LE Protocole de dériveun échange décentralisé de crypto-monnaie, a subi un Attaque à 280 millions de dollars mercredi dernier (1er). L’équipe a publié ce week-end une note contenant plus d’informations sur l’affaire.
Les développeurs affirment que l'attaque a été menée par Des hackers nord-coréens du groupe AppleJeuségalement connu sous le nom Grésil citrinequi a personnellement infiltré les conférences pendant six mois pour gagner la confiance de l'équipe.
Dans le monde de la sécurité, c'est ce qu'on appelle un attaque d'ingénierie socialeoù le maillon faible exploité n’est pas la technologie, mais l’humain.
🟠Recevez des conseils Bitcoin des plus grands experts du marché.
Drift révèle les détails d'une perte de 280 millions de dollars
Des pirates auraient approché l’équipe en octobre 2025 par un groupe d’individus lors d’une grande conférence sur les cryptomonnaies. Ils prétendaient appartenir à une société de commerce quantitatif. Plus tard, les développeurs ont été approchés en personne lors de plusieurs autres événements par les mêmes personnes.
«Ils avaient des compétences techniques, des antécédents professionnels vérifiables et connaissaient le fonctionnement de Drift.»
« Un groupe Telegram a été créé après la première réunion, et ce qui a suivi ont été des mois de conversations approfondies sur les stratégies de trading et les intégrations possibles dans les coffres-forts. Ces interactions sont typiques de la façon dont les sociétés de trading interagissent et s'intègrent sur Drift. »a expliqué l'équipe.
Le texte souligne toutefois que ces individus n’étaient pas des citoyens nord-coréens, ce qui rend toute suspicion difficile.
« Les agents de la RPDC opérant à ce niveau sont connus pour faire appel à des intermédiaires tiers pour établir des relations en face à face. »a détaillé l’équipe.
En plus de cette interaction, les pirates ont également déposé plus d'un million de dollars américains en capitaux propres pour l'intégration d'un coffre-fort.
Après des mois de conversations en ligne et en personne, les développeurs de Drift affirment que il ne s’agissait « pas d’étrangers », mais plutôt de « personnes avec lesquelles les collaborateurs de Drift avaient déjà travaillé et rencontré en personne »..
https://t.co/qYBMCup9i6
– Dérive (@DriftProtocol) 5 avril 2026
Les discussions et autres traces ont été effacées
À la recherche d'indices permettant de relier l'attaque à ce groupe, les développeurs de Drift ont déclaré que les discussions sur Telegram, ainsi que les logiciels, avaient été complètement supprimées après la perte.
Concernant l'attaque, le protocole nécessitait une signature avec 2 clés sur 6 pour approuver une transaction.
Le premier développeur aurait été compromis après cloner un dépôt de hackers et le deuxième à télécharger une application via TestFlightprésentés sous forme de portfolio.
« Dans le cas du vecteur basé sur un référentiel, une possibilité est une vulnérabilité connue dans VSCode et Cursor, qui a été largement signalée par la communauté de la sécurité entre décembre 2025 et février 2026. »» a expliqué l'équipe Drift.
« Tout ce que vous aviez à faire était d'ouvrir un fichier, un dossier ou un référentiel dans l'éditeur et le code arbitraire s'exécuterait silencieusement, sans invites de l'utilisateur, clics, boîtes de dialogue d'autorisation ou alertes d'aucune sorte. »
Les pirates nord-coréens attirent l'attention des experts en sécurité
Dans le texte, les développeurs affirment que les hackers nord-coréens du groupe PommeJeus/Citrine Sleetune branche du groupe Lazareétaient les mêmes personnes qui ont volé plus de 50 millions de dollars à Radiant Capital, un autre protocole DeFi, en octobre 2024.
Avant cela, ces hackers aussi a volé 1,5 milliard de dollars à Bybit en 2025 et 625 millions de dollars du réseau Ronin en 2022, parmi plusieurs autres attaques plus petites.
Un rapport publié par Google en 2025 révèle que le le groupe se répand à travers le mondeciblant non seulement les sociétés de crypto-monnaie, mais également les sociétés d’autres secteurs, y compris le gouvernement.
Bien que les méthodes soient différentes, la stratégie appliquée est toujours la même : exploiter les personnes comme première vulnérabilité.
Voir l’article original en portugais
