Hack Drift : Halborn reconstitue le casse de 285 M$ en 12 minutes

Septembre 2026 restera dans les annales comme le pire mois jamais enregistré pour les vols de cryptomonnaies. Selon le décompte de la société de sécurité PeckShield, plus de 766 millions de dollars se sont évaporés en trente jours, à travers 55 incidents, soit une hausse d’environ 462 % par rapport au mois d’août. Deux noms ont porté l’essentiel du bilan : la plateforme Bitget, vidée de près de 388 millions de dollars, et le réseau Liquid, frappé pour 320 millions. Mais le modèle de ces casses géants, celui qui a défini l’année, n’a pas été écrit en septembre. Il a été écrit le 1er avril, quand le protocole Drift a perdu 285 millions de dollars sans qu’une seule ligne de code vulnérable ne soit en cause.

Pour comprendre pourquoi, il faut lire l’autopsie publiée par Halborn, le cabinet de sécurité offensive basé à Miami, dans sa série « Explained ». Le verdict tient en une phrase : les contrats intelligents de Drift ont fonctionné exactement comme ils avaient été écrits. Ce qui a lâché, ce sont les humains, les clés et le plan de gouvernance, ce « control-plane » qui décide qui peut signer quoi. Voici comment un vol préparé pendant six mois a pu se consommer en douze minutes, et ce qu’il dit de l’état réel de la sécurité crypto à l’automne 2026.

Un casse de 12 minutes, six mois de préparation

Drift est l’un des plus gros échanges décentralisés de produits dérivés sur Solana, un carnet d’ordres de perpetual futures (perps) adossé à un pool de liquidité. Le 1er avril 2026, jour de poisson d’avril, ses équipes ont vu les réserves du protocole fondre en direct. D’après la reconstitution de Chainalysis, l’attaque a démarré à 16 h 05 UTC et a emporté environ 285 millions de dollars (près de 253 millions d’euros au cours actuel), soit plus de la moitié de la valeur totale verrouillée (TVL) du protocole.

Le chiffre place l’incident au deuxième rang des plus gros vols jamais subis par un protocole de l’écosystème Solana, derrière le pont Wormhole (326 millions de dollars en février 2022). Mais la statistique la plus parlante n’est pas le montant : c’est le tempo. Le cœur du détournement, 31 retraits successifs, a duré environ douze minutes, rapporte The Cyber Express. Douze minutes d’exécution pour six mois de préparation. L’essentiel du travail des pirates n’a pas eu lieu sur la blockchain, mais en amont, dans des salons de conférence et des messageries privées.

Halborn, le légiste des hacks crypto

Halborn n’a pas audité Drift. Son rôle, ici, est celui du légiste : reconstituer la scène une fois le vol commis. Fondé en 2019 à Miami par Steven Walbroehl et Rob Behnke, autofinancé pendant près de trois ans avant une levée de 90 millions de dollars menée par Summit Partners en 2022, le cabinet s’est bâti une réputation sur la sécurité offensive (red teaming, tests d’intrusion) plus que sur le seul audit de code. Depuis l’arrivée de Jacques Boschung à sa direction générale en 2024, il pousse aussi vers les banques et les actifs tokenisés. Ses clients affichés incluent Coinbase, Polygon et la Solana Foundation.

La série « Explained » est devenue sa carte de visite publique : à chaque incident majeur, Halborn publie une dissection technique en accès libre. En 2026, ce catalogue s’est étoffé à un rythme inquiétant. Il raconte, mieux qu’un rapport annuel, où la DeFi saigne vraiment.

Un motif saute aux yeux : sur cette liste, les bugs de logique dans le code sont minoritaires. Les pertes les plus lourdes viennent de clés volées, de ponts mal configurés et de gouvernances détournées. Drift en est l’exemple le plus pur. Les billets d’origine restent consultables, comme celui sur Kelp DAO ou celui consacré à Drift.

Cette franchise d’autopsies n’est pas qu’un service public : c’est aussi un actif de réputation. Pour un cabinet dont le métier est de vendre de la prévention, démontrer qu’on sait reconstituer n’importe quelle attaque après coup est le meilleur argument commercial qui soit. Halborn adosse d’ailleurs ces analyses à une activité de réponse à incident, avec des partenariats d’investigation on-chain destinés à suivre les fonds dès les premières heures. L’ironie n’échappe à personne dans le secteur : les mêmes compétences offensives qui permettent de simuler une intrusion servent, le lendemain, à comprendre comment un vrai adversaire est passé. Le dossier Drift illustre pourquoi cette double casquette compte : sans reconstitution détaillée, l’industrie aurait retenu un énième hack Solana, au lieu d’un changement de paradigme sur la surface d’attaque.

Étape 1 : fabriquer un collatéral qui ne vaut rien

Pour siphonner les réserves de Drift, il fallait d’abord y déposer quelque chose qui ressemble à de la valeur. Les attaquants ont donc fabriqué leur propre actif. Selon Chainalysis, ils ont créé le 12 mars 2026 un jeton baptisé CarbonVote Token (CVT), émis à 750 millions d’unités dont ils contrôlaient environ 80 %. Un actif inventé de toutes pièces, sans marché ni utilité réelle.

Restait à lui donner un prix crédible. Les pirates ont organisé du wash trading (des échanges fictifs entre leurs propres adresses) dans un petit pool de liquidité Raydium, afin d’ancrer artificiellement le cours du CVT autour de 1 dollar. Ils ont ensuite branché un oracle de prix sous leur contrôle pour alimenter Drift en cotations mensongères. Le protocole, lui, a fait confiance au chiffre qu’on lui présentait. Comme l’écrit Halborn dans son analyse de l’incident, les attaquants ont trompé les oracles de Drift pour qu’ils reconnaissent le CVT comme un collatéral légitime valant 1 dollar l’unité.

C’est un cas d’école de manipulation d’oracle, la même famille d’attaque qui a fait rembobiner la chaîne Cronos après l’exploit Tectonic. La faille n’est pas dans l’arithmétique de Drift : elle est dans la décision de faire confiance à un prix venu de l’extérieur. Un audit de code peut vérifier que la fonction de dépôt calcule juste ; il ne dira rien sur la qualité de la source de prix. C’est tout l’objet du débat résumé dans notre dossier sur le risque qui n’est pas le code.

Étape 2 : le nonce durable, une signature qui ne périme pas

Sur Solana, une transaction ordinaire a une durée de vie très courte. Elle doit référencer un « blockhash » récent et devient invalide au bout d’environ quatre-vingt-dix secondes si elle n’est pas confirmée. Cette péremption est une protection : une signature ne peut pas traîner indéfiniment avant d’être rejouée. Le nonce durable (durable nonce) contourne volontairement ce garde-fou. Il remplace le blockhash par la valeur d’un « compte de nonce » dédié, si bien qu’une transaction pré-signée reste valable de façon quasi illimitée, jusqu’à ce que ce compte soit avancé.

La fonction existe pour de bonnes raisons : signer hors ligne depuis un portefeuille matériel, préparer des opérations de trésorerie complexes, orchestrer des transactions à plusieurs signataires qui ne sont pas tous disponibles en même temps. Les attaquants l’ont retournée. Entre le 23 et le 30 mars, ils ont créé des comptes de nonce durable et obtenu, par ingénierie sociale, que des membres du Conseil de sécurité de Drift signent à l’avance des transactions dont ils ne mesuraient pas le véritable effet. Halborn résume le mécanisme : les comptes de nonce durable permettent des transactions « signées à l’avance et exécutées plus tard ». En clair, du blind signing (une signature à l’aveugle) transformée en bombe à retardement. The Hacker News décrit la même chaîne : des approbations pré-signées, dormantes, puis déclenchées le jour J.

Pourquoi ce mécanisme est-il si redoutable ? Parce qu’il vide de son sens la protection même du multisig. En temps normal, une signature multiple offre une fenêtre de contestation : plusieurs personnes examinent une transaction avant qu’elle ne parte. Avec des approbations obtenues à l’avance, sous un faux prétexte, l’intention malveillante est scellée bien avant l’exécution. Le jour J, il n’y a plus rien à examiner : tout paraît déjà autorisé, et la transaction dormante n’attend qu’un signal pour s’activer. Le nonce durable transforme ainsi une erreur de jugement passée, une signature accordée à un faux partenaire en mars, en ordre d’exécution irrévocable en avril. C’est la rencontre de deux faiblesses, l’une technique, l’autre humaine, qui rend l’attaque si difficile à arrêter une fois lancée.

Étape 3 : un Conseil de sécurité désarmé

Le Conseil de sécurité de Drift est le portefeuille multisignature qui détient les pouvoirs d’administration du protocole : ajouter un collatéral, relever des plafonds de retrait, transférer les clés. C’est le dernier rempart. Or, d’après Chainalysis, Drift a migré ce conseil le 26 mars vers un schéma 2 sur 5 avec un timelock à zéro. Autrement dit, deux signatures suffisaient désormais, et plus aucun délai ne séparait l’approbation d’une décision de son exécution.

Ce détail a tout changé. Le 1er avril, une première transaction pré-signée a proposé le transfert des clés d’administration à 16 h 05 min 18 s ; une seconde l’a approuvée à 16 h 05 min 19 s, une seconde plus tard. Aucun humain ne pouvait réagir dans cet intervalle. Avec un timelock de quelques heures, la proposition serait restée visible en attente, le temps que l’équipe la repère et la rejette. Supprimer ce délai, surtout juste avant une migration sensible, revient à retirer les freins d’une voiture au moment de prendre l’autoroute. Le partage des clés est un art fragile, comme l’a montré le débat multisig contre MPC après le vol de Bitget : ajouter des signataires ne sert à rien si l’on démonte au passage les protections de temps.

Chronologie d’un détournement

Remis bout à bout, les faits dessinent une opération patiente, où chaque pièce a été posée des semaines à l’avance pour que l’exécution finale ne prenne que quelques minutes.

Le contraste est saisissant : l’arithmétique du vol, ces douze minutes de retraits, est presque banale. Chainalysis précise la composition du butin : environ 71,4 millions de dollars en USDC, 159,3 millions en jetons JLP (le token du pool de liquidité de Jupiter) et 11,3 millions en cbBTC, le reste réparti sur une quinzaine d’autres actifs. Le vrai travail, lui, s’est joué pendant les six mois précédents, loin de toute blockchain.

Six mois à la table des victimes

Depuis l’automne 2025, les attaquants se sont présentés comme une société de trading quantitatif désireuse de travailler avec Drift. Ils ont abordé des contributeurs lors de conférences, déposé plus d’un million de dollars de fonds réels pour ressembler à de vrais clients, participé à des discussions de stratégie sur Telegram et en personne. Mois après mois, ils sont devenus des interlocuteurs de confiance, presque des collègues. Quand est venu le moment de demander une signature, la demande n’avait rien d’alarmant : elle venait d’un partenaire connu.

Pour Ari Redbord, responsable mondial des politiques publiques chez TRM Labs, ce niveau d’infiltration marque une rupture. « Des intermédiaires nord-coréens assis à la même table que des employés de protocole pendant des mois : à ma connaissance, c’est du jamais-vu », déclarait-il à CoinDesk, ajoutant que « ce n’est plus seulement une opération menée au clavier, à distance ». L’attaquant ne cherche plus la faille dans le contrat : il cherche la personne qui détient la clé.

Cette couche humaine est devenue le principal champ de bataille, et l’intelligence artificielle l’élargit encore. Steven Walbroehl, cofondateur et directeur technique de Halborn, prévient que « l’ingénierie sociale dopée à l’IA jouera un rôle majeur dans le manuel des pirates crypto », avec des attaques « hautement personnalisées et contextuelles, capables de déjouer les formations classiques de sensibilisation à la sécurité » (propos recueillis par Cointelegraph). Le phishing n’est plus un courriel maladroit ; c’est une relation construite sur mesure, parfois pendant des mois, comme le montre notre enquête sur l’usine à wallet drainers.

Le mode opératoire dépasse largement Drift. Depuis 2024, les autorités américaines et plusieurs cabinets d’enquête alertent sur une vague d’infiltrations nord-coréennes où des opérateurs se font embaucher comme développeurs, prestataires ou partenaires commerciaux, parfois avec de faux papiers et des sociétés-écrans crédibles. L’objectif n’est plus seulement de voler une clé à distance, mais de devenir, aux yeux de la cible, un collègue de confiance. Dans ce cadre, une demande de signature ne déclenche aucune alarme, puisqu’elle émane d’un interlocuteur légitime de longue date. Pour les protocoles, la conséquence est dérangeante : le contrôle d’accès ne suffit plus si l’adversaire finit par obtenir, en règle, les accès eux-mêmes. La défense se déplace vers la vérification d’identité, la séparation des pouvoirs et la méfiance structurelle, y compris envers ses propres partenaires.

« Le code a fonctionné exactement comme écrit »

C’est la leçon la plus inconfortable du dossier Drift. Le protocole avait été audité. Et pourtant aucun audit de smart contract ne signale qu’un contributeur se fera manipuler pendant six mois, qu’un conseil supprimera son propre timelock quelques jours avant une migration, ou qu’une équipe fera confiance à un oracle piloté par l’attaquant. Ces décisions se situent en dehors du périmètre d’un audit, qui examine le code tel qu’il existe le jour où il est relu, pas les humains qui l’administreront ni l’infrastructure qui l’entourera.

Ronghui Gu, cofondateur de CertiK, le formule sans détour : « Un protocole peut réussir un audit de code impeccable et perdre malgré tout des millions à cause d’une clé d’administration compromise », expliquait-il à Forbes. La formule n’est pas une pirouette rhétorique : elle décrit précisément ce qui est arrivé à Drift.

Il faut insister sur une nuance que beaucoup d’utilisateurs ignorent : un audit est une photographie, pas une assurance permanente. Il porte sur une version précise du code, à une date précise. Or les changements qui ont rendu Drift vulnérable, le passage du Conseil à un 2 sur 5, la suppression du timelock, l’ajout d’un collatéral exotique, sont intervenus après coup, en pleine exploitation, bien après toute relecture. Aucun auditeur ne les a vus, par construction. Ronghui Gu le résume par une autre formule : la fenêtre de danger ne se referme pas au lancement. Un protocole audité une fois, puis modifié des dizaines de fois en production, n’offre plus la garantie que son badge laisse croire. C’est pourquoi la surveillance continue et la discipline de gouvernance comptent autant que l’audit initial.

Les chiffres de l’année donnent raison à ce diagnostic. Dans son bilan du premier semestre 2026, TRM Labs a recensé 207 incidents, un record, pour 972 millions de dollars de pertes. La ventilation est éloquente : les compromissions d’infrastructure et d’opérations ne représentaient qu’environ 15 % des incidents mais près de 76 % de la valeur volée, tandis que 125 des 207 cas étaient des exploits de smart contracts, nombreux mais peu coûteux. Autrement dit, l’audit couvre le vecteur le plus fréquent, pas le plus cher. CertiK aboutit à la même conclusion pour la catégorie la plus onéreuse de 2026 : la compromission de portefeuilles et de clés, loin devant les bugs de code.

Suivre l’argent : ponts, mixers et attribution

Une fois les clés d’administration en main, les voleurs ont agi vite. Environ vingt-trois minutes après la prise de contrôle, les premiers fonds partaient vers Ethereum, convertis en actifs liquides comme l’USDC, selon Chainalysis. Le schéma est désormais familier : fragmenter, ponter d’une chaîne à l’autre, faire passer les sommes par des services de mixage pour brouiller la piste. Les ponts cross-chain sont à la fois le point de passage obligé et la porte de sortie rêvée des attaquants, un paradoxe que nous avons détaillé dans notre dossier sur la sécurité des ponts.

Sur l’identité des coupables, la convergence est forte sans être encore officielle. La société d’analyse Elliptic a relevé de solides indices on-chain reliant le détournement de Drift à la Corée du Nord, sur la base du comportement de l’attaque et des méthodes de blanchiment, rapporte Security Affairs. La signature correspond aux opérations précédentes du groupe Lazarus. L’attribution formelle, elle, reste prudente, comme souvent dans les premières semaines d’une enquête.

Récupérer l’argent, ensuite, relève de l’exception. Tout se joue dans les toutes premières minutes, quand les fonds transitent encore par des points de contrôle : un échange centralisé peut geler un dépôt, un émetteur de stablecoin peut mettre une adresse sur liste noire et neutraliser les jetons concernés. Passé ce délai, et une fois les sommes fragmentées à travers ponts et mixeurs, la trace se dilue. Les groupes liés à la Corée du Nord sont précisément redoutables parce qu’ils sont méthodiques et patients : ils savent attendre, segmenter et blanchir sur des mois. Le réseau Liquid, qui a récupéré l’essentiel de ses 320 millions en septembre, fait figure d’exception heureuse ; pour Drift, comme pour la plupart des vols attribués à Pyongyang, l’argent ne revient pas.

Corée du Nord : 76 % du butin 2026 en deux attaques

Drift n’est pas un accident isolé, c’est la moitié d’un doublé. Selon TRM Labs, deux attaques d’avril, Drift (285 millions de dollars) et Kelp DAO (292 millions), totalisaient à elles seules 577 millions, soit environ 76 % de toute la valeur dérobée dans la crypto en 2026 à cette date. Deux opérations, attribuées au même adversaire, ont pesé plus lourd que la somme de toutes les autres.

Le contexte confirme la tendance. En 2025 déjà, Chainalysis avait chiffré à 3,4 milliards de dollars le total volé, dont 2,02 milliards attribués à la Corée du Nord et 1,5 milliard pour le seul casse de Bybit. Et le vol de Bitget, en septembre 2026, a fait passer le butin nord-coréen de l’année au-delà du milliard de dollars, selon Bloomberg. Le classement des plus gros vols de l’année se lit comme une liste de courses pour un programme d’armement.

Septembre 2026, le pire mois jamais vu

Si Drift a écrit le modèle en avril, septembre en a montré la version à grande échelle. Le mois a cumulé environ 766 millions de dollars de pertes, un record absolu, à travers 55 incidents, selon le décompte relayé par The Crypto Times à partir des données de CertiK et PeckShield, soit un bond d’environ 462 % sur un mois. Le détail confirme la thèse de Drift plus qu’il ne l’infirme.

Le vol de Bitget, le 24 septembre, est devenu le plus gros de l’année : jusqu’à 387,5 millions de dollars sont parvenus aux adresses de l’attaquant, qui a exploité une faille d’un produit de sécurité tiers permettant de faire passer des transactions falsifiées, touchant les portefeuilles chauds et tièdes de la plateforme sur Ethereum, le XRP Ledger, Zcash et Tron, rapporte BeInCrypto. Là encore, pas un bug de contrat : une chaîne de signature détournée. Le réseau Liquid, sidechain Bitcoin utilisée par des échanges, a pour sa part perdu environ 320 millions de dollars, avec une fin plus heureuse puisque près de 285 millions ont été restitués après l’incident.

En prenant du recul, le troisième trimestre 2026 à lui seul a vu disparaître environ 1,26 milliard de dollars, d’après CertiK. Le fil rouge entre Bitget et Drift tient en une phrase : qui contrôle la signature contrôle l’argent. Les attaquants l’ont compris avant beaucoup de défenseurs.

Audit, MiCA et AMF : qui garantit quoi

Un lecteur français est en droit de demander : qui est responsable ? En matière de sécurité des smart contracts, la réponse, au sens réglementaire, est presque personne. Aucun régulateur, ni aux États-Unis, ni dans l’Union européenne, ni en France, n’accrédite les auditeurs de smart contracts ou n’impose un audit de code. Ni MiCA ni DORA n’exigent la relecture d’un contrat en Solidity. MiCA encadre les prestataires de services sur actifs numériques (PSAN/CASP) et les émetteurs, pas les protocoles autonomes : un perp DEX pleinement décentralisé comme Drift échappe largement à son périmètre, et il n’y a donc aucun prestataire régulé vers qui se retourner.

L’article 75 de MiCA pose bien un régime de responsabilité pour les CASP (par exemple sur la conservation), et DORA impose depuis janvier 2025 une résilience informatique et une notification des incidents, mais aucun de ces textes ne restitue des fonds volés. L’AMF supervise les prestataires et, depuis la fin de la période transitoire PSAN le 1er juillet 2026, exige des acteurs non conformes une liquidation ordonnée ; mais l’AMF ne récupère pas vos cryptos. Le contraste avec l’audit traditionnel est brutal : en France, les commissaires aux comptes engagent une véritable responsabilité civile et pénale et sont supervisés, depuis le 1er janvier 2024, par la Haute Autorité de l’audit (H2A). Rien d’équivalent n’existe pour qui appose le label « audité » sur un contrat. La réputation reste le seul tribunal, et il siège rarement.

Éviter le prochain Drift

La bonne nouvelle, c’est que les parades sont connues, peu coûteuses et souvent ennuyeuses. Conserver un timelock sur toutes les actions d’administration : un délai de vingt-quatre à quarante-huit heures aurait exposé la proposition malveillante au grand jour, et ne jamais le supprimer sous la pression d’une échéance. Imposer le clear signing (une signature lisible, qui montre l’effet réel de la transaction) plutôt que le blind signing sur les portefeuilles matériels du conseil. Encadrer les oracles : refuser un collatéral dont le prix repose sur un pool minuscule, préférer des moyennes pondérées dans le temps (TWAP) et des seuils de liquidité.

Surtout, traiter la couche humaine comme une surface d’attaque à part entière : red teaming, simulations de phishing, principe du « supposer la compromission » (assume breach), et contrats de réponse à incident qui achètent les premières minutes, décisives pour geler des fonds. C’est précisément l’argument de vente d’un cabinet offensif comme Halborn. La sécurité n’est pas un badge obtenu une fois pour toutes ; c’est un processus qui ne s’arrête pas au déploiement.

Ces mesures ont un coût, mais il faut le comparer au bon étalon. Un programme de sécurité sérieux, surveillance on-chain en continu, détection d’anomalies sur les mouvements d’administration, exercices offensifs réguliers, se chiffre en centaines de milliers d’euros par an pour un protocole de taille moyenne. La perte de Drift, elle, se compte en centaines de millions. L’arbitrage économique est écrasant, et pourtant la tentation de rogner sur la gouvernance pour livrer plus vite reste forte, comme l’a montré la suppression du timelock à la veille d’une migration. La leçon de 2026 n’est pas qu’il faut auditer davantage de code ; c’est qu’il faut surveiller en permanence qui détient les clés, et ne jamais désactiver un garde-fou pour gagner quelques heures.

Drift a aussi rappelé qu’une chute ne reste jamais isolée. Branché au cœur de la DeFi sur Solana, le protocole a, par effet de composabilité, perturbé plus d’une vingtaine d’autres applications, l’exposition aux jetons JLP propageant le choc. Quand on se tient d’un côté d’un pari à effet de levier, on hérite aussi du risque de la plateforme elle-même, un angle que nous développons dans notre analyse du positionnement sur les dérivés. L’hypothèse la plus prudente pour la suite de 2026 est simple : la prochaine perte à neuf chiffres ne viendra pas d’une ligne de code, mais d’une personne, d’une clé, ou d’un garde-fou que quelqu’un aura désactivé pour aller plus vite.

Foire aux questions

Qu’est-ce que le hack de Drift Protocol ?

Le 1er avril 2026, le protocole de dérivés Drift, sur Solana, a été vidé d’environ 285 millions de dollars (près de 253 millions d’euros) en une douzaine de minutes. C’est le deuxième plus gros vol subi par un protocole Solana, derrière Wormhole. L’attaque n’a pas exploité un bug de code mais une combinaison d’ingénierie sociale, de clés de gouvernance et d’un faux collatéral.

Comment les pirates ont-ils volé 285 millions de dollars à Drift ?

Ils ont créé un jeton sans valeur (CVT), gonflé son prix par wash trading et un oracle piloté pour le faire passer pour un collatéral à 1 dollar, obtenu par ingénierie sociale des signatures pré-enregistrées via le nonce durable de Solana, puis profité d’un Conseil de sécurité passé en 2 sur 5 sans timelock pour transférer les clés d’administration et vider les réserves.

Qui est derrière le hack de Drift ?

Les analyses on-chain, notamment celles d’Elliptic et de TRM Labs, relient fortement l’attaque à la Corée du Nord (groupe Lazarus), sur la base des méthodes de blanchiment. Avec le hack de Kelp DAO le même mois, les deux opérations ont représenté environ 76 % de toute la valeur volée dans la crypto en 2026. L’attribution formelle reste toutefois prudente.

Qu’est-ce qu’un nonce durable sur Solana ?

C’est une fonctionnalité de Solana qui permet de signer une transaction à l’avance et de l’exécuter bien plus tard, sans la limite habituelle d’environ quatre-vingt-dix secondes. Prévue pour la signature hors ligne et les opérations de trésorerie, elle a été détournée dans le hack de Drift pour faire signer à l’aveugle des transactions dormantes qui ont ensuite transféré le contrôle du protocole.

Un audit de smart contract aurait-il empêché le hack de Drift ?

Non. Les contrats de Drift ont fonctionné exactement comme ils avaient été écrits. Un audit examine le code, pas les humains qui l’administrent, ni la suppression d’un timelock, ni la confiance accordée à un oracle manipulé. En 2026, la majorité de la valeur volée provient justement de clés et d’infrastructures compromises, pas de bugs de code.

Par Anneke de Vries, desk sécurité de HOGE Wire.