Drift Protocol : 285M volés par des hackers nord-coréens

Les faits

Le 1er avril 2026, le protocole Drift — la plus grande plateforme d'échange de contrats à terme perpétuels décentralisés sur Solana — a subi la plus importante attaque DeFi de l'année. En à peine douze minutes, les assaillants ont drainé près de 285 millions de dollars d'actifs utilisateurs, immédiatement convertis puis transférés vers Ethereum en quelques heures via une chaîne de ponts inter-blockchains. Selon Bloomberg et les analystes de TRM Labs, le drift protocol hack corée du nord constitue le deuxième vol de cryptoactifs le plus important jamais attribué au régime de Pyongyang, derrière le braquage de Bybit. Les indices techniques convergent vers le Lazarus Group, unité offensive rattachée au Bureau général de reconnaissance nord-coréen. Cet incident illustre la sophistication croissante des opérations étatiques ciblant la finance décentralisée, et interroge la maturité réelle des contrôles de sécurité déployés sur Solana.

L'enquête de TRM Labs, confirmée par The Hacker News le 8 avril 2026, attribue l'attaque à un groupe affilié à la Corée du Nord (DPRK). L'opération a débuté à l'automne 2025 par une campagne d'ingénierie sociale sophistiquée visant les signataires multisig du protocole. Les attaquants ont manipulé ces signataires pour qu'ils pré-signent des autorisations cachées, puis ont exploité une migration du Security Council sans timelock pour éliminer la dernière ligne de défense du protocole.

Impact et exposition

L'attaque n'exploitait pas une faille dans les smart contracts eux-mêmes, mais une combinaison de vecteurs humains et de faiblesses de gouvernance. Les hackers ont créé un token fictif — CarbonVote Token — avec quelques milliers de dollars de liquidité artificielle et de wash trading. Les oracles de Drift ont traité ce token comme un collatéral légitime valant des centaines de millions de dollars. Toute plateforme DeFi utilisant des mécanismes de gouvernance multisig avec des timelocks insuffisants ou des processus de validation oracle permissifs est potentiellement exposée à des attaques similaires. L'incident met en lumière les risques systémiques liés à la supply chain humaine dans l'écosystème crypto.

Recommandations

• Auditer immédiatement les processus de gouvernance multisig : vérifier les timelocks, les seuils de signature et les mécanismes de migration du conseil de sécurité.
• Implémenter une validation multi-source des oracles de prix avec des seuils de liquidité minimum pour l'acceptation de collatéral.
• Former les signataires multisig aux techniques d'ingénierie sociale avancée, notamment les campagnes ciblées de longue durée attribuées à des acteurs étatiques.
• Mettre en place des alertes automatiques sur les migrations de gouvernance et les changements de paramètres critiques.

Un mode opératoire caractéristique du groupe Lazarus

L'attaque contre Drift Protocol s'inscrit dans une continuité opérationnelle bien documentée par les chercheurs en threat intelligence. Depuis le hack du bridge Ronin Network en mars 2022 (625 millions de dollars dérobés au jeu Axie Infinity), le groupe Lazarus et ses sous-unités affiliées à la Corée du Nord ont progressivement délaissé l'exploitation de failles techniques pures au profit de campagnes hybrides mêlant ingénierie sociale de longue durée et manipulation de la gouvernance des protocoles. Le hack Bybit de février 2025 (1,5 milliard de dollars, le plus important vol crypto de l'histoire) avait déjà révélé cette bascule méthodologique : compromission de postes de développeurs via de fausses offres d'emploi, puis altération de l'interface de signature multisig pour tromper les validateurs légitimes. L'attaque Drift reprend ce schéma en l'adaptant à l'écosystème Solana, avec six mois de préparation consacrés exclusivement à l'infiltration sociale des signataires du Security Council, sans qu'aucune ligne de code du protocole n'ait été altérée.

Selon les estimations cumulées de Chainalysis et TRM Labs, les entités liées à la RPDC auraient dérobé plus de 3 milliards de dollars d'actifs numériques sur la seule année 2025, un montant qui finance directement les programmes d'armement du régime selon plusieurs rapports du Groupe d'experts des Nations unies. Le cas Drift illustre un déplacement stratégique vers l'écosystème Solana, historiquement moins ciblé que Ethereum ou les bridges cross-chain, ce qui suggère une diversification délibérée des cibles à mesure que les protocoles historiquement visés renforcent leurs défenses techniques. La rapidité de l'exfiltration — 12 minutes pour vider le protocole, puis un pont vers Ethereum en quelques heures via des mixers et des plateformes OTC non régulées — confirme la maturité opérationnelle de ces groupes, capables d'exécuter un blanchiment multi-chaînes quasi instantané pour compliquer le traçage on-chain.

La communauté Solana a réagi en accélérant l'audit des mécanismes de gouvernance de plusieurs protocoles majeurs, tandis que la Solana Foundation a annoncé un renforcement des standards de timelock minimums recommandés pour les Security Councils. Cet incident relance également le débat réglementaire sur l'obligation de KYC renforcé pour les signataires multisig des protocoles gérant plus de 100 millions de dollars de TVL.