Drift Protocol : 295 millions de dollars dérobés lors du piratage du DEX Solana

Une prise de contrôle du Security Council

Dans un fil publié sur X le 2 avril 2026, Drift Protocol a indiqué qu'un acteur malveillant avait obtenu un accès non autorisé au protocole la veille, au moyen d'une attaque utilisant les « durable nonces » de Solana. L'opération a abouti à une prise de contrôle rapide des pouvoirs d'administration du Security Council, le multisig qui gère les paramètres du protocole. Drift a parlé d'une opération « très sophistiquée », préparée sur plusieurs semaines.

Selon la même communication, l'attaque ne reposait ni sur un bug des programmes ou des smart contracts de Drift, ni sur des phrases de récupération compromises. Elle s'appuyait sur des approbations de transactions obtenues à l'avance, de façon non autorisée ou trompeuse, probablement par de l'ingénierie sociale ciblée.

Le déroulé de l'attaque

Drift a détaillé le mécanisme dans son fil. Un durable nonce permet de signer une transaction Solana sans qu'elle expire, puis de l'exécuter plus tard. L'attaquant a ainsi :

• préparé des comptes de durable nonce à partir du 23 mars, dont deux associés à des membres du multisig ;
• obtenu les deux signatures nécessaires sur un multisig à cinq membres (seuil de 2 sur 5), y compris après une migration du Security Council effectuée le 27 mars ;
• exécuté le 1er avril, en quelques minutes, un transfert d'administration malveillant ;
• introduit un actif malveillant comme collatéral et supprimé toutes les limites de retrait pour vider les fonds déposés.

La transaction qui exécute le transfert d'administration est consultable sur l'explorateur Solscan.

Les fonds touchés et le gel du protocole

Drift a précisé que tous les dépôts du module de prêt et d'emprunt, des coffres et des comptes de trading étaient concernés. Le DSOL non déposé sur Drift, dont les actifs stakés auprès du validateur Drift, et le fonds d'assurance sont restés hors d'atteinte. Par précaution, toutes les fonctions restantes du protocole ont été gelées et le portefeuille compromis a été retiré du multisig. Drift a annoncé travailler avec plusieurs sociétés de sécurité, des bridges, des exchanges et les forces de l'ordre pour tracer et geler les actifs volés.

Le premier bilan communiqué par Drift évoquait environ 280 millions de dollars. Le bilan détaillé publié le 16 avril 2026 fixe le total des actifs retirés à 295 706 374,93 dollars. Les principaux postes sont 42,7 millions de jetons JLP (159,3 millions de dollars), 71,4 millions d'USDC, 164 cbBTC (11,3 millions de dollars) et 125 000 SOL (10,4 millions de dollars).

Des USDC transférés vers Ethereum, Circle critiqué

Une partie du butin a été convertie puis transférée de Solana vers Ethereum. Le 5 mai, Drift indiquait qu'environ 130 259 ETH étaient concentrés sur quatre portefeuilles Ethereum contrôlés par l'attaquant, surveillés et signalés aux plateformes d'échange.

Pendant l'attaque, l'enquêteur on-chain ZachXBT a reproché à Circle, l'émetteur de l'USDC, de ne pas avoir bloqué les transferts passés par CCTP, son protocole de transfert entre blockchains. Il a écrit sur X :

« Circle dormait pendant que des millions d'USDC issus du piratage à neuf chiffres de Drift étaient échangés via CCTP de Solana vers Ethereum, pendant des heures, en pleine journée américaine. La valeur a été déplacée et, une fois de plus, rien n'a été fait. »

ZachXBT faisait aussi référence au gel, quelques jours plus tôt, de plus de seize portefeuilles d'entreprises par Circle, qu'il jugeait injustifié.

Ce qui s'est passé depuis

Le 5 mai 2026, Drift a indiqué que trois transferts passés par CCTP avaient finalement été gelés, pour environ 3,36 millions d'USDC, et que deux transferts via Wormhole (environ 59,37 WBTC et 557,90 WETH) étaient retenus par le mécanisme de limitation du bridge. Un programme de prime de 10 % sur les fonds récupérés a été lancé avec Bybit.

Le point d'étape du 3 juin 2026 rapporte que la société de cybersécurité Mandiant, mandatée par Drift, a attribué l'attaque à UNC6862, un groupe nord-coréen lié à d'autres acteurs étatiques impliqués dans des attaques similaires.

Pour indemniser les utilisateurs, Drift a annoncé le 16 avril un accord avec Tether, qui s'engage à apporter jusqu'à 127,5 millions de dollars, et d'autres partenaires pour 20 millions de dollars. La plateforme a prévu une relance avec l'USDT comme monnaie de règlement à la place de l'USDC, un nouveau multisig, des délais obligatoires sur les actions d'administration et la désactivation des durable nonces pour les signataires.

Le 1er octobre 2026, Drift a ouvert les réclamations du jeton DFX : chaque utilisateur touché reçoit 1 DFX par USDT de perte vérifiée, pour une offre fixe de 299 500 810,998 DFX. Les DFX peuvent être échangés contre une part d'un pool de récupération alimenté par les revenus de la plateforme relancée sous le nom Velocity, les apports des partenaires et les fonds récupérés. Ce pool contenait environ 3,1 millions d'USDT à l'ouverture. La fenêtre de réclamation se ferme le 1er janvier 2028.