Wallets, die mit dem Exploit vom 1. April gegen die auf Solana basierende dezentrale Börse Drift Protocol in Verbindung stehen, haben 25.700 ETH – im Wert von etwa 61,56 Millionen Dollar – innerhalb von rund zwei Stunden am Dienstag in den Krypto-Mixer Tornado Cash überwiesen, wie Daten der Blockchain-Analyseplattform Arkham Intelligence zeigen. Die Welle von Einzahlungen beendete eine ruhige Phase von etwa zwei Monaten für die mit dem Angreifer verbundenen Adressen.

Arkams Transaktionsdaten zeigen, dass das Ethereum in Batches von 100 ETH im Wert von jeweils etwa 237.800 Dollar sowie in kleineren Tranchen von 10 ETH einging. Diese Einzahlungsgrößen entsprechen den festen Nennwert-Pools des Mixers, die es Nutzern ermöglichen, Mittel später von neuen Adressen abzuheben und die öffentlich sichtbare Verbindung zwischen Absender und Empfänger zu durchbrechen. Der Mixer steht seit August 2022 unter Sanktionen des US-Finanzministeriums wegen seiner Nutzung zur Wäsche von Erlösen aus Krypto-Hacks, doch die Einzahlungen am Dienstag zeigen, dass seine Pools weiterhin aktiv genutzt werden.

Arkams Entity-Seite, die 71 mit dem Angreifer verbundene Adressen verfolgt, zeigt nach den Einzahlungen am Dienstag weiterhin 81.454 ETH in diesen Wallets, im Wert von etwa 198,58 Millionen Dollar zu aktuellen Preisen. Neben dem Ethereum-Bestand halten die Wallets rund 561.600 Dollar in anderen Assets, darunter USDT, USDC, Solana und USDY.

Die Bewegungen am Dienstag folgen auf eine frühere Waschrunde am 23. und 24. Juli, als eine als Drift Exploiter 4 bezeichnete Adresse etwa 23.095 ETH – damals im Wert von rund 44,4 Millionen Dollar – in denselben Mixer überwies. Insgesamt wurden damit rund 48.800 ETH – etwa 106 Millionen Dollar zu den Bewertungen zum jeweiligen Zeitpunkt – durch den Mixer geschleust, während der Großteil des verfolgten Ethereum weiterhin in den verknüpften Wallets liegt.

Der Exploit vom 1. April traf Drifts Vaults auf Solana, nachdem der Angreifer Admin-Rechte erlangt, einen gefälschten Token eingeführt und diesen genutzt hatte, um echte Liquidität auszuleihen. Drifts eigene Asset-Aufstellung beziffert die Beute auf 295,7 Millionen Dollar, angeführt von 159,3 Millionen Dollar in JLP – dem Jupiter Liquidity Provider Token – und 71,4 Millionen Dollar in USDC, von denen der Großteil später getauscht und zu Ethereum gebridged wurde.

ams Portfolio-Ansicht führt weiterhin genau einen Fartcoin in den Beständen des Angreifers, im Wert von etwa 15 Cent – ein weiter Weg von den 4,1 Millionen Dollar in Fartcoin, die Drift zufolge im April entwendet wurden.

Drift teilte im April mit, der Angriff sei eine sechsmonatige Operation gewesen, bei der sich die Gruppe als quantitatives Trading-Unternehmen ausgab, Contributor persönlich traf und eine Million Dollar eigener Gelder einzahlte, um Vertrauen aufzubauen. Im Juni gab Drift an, dass das Forensik-Unternehmen Mandiant den Angriff UNC6862 zuschrieb, einer nordkoreanischen Bedrohungsgruppe.

Drift, dessen neu gestartete Börse nun als Velocity läuft, eröffnete die Ansprüche für seinen DFX-Recovery-Token am 1. Oktober – auf den Tag genau sechs Monate nach dem Exploit –, wobei ein Token pro USDT verifizierten Verlusts ausgegeben wurde, insgesamt etwa 299,5 Millionen. Der Recovery-Pool hielt beim Start rund 3,1 Millionen USDT, sodass frühe Rückzahlungen etwa 0,0104 USDT pro Token – oder rund einen Cent pro Dollar – auszahlten.

Der Pool erhält täglich einen Anteil von 60 % bis 90 % an Velocitys Nettoprotokolleinnahmen, der mit wachsenden Tageseinnahmen skaliert, und Tether hat bis zu 127,5 Millionen USDT für den Relaunch und die Wiederherstellung zugesagt. Alle durch Freezings, die Prämie oder Strafverfolgungsmaßnahmen wiedererlangten gestohlenen Mittel fließen ebenfalls in den Pool. Eine Rückholung von Mitteln durch Nachverfolgung bedeutet jedoch, sich mit dem Kernkonzept des Mixers auseinanderzusetzen – der Unterbindung des sichtbaren Pfads zwischen Absender und Empfänger.

Quelle: Decrypt — Wallet Linked to Drift Exploit Sends $61 Million in Ethereum to Tornado Cash