La Corée du Nord fabrique un token factice pour voler 286 M$ au Drift Protocol : l'IA rend ces attaques moins chères

Le plus grand piratage DeFi de cette année a eu lieu la semaine dernière, le 1er avril, lorsque Drift Protocol, l'un des plus grands DEX perpétuels sur le réseau Solana, a subi une exploitation entraînant la disparition d'environ 286 millions de dollars du protocole. L'attaque est liée à des pirates liés à la Corée du Nord et l'intégralité du piratage s'est déroulée en seulement 10 secondes. Ce qui est étonnant dans ce piratage, cependant, c'est sa nature méticuleuse. Aucun code n'a été compromis et aucun contrat intelligent ne présentait de bug. Les enquêtes menées par des sociétés de forensique crypto comme Elliptic et TRM Labs pointent vers un piratage bien plus calculé. 

Les attaquants nord-coréens ont passé trois semaines à fabriquer un faux token appelé CarbonVote, en y injectant quelques milliers de dollars pour lui donner une apparence réelle, tout en utilisant en même temps l'ingénierie sociale pour amener deux des cinq signataires du Conseil de sécurité multisig de Drift à pré-signer des autorisations cachées qu'ils ne comprenaient pas pleinement. Par la suite, ils ont utilisé une fonctionnalité de Solana appelée « nonces durables » pour conserver ces signatures en réserve pendant plus d'une semaine, en attendant le bon moment. Tout ce qu'il a fallu, c'était une seule transaction le 1er avril. 

Comme le note Elliptic, cette attaque constitue la 18e piraterie cryptographique liée à la Corée du Nord rien que cette année, ayant soutiré environ 300 millions de dollars à l'écosystème. Quatre jours après la faille, le CTO de Ledger a pris position pour souligner le caractère alarmant de cet incident et affirmer que l'IA fait chuter le coût de ce type d'attaques « jusqu'à zéro ». Cette déclaration est cruciale car la faille Drift illustre parfaitement le fonctionnement actuel de ces opérations. Les attaquants n'avaient besoin ni d'une vulnérabilité zero-day ni d'un cryptographe de premier plan. Tout ce dont ils avaient besoin, c'était de patience, d'un token factice convaincant et de deux humains qu'ils pouvaient manipuler. Cette attaque a en réalité mis en lumière une vulnérabilité structurelle du DeFi tel qu'il existe aujourd'hui : le DeFi construit des infrastructures milliardaires sécurisées par de petits groupes de personnes qui peuvent être trompées, tandis que les adversaires deviennent de plus en plus habiles à faire exactement cela.

Comment la Corée du Nord a volé 286 millions de dollars en 10 secondes 

L'exploitation sophistiquée du protocole Drift s'est étalée sur trois semaines de préparation. Bloomberg a été le premier à rapporter la faille le 1er avril, lorsque le protocole Drift a confirmé que près de 286 millions de dollars d'actifs utilisateurs avaient été détournés. L'ensemble du schéma a en réalité débuté bien plus tôt, le 11 mars, lorsque l'attaquant a retiré 10 ETH de Tornado Cash vers 9 heures, heure de Pyongyang, et les a utilisés pour déployer un token fictif, CarbonVote (CVT), un actif entièrement imaginaire doté d'une liquidité initiale de quelques milliers de dollars et maintenu artificiellement grâce au wash trading.

Au cours des deux semaines suivantes, entre le 23 et le 30 mars, l'attaquant a ouvert des comptes de nonce durables, une fonctionnalité légitime du réseau Solana permettant de pré-signer des transactions et de les conserver indéfiniment sans expiration. Durant cette période, l'attaquant a manipulé socialement deux des cinq signataires du multisig du Conseil de sécurité de Drift pour qu'ils approuvent des transactions qui semblaient normales mais qui, comme l'a confirmé par la suite TRM Labs, contenaient des autorisations cachées conférant un contrôle administratif critique.

La dernière pièce du puzzle a été posée le 27 mars, lorsque Drift a migré son Conseil de sécurité vers une nouvelle configuration avec un seuil de 2/5 et zéro délai d'exécution (timelock), comme rapporté par BlockSec, ce qui a essentiellement supprimé le seul délai qui aurait permis à quiconque de déceler ce qui se préparait. Dès le 1er avril, le piège était déjà complètement armé depuis plusieurs jours.

Le 1er avril, l'attaquant a utilisé ces approbations pré-signées pour lister CarbonVote comme collatéral valide, a gonflé sa valeur à plusieurs centaines de millions grâce à des prix d'oracle manipulés et a pris le contrôle de la gouvernance. Dès lors, 31 transactions de retrait ont vidé les coffres de Drift en quelques secondes. Le plus gros lot comprenait plus de 155 millions de dollars de tokens JLP, ainsi que des dizaines de millions en USDC, SOL, ETH et autres tokens de staking liquide, tous drainés, tandis que la Valeur Totale Verrouillée (TVL) du protocole s'est effondrée instantanément d'environ 550 millions de dollars à moins de 250 millions. 

La rapidité de ce piratage n'est qu'un aspect de cette histoire. Un plan détaillé qui s'est étalé sur trois semaines, aboutissant à un piratage de 10 secondes, a montré à quel point la gouvernance, et non le code, peut devenir le maillon faible de la DeFi. 

La guerre crypto de la Corée du Nord : 300 millions de dollars en 2026 

Ce piratage, attribué à des attaquants liés à la Corée du Nord selon les rapports, n'est en aucun cas un événement isolé. En fait, si vous examinez certains des piratages les plus médiatisés des dernières années, il devient évident qu'il s'agit d'une campagne beaucoup plus vaste, pilotée par un État. Rien que cette année, Elliptic a signalé que l'exploitation de Drift constitue le 18e vol de crypto-monnaies attribué à la RPDC, portant le total des fonds détournés à plus de 300 millions de dollars jusqu'à présent cette année. Si vous élargissez votre perspective au-delà de cette année, l'ampleur de tels piratages provenant d'un seul pays devient très difficile à ignorer. L'an dernier, des acteurs liés à la Corée du Nord ont volé entre 1,92 milliard de dollars selon TRM Labs, tandis que Chainalysis évalue ce chiffre à 2,02 milliards de dollars en crypto. Cela a marqué une augmentation de 51 % en glissement annuel dans les piratages menés par ce groupe et a porté leur butin historique à 6,75 milliards de dollars.

La Corée du Nord a été à l'origine d'un record de 76% de toutes les compromissions de services en 2025, ce qui signifie qu'un seul pays est responsable de la grande majorité des vols survenus dans le secteur. Dans ce contexte, la faille Drift, désormais la deuxième plus importante exploitation au sein de l'écosystème Solana après la brèche Wormhole de 2022, s'inscrit dans un schéma d'attaques. 

Ce qui définit ce modèle, c'est la cohérence. Le piratage de Bybit en février 2025, le plus grand vol de crypto-monnaies de l'histoire, présentait des configurations presque identiques incluant l'ingénierie sociale, un accès compromis et un échange coordonné de fonds. TRM Labs note que les opérateurs de la RPDC s'appuient de plus en plus sur des réseaux de « blanchisseurs chinois » pour les fonds transférés entre différentes chaînes en quelques heures.

L'attaque contre Drift révèle en réalité un système d'équipes soutenues par des États menant des opérations de plusieurs semaines, avec une infrastructure déjà opérationnelle pour la reconnaissance, la manipulation humaine et le blanchiment à l'échelle mondiale. 

L'IA fait chuter les coûts des attaques « jusqu'à zéro » : le CTO de Ledger met en garde

Quatre jours après le drain de Drift, Charles Guillemet, CTO de Ledger, a déclaré CoinDesk une chose qui a redéfini l'ensemble de l'incident. « Trouver des vulnérabilités et les exploiter devient vraiment, vraiment facile », a-t-il dit. « Le coût va tendre vers zéro. » Guillemet n'a pas nommé Drift, mais il en a décrit exactement les mécanismes. L'IA ne se contente pas d'aider les attaquants à trouver plus rapidement des bugs dans le code ; elle rend l'ingénierie sociale plus convaincante, le phishing plus personnalisé, et réduit d'un ordre de grandeur le travail de préparation que les opérateurs nord-coréens avaient consacré trois semaines à Drift, le rendant moins cher et plus évolutif. Il a également pointé du doigt un problème cumulatif du côté défensif : alors que davantage de développeurs s'appuient sur du code généré par IA, les vulnérabilités pourraient se propager plus vite que les réviseurs humains ne peuvent les détecter. « Il n'existe pas de bouton “rendre sécurisé” », a-t-il ajouté. « Nous allons produire beaucoup de code qui sera intrinsèquement non sécurisé. » Les piratages et exploits ont causé 1,4 milliard de dollars de pertes en crypto au cours de l'année écoulée, et la projection de Guillemet est que la courbe deviendra plus raide, et non plus plate.

L'incident Drift constitue la preuve de concept la plus claire de cet avertissement. Les attaquants n'ont jamais touché au code ; ils ont ciblé les deux humains détenant les clés. L'IA n'a pas besoin de compromettre un contrat intelligent si elle peut générer un prétexte suffisamment convaincant pour tromper un signataire multisig et le pousser à approuver une transaction qu'il ne comprend pas pleinement. Guillemet s'attend à ce que l'industrie se divise : les systèmes critiques comme les portefeuilles et les protocoles de base investiront massivement dans la sécurité et s'adapteront, tandis qu'une grande partie de l'écosystème logiciel plus large aura du mal à suivre le rythme. Ses correctifs recommandés, la vérification formelle par des preuves mathématiques et l'isolation matérielle des clés privées, sont structurellement solides mais exigent un niveau de discipline institutionnelle que la plupart des protocoles DeFi, y compris Drift, n'ont pas encore mis en place. « Lorsqu'on dispose d'un appareil dédié non exposé à Internet, il est plus sécurisé par conception », a-t-il déclaré. Le Conseil de sécurité de Drift ne disposait d'aucune telle marge de manœuvre. Deux signatures, aucun délai de blocage et un token factice ont suffi.

Ce qui suit : la reprise de Drift et la réponse de l'industrie

L'avenir du protocole Drift est loin d'être clair et les premiers signaux divisent déjà l'industrie. Dans la foulée immédiate, Anatoly Yakovenko a suggéré une voie de récupération potentielle : émettre un airdrop de jetons de type IOU aux utilisateurs affectés, en s'inspirant de la stratégie adoptée par Bitfinex en 2016 après son piratage de 72 millions de dollars. 

Le principe est simple : mutualiser les pertes dès maintenant et rembourser les utilisateurs au fil du temps si le protocole se redresse. Mais le contexte est très différent. Le TVL de Drift a été réduit de près de moitié, les dépôts et retraits sont toujours suspendus, et contrairement à Bitfinex, il ne dispose pas d'un moteur de revenus centralisé pour garantir ces passifs. Cela a provoqué une opposition immédiate : dans ce cas, les jetons IOU risquent de devenir de simples instruments spéculatifs sans voie claire vers le remboursement.

Parallèlement, l'activité on-chain suscite de nouvelles inquiétudes. Onchain Lens a signalé qu'un portefeuille lié à l'équipe de Drift a transféré 56,25 millions de jetons DRIFT (≈2,44 millions de dollars) vers des échanges centralisés, dont Bybit et Gate, peu après l'exploitation. Une telle manœuvre précède généralement une pression vendeuse et a alimenté les spéculations sur un positionnement d'initiés lors d'une crise de liquidité. 

Pendant ce temps, les fonds de l'attaquant ont déjà été transférés entre les chaînes, notamment vers Ethereum, réduisant à chaque jour qui passe la probabilité d'un recouvrement significatif. L'implication plus large est que cet incident ne s'arrêtera pas à Drift. Il est probable qu'il accélère un examen approfondi de la gouvernance DeFi dans tout le secteur, des normes de sécurité multisig et des exigences de timelock à la conception des oracles et aux contrôles d'exécution. Ce qui vient ensuite dépend de trois variables : si Drift peut présenter un plan de recouvrement crédible, si une partie des fonds peut être tracée ou gelée, et si cela force enfin une réforme structurelle ou devient simplement une autre leçon coûteuse que l'industrie dépasse.