Les pirates nord-coréens sont probablement à l'origine d'un exploit du Drift Protocol de 286 millions de dollars : Elliptic

Elliptic a déclaré jeudi que l’exploit du Drift Protocol, d’une valeur de 285 millions de dollars, le plus important cette année, comporte « plusieurs indicateurs » de l’implication d’un groupe de pirates informatiques parrainé par l’État de la RPDC de la Corée du Nord.

La société de recherche a spécifiquement souligné le comportement en chaîne, les méthodologies de blanchiment et les signaux au niveau du réseau, qui correspondent tous aux précédentes attaques liées à l’État.

Drift Protocol, dont le jeton a chuté de plus de 40 % à environ 0,06 $ depuis le piratage, est la plus grande bourse à terme perpétuelle décentralisée sur la blockchain Solana.

"S'il est confirmé, cet incident représenterait le dix-huitième acte qu'Elliptic a suivi cette année en RPDC, avec plus de 300 millions de dollars volés jusqu'à présent", indique le rapport.

"Il s'agit d'une continuation de la campagne soutenue de vol de crypto-actifs à grande échelle menée par la RPDC, que le gouvernement américain a liée au financement de ses programmes d'armement. Les acteurs liés à la RPDC seraient responsables de milliards de dollars de vols de crypto-actifs au cours des dernières années", a ajouté Elliptic.

Quelques heures plus tôt, les données d'Arkham montraient que plus de 250 millions de dollars avaient été transférés de Drift vers un portefeuille provisoire, puis vers diverses autres adresses.

En décembre, un rapport de Chainalysis a révélé que les pirates informatiques de la RPDC ont volé un montant record de 2 milliards de dollars de crypto en 2025, y compris la violation de Bybit de 1,4 milliard de dollars, ce qui représente une augmentation de 51 % par rapport à l'année précédente. Le département du Trésor américain a déclaré le mois dernier que la Corée du Nord utilisait les avoirs volés pour financer son programme d’armes de destruction massive.

Plutôt que de se concentrer sur l’exploit lui-même, l’analyse d’Elliptic met en évidence un modèle opérationnel familier. L’activité semble « préméditée et soigneusement organisée », avec des transactions tests précoces et des portefeuilles prépositionnés précédant l’événement principal.

Le rapport explique qu'une fois exécutés, les fonds étaient rapidement consolidés et échangés, transités entre les chaînes et convertis en actifs plus liquides, reflétant un flux de blanchiment structuré et reproductible conçu pour masquer l'origine tout en gardant le contrôle.

Un défi central, note Elliptic, est le modèle de compte de Solana. Étant donné que chaque actif est détenu dans un compte symbolique distinct, l’activité liée à un seul acteur peut apparaître fragmentée sur plusieurs adresses. Sans établir de lien entre ces éléments, les enquêteurs risquent de voir « des fragments de l’activité de l’attaquant, et non une image complète ».

C’est là que le rapport d’Elliptic met en évidence l’approche de clustering, qui relie les comptes symboliques à une seule entité, permettant d’identifier l’exposition quelle que soit l’adresse filtrée. Dans un incident impliquant plus d’une douzaine de types d’actifs, cette vue au niveau de l’entité devient essentielle.

L’affaire souligne également, ajoute Elliptic dans son rapport, à quel point le blanchiment est devenu intrinsèquement inter-chaînes. Les fonds ont été transférés de Solana vers Ethereum et au-delà, démontrant la nécessité de ce qu'Elliptic a décrit comme des « capacités holistiques de traçage inter-chaînes ».