Le hacker de Drift envoie 25 700 ETH dans Tornado Cash en deux heures

Un portefeuille Ethereum étiqueté « Drift Exploiter 4 » par Arkham Intelligence a déposé 25 700 ETH (environ 61,56 M$) dans Tornado Cash en moins de deux heures le mardi 20 octobre 2026, par lots de 100 ETH (~237 800 $) entrecoupés de petits transferts de 10 ETH, selon les données on-chain reprises par Decrypt le 20 octobre et agrégées sur une fenêtre de 48 heures par The Coin Tribune. L'adresse appartient au bundle de 71 portefeuilles suivi par Arkham depuis l'exploit de Drift Protocol sur Solana le 1er avril 2026.

Ce qui s'est passé

Après trois mois de silence, le ou les attaquants qui ont vidé les coffres de Drift sur Solana ont rouvert leur canal de sortie :

• 23–24 juillet 2026 : première vague documentée. L'adresse « Drift Exploiter 4 » envoie environ 23 095 ETH (~44,4 M$ à l'époque) vers Tornado Cash.
• 20 octobre 2026 : nouvelle vague de 25 700 ETH (~61,56 M$) sur ~2 heures. Les dépôts arrivent par lots de 100 ETH, un schéma compatible avec un script automatisé plutôt qu'avec une saisie manuelle.
• Cumul des deux vagues : environ 48 795 ETH, soit un peu plus de 100 M$ aux prix respectifs. Cointribune, qui agrège la fenêtre du 20 au 21 octobre, chiffre la série récente à 122,3 M$ sur plus de 520 transactions, un total qui excède la seule vague documentée par Decrypt.

Le solde encore détenu par la grappe d'adresses atteint 81 454 ETH selon la page d'entité d'Arkham, soit environ 198,6 M$ aux cours de la semaine. Les fonds initialement volés étaient en JLP, USDC, SOL et autres actifs Solana ; l'attaquant les a convertis en ETH avant de les ponter vers Ethereum, où se trouve l'instance active de Tornado Cash.

Le hack d'origine, en un coup d'œil

• Date : 1er avril 2026.
• Cible : les coffres (vaults) de Drift Protocol, un perp DEX majeur sur Solana.
• Perte : environ 295,7 M$ selon la ventilation publiée par Drift, dont 159,3 M$ de JLP (Jupiter LP). D'autres relevés affichent 285 M$.
• Attribution : Decrypt rapporte, en citant Mandiant, un lien avec un acteur étatique nord-coréen (groupes Lazarus-adjacents). L'OFAC n'a pas publié de désignation formelle.
• Vecteur : prise de contrôle d'un rôle administrateur, injection d'un token factice, puis emprunt des actifs réels contre ce token.
• Récupération : le DFX Recovery Pool de Drift détenait ~3,1 M$ en USDT à l'ouverture des réclamations le 1er octobre 2026, soit un remboursement d'environ un centime par dollar perdu pour les réclamants les plus matinaux.

Les chiffres

- Vague Tornado Cash du 20 oct. : 25 700 ETH (~61,56 M$)
- Durée de la vague             : ~2 h, lots de 100 ETH + lots de 10 ETH
- Vague précédente (23–24 juil.): 23 095 ETH (~44,4 M$ à l'époque)
- Cumul vérifiable (Decrypt)    : ~48 795 ETH, >100 M$
- Agrégat Cointribune 20–21 oct.: 122,3 M$ sur 520+ transactions
- Solde entité Arkham           : ~81 454 ETH (~198,6 M$)
- Grappe d'adresses suivie       : 71 portefeuilles
- Exploit d'origine (Drift)      : ~295,7 M$, Solana, 1er avril 2026

Pourquoi Tornado Cash, et pourquoi maintenant

Tornado Cash reste, trois ans après son inscription OFAC, le mélangeur le plus liquide pour l'ETH volé. L'inscription frappe l'entité et ses développeurs ; les contrats on-chain, eux, tournent en continu. Un attaquant qui a attendu six mois après l'exploit évite les gros flux immédiats que les sociétés de surveillance et les ponts filtrent ; les lots de 100 ETH limitent la taille de signalement par retrait.

Le délai de six mois est aussi une fenêtre de dilution : après plusieurs mois sans activité, le lien statistique entre un dépôt entrant et un retrait sortant s'affaiblit, puisque le pool se vide et se remplit entre-temps. Les acquéreurs institutionnels de monnaie « lavée » le savent et paient en conséquence.

Ce qu'il faut surveiller

1. La suite des dépôts. Si le rythme du 20 octobre tient sur la semaine, 50 à 60 % du solde restant (81 454 ETH) peut passer par Tornado Cash avant la fin du mois.
2. Les retraits. L'autre côté du mélangeur. Les plateformes centralisées filtrent déjà les sorties Tornado Cash directes ; les routes passant par Thorchain et par Rails décentralisés deviennent les points d'étranglement intéressants.
3. Les désignations OFAC. Une désignation d'adresses post-exploit par le Trésor américain (comme pour les hacks nord-coréens de Ronin et de WazirX) rendrait certains flux de sortie illégaux à toucher. Aucun avis n'a été publié au 23 octobre.
4. Les traces Arkham. La page d'entité « Drift Exploiter » reste la source la plus actualisée. Les commentateurs on-chain (ZachXBT, SlowMist, Peckshield) relaient les événements majeurs sur X.

Contexte — ligne continue des grands vols Solana

Drift est le plus gros vol d'un protocole Solana en 2026, devant Jito-Allbridge (~26 M$) et Kamino-Allbridge (~1,65 M$). Le passage par un pont Solana → Ethereum puis par Tornado Cash est devenu le chemin standard de blanchiment pour les hacks à huit chiffres sur Solana : la liquidité ETH est plus profonde, le mélangeur est actif, et les ponts eux-mêmes offrent une couche de délai supplémentaire. Les équipes de sécurité Solana ont, cette année, concentré leurs audits sur les coffres multi-signataires et les rôles d'administrateur — la ligne de défense faible dans Drift, Jito-Allbridge et SecondFi/Yoroi sur Cardano. Les ponts et les coffres restent la surface d'attaque la plus rentable pour les acteurs étatiques.

Sources :

• Decrypt — Wallet Linked to Drift Exploit Sends $61 Million in Ethereum to Tornado Cash (primaire on-chain via Arkham, 20 octobre 2026).
• The Coin Tribune — Le hacker de Drift Protocol blanchit 122 millions $ via Tornado Cash (agrégat 20–21 octobre, cite Arkham et CZ sur X).
• Arkham Intelligence — page d'entité « Drift Exploiter » (grappe des 71 adresses, mise à jour continue).