Drift : récupérer une perte, mais pas encore son argent

Un exploit confirmé, puis un dispositif de récupération

Drift a confirmé qu'un exploit avait touché son protocole le 1er avril 2026. Dans sa mise à jour du 16 avril, l'organisation indique travailler avec les forces de l'ordre et des sociétés spécialisées en analyse de blockchain. Elle évoque environ 295 millions de dollars de pertes utilisateurs encore à couvrir. C'est cette somme qui sert de référence au mécanisme présenté depuis.

La plateforme ne décrit pas publiquement, dans les documents que nous avons consultés, le chemin technique exact ayant permis l'exploit. En revanche, elle affirme avoir reconstruit son dispositif de sécurité avant sa relance : audits indépendants, appareils dédiés pour les signataires, contrôle des transactions hors de l'interface principale, délais techniques sur les opérations sensibles et alertes en temps réel. Ces mesures décrivent la réponse annoncée, pas une preuve indépendante de ce qui s'est produit le jour de l'attaque.

Le DFX n'est pas un remboursement fixe

Depuis le 1er octobre, les portefeuilles dont la perte a été vérifiée peuvent réclamer des DFX. Drift explique qu'un DFX correspond à un USDT de perte reconnue dans son relevé, avec une offre totale fixée à 299 500 810,998 DFX. Ce jeton est distinct du jeton de gouvernance DRIFT et peut être transféré ou échangé sur le marché secondaire.

Mais un DFX ne vaut pas automatiquement un USDT. Son montant de rachat dépend d'une formule simple : le solde du fonds de récupération, divisé par le nombre de DFX encore en circulation. Une personne ayant perdu l'équivalent de mille USDT reçoit donc mille DFX, mais ce qu'elle peut obtenir immédiatement dépend du contenu réel du fonds au moment où elle les brûle.

Pourquoi le chiffre d'un centime a circulé

La page officielle de Drift indiquait, lors de l'ouverture, un fonds d'environ 3,1 millions d'USDT pour près de 299,5 millions de DFX émis. Le média Bitcoin News a calculé un rachat initial proche de 0,0104 USDT par DFX, soit environ un centime par dollar de perte vérifiée. Ce n'est donc pas le montant annoncé comme remboursement final : c'est le rapport entre le fonds alors disponible et les créances encore représentées par les jetons.

Drift prévoit plusieurs sources futures : une part quotidienne des revenus nets de son protocole Velocity, des fonds récupérés, jusqu'à 127,5 millions d'USDT que Tether s'est engagé à soutenir, ainsi que jusqu'à 20 millions de partenaires stratégiques. Le mot important est engagement. Un engagement, un revenu futur ou un actif que l'enquête pourrait récupérer ne sont pas la même chose qu'un montant déjà présent dans le fonds.

Réclamer, vendre ou attendre : trois choix différents

Le portail officiel propose trois possibilités après la réclamation. Le détenteur peut échanger ses DFX contre le montant de rachat affiché, les vendre à un autre acheteur, ou les conserver. Un rachat brûle les DFX utilisés et il est définitif. Conserver les jetons laisse le titulaire exposé à l'évolution du fonds, sans lui promettre un montant ni une date de remboursement complet.

Pour réclamer les DFX, Drift demande d'utiliser le portefeuille qui détenait le compte au 1er avril, de disposer d'un peu de SOL pour les frais de réseau et de vérifier le montant affiché avant d'approuver la transaction. La date limite annoncée est le 1er janvier 2028 à 00 h UTC. Les DFX non réclamés seraient alors brûlés. Il ne faut pas confondre ce dispositif avec le fonds d'assurance : Drift dit que les dépôts de ce dernier n'ont pas été affectés par l'incident et relèvent d'une procédure séparée.

Le réflexe : ne jamais suivre un lien reçu

Un mécanisme de récupération après un piratage est une cible idéale pour les escrocs. Ils peuvent envoyer un faux message de remboursement, proposer d'« accélérer » une réclamation ou demander une phrase de récupération de portefeuille. Aucune compensation légitime ne justifie de communiquer cette phrase, une clé privée ou de signer une transaction que vous ne comprenez pas.

Si vous étiez utilisateur de Drift, ouvrez vous-même le domaine officiel drift.trade ou dfx.drift.trade, puis contrôlez l'adresse affichée par votre navigateur. N'utilisez ni un lien reçu sur les réseaux sociaux, ni une publicité de moteur de recherche, ni un message privé. Avant toute signature, lisez ce que votre portefeuille vous demande réellement d'autoriser.

Ce que nous ne pouvons pas vérifier

Nous n'avons pas pu vérifier de manière indépendante le montant actuellement présent dans le fonds. La mise à jour officielle parle d'environ 3,1 millions d'USDT, mais le tableau de bord consulté affichait des compteurs à zéro. Cette différence peut venir d'un problème d'affichage, d'un délai de mise à jour ou d'un changement de situation, sans que les documents lus permettent de trancher.

Nous ne pouvons pas non plus confirmer le mécanisme technique complet de l'exploit, l'identité des auteurs, le montant qui sera effectivement versé à Tether ou aux autres partenaires, ni la somme qui sera un jour récupérée auprès des attaquants. Drift précise elle-même que les exemples présentés ne constituent ni une projection ni une promesse.

Sources : Drift ↗ · Drift ↗ · Bitcoin News ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.