Eine mit dem Exploit des Drift Protocol über $285 Millionen verbundene Wallet hat nach fast drei Monaten Inaktivität 23,095.1 Ether im Wert von rund $44.4 Millionen zu Tornado Cash transferiert.

Laut Etherscan-Daten und einer PeckShield zugeschriebenen Überwachung sendete dieselbe Adresse außerdem 0.85 ETH an Wallets, die als Bybit-Einzahlungsadressen gekennzeichnet sind. Die Transfers begannen am 23. Juli und setzten sich bis zum 24. Juli fort.

Der Forscher JL, auf X als 0xJaelle bekannt, machte auf die Bewegung aufmerksam und markierte den On-Chain-Ermittler ZachXBT. ZachXBT antwortete, dass er nicht beabsichtige, die Gelder ohne institutionelle Unterstützung weiter zu verfolgen.

The drift exploiter moving funds finally. Something @zachxbt and @tayvano_ may want to keep an eye out. — JL (@0xJaelle) July 24, 2026

Drift-Exploiter leert eine Ethereum-Wallet

Die bei Etherscan als "Drift Exploiter 4" gekennzeichnete Adresse verarbeitete während der Bewegung Hunderte von Transaktionen. Die Aufzeichnungen zeigen wiederholte Einzahlungen von 100 ETH, 10 ETH und 1 ETH in den Tornado-Cash-Router. Vier weitere Transfers über insgesamt 0.85 ETH wurden an Adressen gesendet, die als Bybit-Einzahlungs-Wallets identifiziert wurden.

Onchain Lens berichtete zuerst, dass der Angreifer seine Aktivität wieder aufgenommen hatte und mehrmals pro Minute Pakete von 100 ETH in den Mixer sendete. Die Wallet war seit dem Angriff im April weitgehend inaktiv geblieben.

Tornado Cash bündelt Einzahlungen und ermöglicht spätere Auszahlungen über andere Adressen, wodurch die direkte öffentliche Verbindung zwischen sendenden und empfangenden Wallets geschwächt wird. Ermittler können weiterhin Timing-Analysen, Transaktionsmuster und Börsenaktivitäten nutzen, doch der Prozess erfordert mehr Daten und Personal. Mixer werden zudem von Börsen und Compliance-Teams genau beobachtet, da Einzahlungen von markierten Exploit-Wallets beeinflussen können, ob spätere Gelder eingefroren oder gemeldet werden, wenn sie regulierte Plattformen erreichen.

Die Bewegung stellt nur einen Teil des ursprünglichen Diebstahls dar. Drifts Recovery-Update vom April bewertete die gestohlenen Vermögenswerte auf $295.7 Millionen über JLP, USDC, Bitcoin-bezogene Token, SOL, WETH und weitere Assets hinweg. Das Protokoll erklärte, dass ein großer Teil des umgewandelten Werts auf vier markierten Ethereum-Wallets verblieben sei.

ZachXBT verweist auf Kosten der Verfolgung nordkoreabezogener Gelder

ZachXBT schrieb: "Sorry I currently do not have any plans to track these funds further." Er erklärte, dass die Überwachung eines neunstelligen, mit Nordkorea verbundenen Exploits und die Arbeit an möglichen Einfrierungen Ressourcen erfordern würden, die über das hinausgehen, was ein einzelner unabhängiger Ermittler leisten könne. Er bezeichnete die Aufgabe als "difficult for a team and not feasible for a single person." ZachXBT merkte außerdem an, dass Drift weder Spender noch Kunde sei.

Seine Antwort auf X lenkte die Aufmerksamkeit auf die Kosten von Ermittlungen, die sich über Monate hinziehen können. Die Kommentare bedeuten jedoch nicht, dass keine Organisation die Wallets überwacht. Drift hat erklärt, mit Strafverfolgungsbehörden, Mandiant und Blockchain-Intelligence-Firmen zusammenzuarbeiten. Etherscan kennzeichnet die Adresse weiterhin, und Börsen können Einzahlungen prüfen, die mit markierten Wallets verbunden sind.

Separat kritisierte ZachXBT Circle, nachdem während des Angriffs im April gestohlene USDC im Wert von rund $232 Millionen von Solana zu Ethereum übertragen worden waren. Die Gelder liefen über Circles Cross-Chain-System, bevor der Angreifer einen Großteil des Werts in ETH umwandelte. Diese Bridge-Aktivität ist für Ermittler relevant, weil Wiederbeschaffungsbemühungen, sobald gestohlene Vermögenswerte auf einer anderen Chain konsolidiert und umgewandelt wurden, von Cross-Chain-Daten, Maßnahmen der Emittenten, Börsenkontrollen und fortlaufender Wallet-Überwachung abhängen, statt nur von internen Daten eines einzelnen Protokolls.

Drift hatte ein Recovery-Bounty-Programm angekündigt

JL äußerte später Verwunderung darüber, dass Drift keine Recovery-Bounty eingerichtet habe. Drifts öffentliche Aufzeichnungen zeigen jedoch, dass das Protokoll Pläne für ein solches Programm angekündigt hatte. Am 16. April sagte Drift, es entwickle mit Unterstützung von Arkham und Bybit ein Bounty-Programm. Das Update nannte keinen endgültigen Prämienbetrag, keine Teilnahmebedingungen und keinen Zahlungsplan. Es bleibt unklar, ob das Programm vollständig aktiv wurde, ob es die fortlaufende Wallet-Überwachung abdeckte oder ob unabhängige Forscher für spätere Nachverfolgungsarbeit eine Zahlung beanspruchen konnten.

Drift richtete außerdem einen Plan zur Nutzerentschädigung ein, der von der Verfolgung der gestohlenen Gelder getrennt ist. Tether schlug Unterstützung von bis zu $127.5 Millionen vor. Drift plant, Recovery-Token auszugeben und Rückzahlungen über verbleibende Vermögenswerte, Partnerkapital und künftige Börsenerlöse zu finanzieren.

Das Untersuchungsupdate des Protokolls vom Juni erklärte, Mandiant habe den Angriff UNC6862 zugeschrieben, einer nordkoreanischen Bedrohungsgruppe. Drift gab an, die Angreifer hätten Social Engineering und kompromittierten operativen Zugriff genutzt, statt eine Schwachstelle in Smart Contracts auszunutzen. Die Angreifer leerten wichtige Tresore innerhalb von etwa 12 Minuten. Die Feststellung ordnete den Vorfall in eine Reihe von Kryptodiebstählen ein, bei denen operative Sicherheit, Signiererzugriff und interne Kontrollen für Wiederbeschaffungsdebatten ebenso wichtig wurden wie die Prüfung von Smart Contracts.

Die Wiederbeschaffung läuft weiter, während die Spur schwerer zu verfolgen wird

Drift konzentriert sich auf den Wiederaufbau seiner Plattform und die Finanzierung von Nutzeransprüchen, während Forensikteams die gestohlenen Vermögenswerte verfolgen. Der Recovery-Rahmen sieht vor, dass wiederbeschaffte Gelder in den Nutzer-Recovery-Pool fließen. Das Protokoll plant außerdem stärkere Signaturkontrollen für kritische Transaktionen.

Der Angriff im April betraf auch andere Solana-Projekte. Die Yield-Plattform Carrot entschied sich zur Schließung, nachdem mit Drift verbundene Verluste den größten Teil ihres eingezahlten Werts ausgelöscht hatten.

Die Einzahlungen bei Tornado Cash beweisen nicht, dass der Angreifer die ETH in nutzbares Bargeld umgewandelt hat. Die Einzahlungen bleiben öffentlich, und Ermittler könnten spätere Auszahlungen weiterhin identifizieren. Sie entfernen jedoch eine einfache Wallet-zu-Wallet-Spur und erschweren die nächste Phase der Nachverfolgung.

Weder Drift noch Solana hatten zum Zeitpunkt der Veröffentlichung öffentlich auf ZachXBTs Kommentare reagiert. Bybit hatte nicht bekannt gegeben, ob es die auf Etherscan angezeigten kleinen Einzahlungen überprüft hat. Die verbleibenden gestohlenen Gelder und der Status von Drifts geplantem Bounty-Programm bleiben ungeklärt.