Drift Protocol : 270M$ volés par des hackers nord-coréens infiltrés IRL

270 millions de dollars. C'est le montant volé à Drift Protocol lors de ce qui est désormais le plus grand hack de l'écosystème Solana. Le co-fondateur de Solana, Anatoly Yakovenko, a lui-même qualifié l'attaque de "terrifiante". Il a eu raison.

Oubliez le cliché du hacker en sweat à capuche dans un sous-sol. Cette attaque a été orchestrée dans le monde réel, en chair et en os, sur une période de six mois. Le groupe derrière l'opération est fortement suspecté d'être affilié à l'État nord-coréen.

Tout a commencé fin 2025. Des intermédiaires tiers — pas des ressortissants nord-coréens, pour éviter tout red flag — se sont approchés physiquement des contributeurs Drift lors de grandes conférences crypto internationales. Ces individus avaient de vrais profils professionnels vérifiables, parlaient technique couramment, et se présentaient comme représentants d'une firme de trading quantitatif cherchant à s'intégrer au protocole.

Entre décembre 2025 et janvier 2026, cette fausse société a créé un Ecosystem Vault sur Drift et y a déposé plus d'un million de dollars de leur propre argent. Un investissement délibéré pour asseoir leur crédibilité. Cynique. Efficace.

Pendant des mois, les attaquants ont multiplié les sessions de travail avec les contributeurs Drift, les ont rencontrés face-à-face à plusieurs conférences en février et mars 2026. Ils ont construit une relation de confiance réelle, solide, méthodique.

En avril, le piège se referme. Les attaquants partagent des liens vers des projets qu'ils prétendent développer. Un contributeur clone un dépôt de code fourni par le groupe — ce dépôt contenait très probablement une vulnérabilité connue ciblant les éditeurs VSCode et Cursor. Un second contributeur est convaincu de télécharger une fausse application TestFlight.

Les malwares font leur travail. 270 millions de dollars s'évaporent. Drift coupe tous les dépôts et retraits en urgence, précisant explicitement que ce n'est pas un poisson d'avril. Le protocole n'avait pas le choix.

Dernière touche de professionnalisme macabre : les attaquants ont effacé l'intégralité de leurs conversations Telegram et supprimé tous les logiciels malveillants après l'exploit réussi. Aucune trace. Opération chirurgicale.

Ce que ça change : Les audits de smart contracts ne suffisent plus. La prochaine grande surface d'attaque du secteur crypto, c'est l'humain. Les équipes DeFi doivent traiter chaque nouvelle relation business comme une menace potentielle de niveau étatique — parce que c'est exactement ce que c'était.