH (195 M$).

https://t.co/FRtFrS7rew https://t.co/9ISUIlkHvT

— Lookonchain (@lookonchain) Octobre 20, 2026

Tout d'abord, le piratage a touché un protocole Solana. Cependant, le hacker a ensuite utilisé la technologie de pont pour convertir les fonds en ETH. Conformément au tableau de distribution des actifs de Drift, le hacker s'est approprié des tokens d'une valeur de 295,7 millions de dollars, dont 159,3 millions de dollars en JLP (le token Jupiter Liquidity Provider) et 71,4 millions de dollars en USDC.

Comment les attaquants sont entrés

Selon le post-mortem rédigé par Drift sur drift.trade, l'attaque du 1er avril n'a exploité aucune vulnérabilité dans le code, mais a plutôt utilisé des méthodes d'ingénierie sociale sur six mois. TFTC, citant la même source, a indiqué comment les attaquants se sont fait passer pour une société de trading et ont immobilisé 1 million de dollars de fonds réels pour se faire passer pour légitimes, tout en rencontrant personnellement les contributeurs de Drift lors de conférences. Ils ont exploité une vulnérabilité d'exécution de code via des outils de développement combinés à une fausse application de portefeuille afin de vider le protocole en moins de 12 minutes.

Lors d’un article publié le 3 juin concernant leurs efforts de récupération, Drift a indiqué que, selon une enquête forensique de Mandiant, l’attaque avait été menée par UNC6862, un acteur de la menace originaire de Corée du Nord. Drift a cité la déclaration de Mandiant selon laquelle il existe des « liens directs avec d’autres acteurs soutenus par des États impliqués dans des attaques similaires sur d’autres plateformes. »

Un fonds de récupération face à des odds défavorables

Drift a ouvert les réclamations pour ses tokens DFX le 1er octobre. Le fonds s’élevait alors à 3,1 millions de dollars et devait croître en fonction des profits boursiers et des récupérations. En ce qui concerne les pertes de 295 millions de dollars, ceux qui ont effectué des réclamations précoces ne voyaient qu’un centime sur le dollar.

Environ 9,2 millions de dollars ont été gelés par les forces de l’ordre, selon TFTC, soit près de 3 cents sur le dollar. Étant donné que 194 millions de dollars sont entre les mains de l’exploitant et qu’une part croissante de ces fonds a été déposée sur Tornado Cash, la récupération semble peu probable. OFAC a blacklisté le mixeur en 2022, mais aucune confirmation n’a été apportée quant à une récupération sur un dépôt Tornado Cash lié à une entité nord-coréenne.

L'exploitation de Drift se classe comme la troisième plus grande cyberattaque crypto de 2026 selon le tracker d'exploitations DeFiLlama, derrière l'exploitation de Bitget pour 387,5 millions de dollars et celle du Liquid Network pour 320 millions de dollars.