Ethereum du piratage de Drift : l'attaquant déplace jusqu'à 61 millions de dollars vers Tornado Cash

Le butin de l'attaque contre Drift Protocol s'est remis en mouvement. Le 20 octobre 2026, des portefeuilles que les observateurs attribuent à l'attaquant ont transféré une large part des ethers dérobés vers le mixeur Tornado Cash, après environ deux mois d'immobilité des adresses. Les estimations du montant divergent et s'étendent de 32 à 61,6 millions de dollars. Pour les investisseurs européens, la nouvelle n'est pas lointaine : des ethers blanchis finissent sur le marché ouvert, et les accepter sans le savoir expose à un dépôt gelé.

25 700 ethers en deux heures : les chiffres du mouvement du 20 octobre

La valeur la plus élevée vient du service d'analyse Lookonchain. Selon son relevé, 25 700 ethers, soit environ 61,56 millions de dollars, ont été versés dans Tornado Cash en deux heures le 20 octobre. La première alerte de la journée, émise par Onchain Lens, portait sur un montant plus faible : 13 400 ethers, soit quelque 32 millions de dollars, depuis une adresse que les observateurs désignent par « Drift Exploiter 5 ». La société de sécurité Salus a compté de son côté 19 600 ethers, environ 46,81 millions de dollars, répartis sur 196 transactions distinctes.

Pour situer l'ordre de grandeur : un ether vaut environ 2 436 dollars, soit 2 168 euros, le 20 octobre 2026. Les 25 700 ethers du calcul de Lookonchain représentent donc près de 55,7 millions d'euros.

Trois observateurs, trois montants : la méthode explique l'écart de 32 à 61 millions de dollars

L'écart n'est pas une contradiction, mais une conséquence de la méthode de mesure. Chaque service suit ses propres groupes d'adresses, découpe la période différemment et convertit à des cours distincts. Onchain Lens a publié tôt dans la journée ; Lookonchain a actualisé plus tard et a donc saisi davantage de transactions. Salus a traité un troisième découpage. Seule la fourchette est donc solide, et non un chiffre isolé. Citer la plus petite estimation minore le mouvement du jour ; ne retenir que la plus grande revient à s'accrocher à un instantané.

Mixeur : un mixeur est un contrat sur la blockchain qui rassemble les dépôts de nombreux utilisateurs et les restitue plus tard en parts de taille identique, de sorte que dépôt et retrait ne puissent plus être reliés de façon univoque.

Ce que fait techniquement un mixeur crypto comme Tornado Cash

Tornado Cash fonctionne avec des coupures fixes et une preuve cryptographique. Celui qui dépose reçoit un justificatif secret. Au retrait, il établit ainsi qu'il a déposé à un moment donné, sans montrer lequel des dépôts était le sien. Plus les participants sont nombreux dans le pot au même moment, plus grande est la masse dans laquelle un montant isolé disparaît. C'est précisément l'objet des 196 transactions distinctes comptées par Salus : de nombreux petits pas sont plus difficiles à attribuer qu'un seul grand virement.

La technique n'efface toutefois pas entièrement la trace. Les sociétés d'analyse travaillent sur des fenêtres de temps, des montants et le comportement des adresses par la suite. Que trois services aient remarqué le mouvement le même jour, indépendamment les uns des autres, montre à quel point ces adresses sont désormais surveillées de près.

81 500 ethers restent chez l'attaquant : le solde du butin

Le mouvement du 20 octobre n'a pas épuisé le butin. Arkham Intelligence a ensuite chiffré le solde à environ 81 454 ethers, soit quelque 194 millions de dollars. Lookonchain parvient à environ 81 864 ethers, donc près de 195 millions de dollars. Des estimations antérieures allaient de 82 000 à 94 000 ethers et jusqu'à 224 millions de dollars. L'attaquant dispose donc toujours d'un multiple de ce qui est passé par le mixeur ce jour-là.

Deux mois d'immobilité avant le mouvement

Le rythme frappe. Les adresses sont restées inactives pendant environ deux mois avant de s'animer à grande échelle en une seule journée. Ce schéma est connu d'autres affaires : attendre que l'attention publique retombe, c'est rencontrer moins d'observateurs et des services qui ne vérifient plus une adresse chaque jour.

L'attaque du 1er avril 2026 : 295,4 millions de dollars sur une plateforme Solana

Drift Protocol était une plateforme de négociation de dérivés sur la blockchain Solana. Le 1er avril 2026, elle a perdu en peu de temps l'essentiel des fonds déposés par ses clients. La Drift Foundation évoque elle-même, dans son rapport de rétablissement, environ 295,4 millions de dollars prélevés aux utilisateurs. Certains médias spécialisés avancent 285 millions de dollars et un déroulé de douze minutes ; les premiers comptes rendus de la semaine de l'attaque dépassaient 270 millions de dollars. La fourchette de 285 à 295,4 millions de dollars constitue donc le cadre solide.

La suite donnée à la plateforme a été décrite par la rédaction en octobre : un successeur a démarré sous le nom de Velocity. Les détails figurent dans l'article Velocity remplace Drift après le piratage.

Mandiant et Chainalysis désignent tous deux la Corée du Nord, mais pas le même groupe

Les enquêteurs divergent ici, et cela fait partie du tableau. Dans son rapport du 3 juin 2026, la Drift Foundation reprend l'enquête de Mandiant, qui attribue selon sa propre présentation l'attaque sans ambiguïté au groupe UNC6862, un acteur malveillant nord-coréen. TRM Labs et Chainalysis renvoient en revanche à UNC4736, également connu sous le nom de Citrine Sleet, avec lui aussi un lien étatique nord-coréen. Les deux attributions se rejoignent sur l'origine et diffèrent sur le groupe nommé. Aucun constat public définitif d'une autorité n'existe.

Participent à la recherche des traces, selon la fondation, Mandiant, zeroShadow et SEAL 911. Un cas comparable ne date que de quelques semaines : sur la plateforme Bitget, Chainalysis a rattaché un vol de 387 millions de dollars à la même origine, comme l'expose notre article sur l'attribution concernant Bitget.

9,2 millions de dollars gelés : ce que dit la Drift Foundation sur la récupération

Le bilan du rétablissement est sobre. Sur les quelque 295,4 millions de dollars, environ 9,2 millions de dollars avaient été gelés d'après la fondation, soit près de 3 %. Gelé ne veut pas dire récupéré : la fondation écrit que la libération passe par les autorités judiciaires et demande du temps. Du butin était déjà passé par Tornado Cash en août ; le mouvement du 20 octobre n'est donc pas le premier.

Les utilisateurs lésés peuvent déclarer leurs créances via un fonds d'indemnisation désigné par le sigle DFX. Les premiers versements, début octobre, représentaient un peu plus de 1 % des pertes des utilisateurs, et les créances ont été ouvertes à un cent par jeton. S'y ajoute une prime publique de 10 % sur les fonds effectivement récupérés, que la fondation a mise en place conjointement avec Bybit.

Tornado Cash ne figure plus sur la liste des sanctions américaines depuis mars 2025

Un malentendu répandu porte sur le statut juridique du mixeur. Le Trésor américain a retiré Tornado Cash de la liste des sanctions le 21 mars 2025. L'avis porte le titre « Cyber-related Designation Removal; North Korea Designation Update and Removal » et fait figurer l'entrée TORNADO CASH, avec les adresses ether associées, parmi les radiations. Le texte est consultable dans l'avis de l'autorité américaine des sanctions, l'OFAC. Il a été précédé par l'arrêt de la cinquième cour d'appel fédérale américaine dans l'affaire Van Loon contre le Trésor, du 26 novembre 2024.

La radiation concerne l'outil, non l'acte. Des fonds volés restent volés, quel que soit le chemin qu'ils empruntent. Pour l'un des fondateurs, la désignation au titre du programme Corée du Nord a même subsisté selon le même avis, tandis que la désignation cyber disparaissait. En déduire qu'un dépôt comportant un historique de mixeur est sans difficulté revient à confondre droit des sanctions et supervision anti-blanchiment.

Lutte contre le blanchiment : une plateforme en Allemagne peut retenir un dépôt

Les prestataires qui servent des clients en Allemagne relèvent de la loi sur le blanchiment d'argent. Ces maisons doivent vérifier l'origine des avoirs, signaler les opérations suspectes à la cellule de renseignement financier et peuvent retenir une transaction jusqu'à clarification. En pratique, elles s'appuient sur les mêmes services d'analyse qui suivent le butin de Drift. Dès qu'un montant entrant apparaît à faible distance d'un mixeur ou d'une adresse signalée, le système se déclenche.

Pour le client, cela signifie ceci : l'inscription en compte peut rester en attente, un retrait est bloqué, et le prestataire réclame des justificatifs sur l'origine. Un tel dossier se dénoue par des documents, non par la contestation. Justificatifs d'achat, relevés de compte et un chemin traçable de l'entrée jusqu'au dépôt constituent alors la seule base permettant d'éclaircir quoi que ce soit. Acheter auprès de maisons agréées procure de toute façon cette preuve. Un panorama des prestataires régulés est tenu par la rédaction dans le comparatif des plateformes crypto.

Conservation et voies de dépôt : où des ethers de seconde main se remarquent

Le risque ne naît pas de l'achat sur une plateforme agréée, mais à la marge. Les transactions directes avec des contreparties inconnues, les offres d'échange dans des groupes de discussion et les paiements de tiers pour des prestations sont les points d'entrée habituels de fonds porteurs d'un passé. Accepter des ethers de telles sources et les déposer plus tard sur une plateforme fait peser sur vous la charge de la preuve.

La conservation personnelle ne change rien à l'origine. Un portefeuille matériel exclut l'accès de tiers aux clés et constitue la mesure la plus efficace contre l'hameçonnage et les attaques visant des services, mais il ne transforme pas des fonds signalés en fonds non signalés. Les appareils et leur maniement sont mis en regard par la rédaction dans le comparatif des portefeuilles matériels. L'utilité réside dans la protection de vos propres avoirs, non dans un nettoyage de l'historique.

En cas de retrait bloqué, les justificatifs comptent plus que la contestation

Répondez d'abord intégralement à la demande du prestataire, avec date, contrepartie et montant. Rassemblez ensuite les identifiants de transaction qui retracent le chemin des fonds jusqu'à votre propre entrée. Si vous ne connaissez pas vous-même l'origine, dites-le ouvertement, car une explication inventée pèse plus lourd devant le superviseur qu'une lacune.

Mise en perspective : un dépôt dans un mixeur ne prouve aucune vente

Une distinction pour finir, qui se perd dans bien des articles. Que 25 700 ethers entrent dans un mixeur ne dit rien sur la question de savoir s'ils seront vendus, ni quand. Les fonds reposent ensuite dans un contrat, et la destination du retrait reste ouverte. Aucune pression immédiate sur le cours de l'ether ne s'en déduit, d'autant que le montant est faible au regard du volume d'échanges quotidien. Lire ce mouvement comme un signal de vente prête aux données ce qu'elles ne portent pas. L'opération est établie ; l'intention derrière elle ne l'est pas.

Trois points restent ouverts : quel groupe se trouve réellement derrière l'attaque, quand les 9,2 millions de dollars gelés seront libérés, et où iront les quelque 81 500 ethers restants.

Butin de Drift : 81 500 ethers reposent encore chez l'attaquant

1. Vérifiez par quelles voies des ethers sont entrés dans vos avoirs et classez un justificatif d'achat pour chaque entrée. Pour les achats à venir, la voie sûre passe par les prestataires agréés du comparatif des plateformes.
2. Transférez les avoirs importants en conservation personnelle, afin qu'une attaque contre un service n'atteigne pas vos clés. Les appareils du comparatif des portefeuilles matériels montrent les différences de maniement et de conception des sauvegardes.
3. Évitez les transactions directes avec des contreparties inconnues. Si un dépôt se bloque malgré tout, répondez aux questions du prestataire par des justificatifs plutôt que par la contestation.

(Au 20 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)