Circle sous le feu des critiques pour avoir laissé 285M $ en USDC volés circuler librement pendant le piratage par dérive

Le 2 avril 2026, l’enquêteur on-chain ZachXBT a critiqué Circle pour ne pas avoir agi, alors que des millions de USDC volés circulaient via son protocole de transfert inter-chaînes (CCTP) pendant l’exploitation du protocole Drift, d’un montant de $285 millions, malgré le fait que l’émetteur avait gelé 16 portefeuilles professionnels jours ouvrés plus tôt dans une affaire civile scellée.

L’attaque du 1er avril contre l’échange décentralisé basé sur Solana se classe comme la plus importante exploitation DeFi de 2026. L’attaquant a volontairement évité l’USDT de Tether pendant le pontage, ce qui suggère sa confiance que Circle ne gèlerait pas les fonds.

Drift Protocol subit une exploitation de $285 millions alors que des USDC volés traversent sans entrave

Drift Protocol, une plateforme de futures perpétuels sur Solana, a subi un important vidage de coffre le 1er avril 2026. PeckShield, une société de sécurité, et Arkham Intelligence, une plateforme d’analytics blockchain, ont signalé environ $285 millions de sorties du coffre principal de Drift vers des portefeuilles contrôlés par l’attaquant. L’attaquant a déplacé les actifs volés, impliquant fortement l’USDC, à travers plusieurs portefeuilles avant de les pontier de Solana vers Ethereum en utilisant le protocole de transfert inter-chaînes (CCTP) de Circle.

Les transferts ont eu lieu pendant les heures d’activité commerciales américaines et ont continué pendant des heures sans aucune intervention de Circle. ZachXBT a déclaré que Circle était « endormie » alors que des dizaines de millions d’USDC étaient échangés via le CCTP de Solana vers Ethereum pendant le piratage à neuf chiffres. Le chercheur en sécurité Specter a noté que l’attaquant détenait l’USDC sur des portefeuilles pendant une à trois heures avant de l’échanger, et qu’il a volontairement évité de le convertir en USDT de Tether (USDT) pendant le processus de pontage, ce qui suggère qu’il pensait que Circle ne gèlerait pas les fonds — une confiance qui s’est révélée justifiée.

La politique de gel incohérente de Circle suscite des critiques d’hypocrisie

Le calendrier a intensifié la frustration. À peine quelques jours avant l’exploitation de Drift, le 23 mars 2026, Circle a gelé les soldes d’USDC de 16 portefeuilles chauds professionnels sans lien, dans le cadre d’une affaire civile américaine scellée. Cette action a perturbé les opérations des échanges, des casinos et des processeurs de paiement. ZachXBT a qualifié ce gel, auparavant, de potentiellement le plus incompétent qu’il ait vu en plus de cinq ans, en soutenant que l’analyse on-chain montrait que les portefeuilles étaient impliqués dans une activité légitime.

Circle a ensuite dégelé un portefeuille lié à Goated.com le 26 mars, mais la plupart sont restés verrouillés. Le contraste est saisissant : Circle a agi de manière agressive dans une affaire civile touchant des entreprises menant ce qui semblait être des opérations normales, mais, lors d’un vol confirmé à neuf chiffres d’un protocole DeFi avec des fonds volés qui transitaient par sa propre infrastructure de pontage, sous les yeux de tous, l’entreprise n’a pris aucune mesure.

ZachXBT a également lié ce comportement aux fonctionnalités optionnelles de confidentialité proposées par Circle pour son prochain blockchain Arc, suggérant que ces fonctionnalités pourraient réduire davantage la responsabilité en matière de conformité en limitant qui peut consulter les transactions.

Impact sur le marché et débat dans l’industrie

Du côté d’Ethereum, l’attaquant a échangé les actifs volés contre environ 129 000 ETH. La valeur totale verrouillée (TVL) de Drift s’est effondrée d’environ $550 millions à $247 millions, soit une baisse de plus de moitié, et son jeton natif DRIFT a chuté de près de 28 %. L’attaquant a probablement commencé à blanchir des fonds via des mixers ou des échanges décentralisés, ce qui rend la récupération de plus en plus improbable.

L’incident a relancé le débat sur la question de savoir si les émetteurs centralisés de stablecoins peuvent justifier leur autorité de gel lorsqu’ils l’appliquent de manière incohérente. Les émetteurs de stablecoins commercialisent leurs produits comme des couches de règlement neutres pour l’économie décentralisée, mais l’USDC et l’USDT fonctionnent tous deux sous des conditions accordant une autorité de gel unilatérale conçue pour se conformer aux demandes des forces de l’ordre et aux ordonnances de justice. Le problème n’est pas que cette autorité existe — la conformité est raisonnable et attendue — mais que son application semble dépendre davantage de la personne qui en fait la demande que de ce qui s’est réellement passé.

Pour les développeurs et les investisseurs, l’incident souligne que les émetteurs centralisés de stablecoins ne sont pas des fournisseurs d’utilité neutres. Ce sont des gardiens, dotés d’obligations juridiques, d’incitations commerciales et de schémas d’exécution qui ne s’alignent pas toujours avec les intérêts des protocoles qui en dépendent.

FAQ

De quoi ZachXBT a-t-il accusé Circle pendant le piratage de Drift ?

ZachXBT a accusé Circle de ne pas avoir agi alors que des millions d’USDC volés se déplaçaient librement via son protocole de transfert inter-chaînes (CCTP) pendant des heures lors de l’exploitation du protocole Drift de $285 millions, malgré le fait que les transferts aient eu lieu pendant les heures d’activité commerciales américaines. Il a opposé cela au gel agressif de Circle de 16 portefeuilles professionnels jours plus tôt dans une affaire civile.

Comment l’attaquant de Drift a-t-il démontré sa confiance que Circle ne gèlerait pas les fonds ?

L’attaquant détenait l’USDC sur des portefeuilles pendant une à trois heures avant de l’échanger, et a volontairement évité de convertir en USDT de Tether pendant le processus de pontage, ce qui suggère que le pirate était confiant que Circle ne gèlerait pas les fonds. Cette confiance était justifiée puisque Circle n’a pris aucune mesure.

Quel a été l’impact sur le marché du piratage de Drift ?

La valeur totale verrouillée du protocole Drift s’est effondrée d’environ $550 millions à $247 millions, soit une baisse de plus de moitié, et son jeton natif DRIFT a chuté de près de 28 %. Du côté d’Ethereum, l’attaquant a échangé les actifs volés contre environ 129 000 ETH, rendant la récupération de plus en plus improbable puisque les fonds sont blanchis.