À la suite d'une attaque majeure de DeFi, Drift Protocol a commencé à contacter directement au sujet de l'exploit drift alors que les enquêteurs suivent les fonds à travers plusieurs blockchains.

Drift cible les portefeuilles des hackers avec des messages on-chain

Le 3 avril, Drift Protocol a intensifié sa réponse au récent piratage en envoyant des messages on-chain à quatre portefeuilles Ethereum détenant la majorité des actifs volés. Selon les données de la blockchain, ces adresses contrôlent ensemble environ 129,000 ETH, liés à ce qui est devenu l'un des plus grands exploits DeFi de 2026.

L’exploitation a drainé une estimation de 270 à 285 millions de dollars du protocole, perturbant fortement les conditions de trading et de liquidité. Cependant, l’équipe affirme désormais avoir identifié des acteurs clés liés à l’incident et les encourage publiquement à engager un dialogue plutôt que de rester silencieux.

La démarche a été effectuée depuis une adresse connue comme étant contrôlée par Drift, qui a transmis un message standardisé à chacun des quatre portefeuilles cibles. De plus, ce geste indique que le protocole est disposé à explorer des résolutions négociées, une voie déjà empruntée par d’autres projets crypto lors de vols de grande ampleur.

Le message appelle à communiquer via la messagerie Blockscan

Le message était concis. Drift a indiqué aux propriétaires du portefeuille qu’il est « prêt à parler » et leur a demandé de répondre via la messagerie Blockscan, un outil de communication hors chaîne lié à des adresses Ethereum. Cela fait écho à des cas antérieurs où des projets attaqués ont cherché à ouvrir un canal de communication avec des pirates.

Historiquement, de tels efforts ont donné des résultats mitigés. Lors de certains piratages très médiatisés, le dialogue a conduit à une récupération partielle, voire totale, des actifs, parfois sous l’étiquette d’un accord « white-hat ». Cela dit, dans d’autres situations, les attaquants ont ignoré les messages et ont continué à déplacer les fonds, laissant les victimes avec peu d’espoir de restitution.

Dans ce cas, les équipes de sécurité et les fournisseurs d’analytique on-chain examinent également si le vol et les transferts qui ont suivi présentent des schémas associés à de la cybercriminalité organisée. Cela dit, toute attribution potentielle demeure non confirmée, et l’objectif actuel est surtout de suivre les flux et de préserver les preuves.

Comment l’attaque a contourné les smart contracts

L’exploitation de Drift se démarque car elle ne reposait pas sur un bug traditionnel de smart contract. À la place, elle a exploité une faiblesse au niveau du système autour des nonces durables de Solana, une fonctionnalité légitime qui permet aux développeurs de préparer et signer des transactions à l’avance pour une soumission ultérieure.

L’attaquant a utilisé des transactions pré-signées, créées plusieurs semaines plus tôt, puis a réussi à obtenir un contrôle partiel de la mise en place de gouvernance multisig du protocole. Grâce à cette influence, il a désactivé ou contourné plusieurs dispositifs de contrôle des risques conçus pour protéger les fonds des utilisateurs. En conséquence, une fois les garde-fous affaiblis, le pirate a pu drainer du capital depuis plusieurs coffres enchaînés très rapidement.

L’ensemble de l’opération s’est déroulé rapidement, entraînant la perte de plus de la moitié de la valeur totale immobilisée du protocole Drift. De plus, l’événement met en évidence à quel point la conception de la gouvernance et la gestion des clés peuvent être aussi cruciales que le code du contrat pour sécuriser les plateformes DeFi.

Transferts inter-chaînes et concentration d’ETH volé

Après avoir vidé les coffres, l’attaquant n’a pas laissé les actifs sur Solana. Au contraire, il a utilisé une infrastructure inter-chaînes pour transférer les fonds vers Ethereum, convertissant une large part en ETH. Des données on-chain, mises en avant par des sociétés d’analytics comme Arkham, montrent qu’environ 129 000 ETH sont désormais répartis entre quatre portefeuilles clés.

Ce schéma correspond à une tendance plus large selon laquelle les attaquants utilisent des fonds pontés inter-chaînes pour compliquer le suivi et la récupération. Toutefois, ces manœuvres créent aussi des concentrations de valeur très visibles, pouvant être observées en temps réel par des exchanges, les forces de l’ordre et des chercheurs indépendants.

Malgré une surveillance active, certains membres de la communauté ont critiqué une réponse opérationnelle jugée lente. Plus précisément, les utilisateurs se sont demandé pourquoi certains tokens ou positions n’avaient pas été gelés plus tôt, ou couverts de manière plus agressive, une fois une activité de gouvernance anormale détectée.

Soupçons de criminalité organisée et enquête en cours

Plusieurs observateurs de l’industrie ont spéculé sur d’éventuels liens entre l’attaquant et des organisations de cybercriminalité connues, notamment compte tenu de la sophistication de la prise de contrôle de la gouvernance et de la planification des transactions. Cela dit, les déclarations publiques de Drift et des équipes externes de sécurité soulignent qu’il n’y a encore aucune attribution définitive.

Les forces de l’ordre et des groupes privés de réponse aux incidents seraient en train de coordonner leurs efforts pour suivre sur la blockchain la trace des messages et les flux de l’ETH volé. En outre, les enquêteurs examinent l’activité historique sur les portefeuilles touchés afin de vérifier si de vieilles transactions relient à des entités déjà signalées.

Pour l’instant, Drift s’est engagé à publier davantage d’informations une fois les audits et examens forensiques réalisés par des tiers terminés. Les canaux sociaux du protocole, y compris son compte officiel X, ont été utilisés pour regrouper les mises à jour et faire référence à des transactions on-chain clés pour la communauté.

Impact sur Drift, le token DRIFT et la liquidité DeFi

Les conséquences dépassent les pertes immédiates du protocole. Des données récentes indiquent que près de 20 projets DeFi interconnectés ont subi des effets en cascade suite à l’incident. Certains protocoles ont temporairement interrompu leurs services ou restreint certaines opérations afin d’éviter une contagion potentielle et de gérer l’impact sur la liquidité DeFi.

Le jeton natif DRIFT a réagi vivement, enregistrant une baisse brutale à mesure que la nouvelle de l’exploitation et de la compromission de la gouvernance se propageait. La confiance du marché dans l’effet de levier et les produits dérivés sur Solana a également été ébranlée, reflétant des réévaluations plus larges du risque par des traders professionnels comme particuliers.

Cependant, il est important de noter que la couche de base de Solana continue de fonctionner normalement. La brèche s’est produite au niveau de l’application et de la gouvernance, et non à cause d’une défaillance de consensus ou d’un problème du protocole. Cette distinction compte pour la perception à long terme de l’écosystème et pour les investisseurs qui évaluent le risque lié aux smart contracts.

Leçons pour la conception de la gouvernance et de la sécurité

L’attaque met en évidence comment même du code bien audité peut être compromis par des faiblesses dans les structures de gouvernance, le partage des clés et les processus opérationnels. Dans ce cas, la compromission partielle de la gouvernance multisig a permis à l’attaquant d’armer des transactions préalablement signées et des fonctionnalités légitimes du protocole.

Des experts en sécurité estiment que des politiques de rotation des clés plus robustes, des contrôles d’accès plus stricts et une surveillance en temps réel des actions de gouvernance auraient pu limiter les dégâts. De plus, des plans de réaction plus clairs en cas d’incident et des coupe-circuits automatisés pourraient aider les protocoles à réagir plus vite lorsque des changements anormaux de permissions ou de comportement des coffres surviennent.

À mesure que l’enquête sur l’exploitation du protocole Drift se poursuit, l’affaire est susceptible de devenir un point de référence pour les cadres d’évaluation des risques et les revues de sécurité dans la DeFi. En résumé, l’incident souligne que des audits de code ne suffisent pas à eux seuls : une gouvernance résiliente, une gestion des clés rigoureuse et une surveillance inter-chaînes sont indispensables pour empêcher des pertes massives similaires.