Una dirección vinculada al robo de 295 millones de dólares contra Drift Protocol en abril depositó 25.700 Ether (ETH) en el servicio de mezcla Tornado Cash el martes. La transferencia continuó un proceso de lavado de dinero que los investigadores han rastreado hasta una organización patrocinada por el estado de Corea del Norte y podría complicar aún más los esfuerzos de recuperación para miles de usuarios de Drift que aún no han sido compensados.

Dos horas de transferencias en tramos de 100 ETH

Los depósitos se realizaron a lo largo de aproximadamente dos horas y sumaron alrededor de 61,56 millones de dólares al momento de la transferencia, según datos de Arkham Intelligence. La billetera había permanecido inactiva durante unos dos meses antes de esta repentina actividad.

Los registros de transferencias de Arkham muestran depósitos en montos fijos de 100 ETH, por un valor de unos 237.800 dólares cada uno, junto con transacciones menores de 10 ETH. Las transferencias de 100 ETH corresponden a los pools de depósito de Tornado Cash. El servicio permite a los usuarios retirar los fondos más tarde desde una dirección diferente, ocultando la conexión entre el remitente y el receptor. Esa separación entre depósito y retiro es lo que hace del mixer un obstáculo tan persistente para los esfuerzos de rastreo y congelamiento.

Chainalysis también ha mapeado el movimiento de los fondos. En una publicación en X difundida el martes, la empresa indicó que el 1 de abril el explotador transfirió los fondos desde las cinco billeteras utilizadas en el ataque hacia una única billetera de paso en 13 transacciones separadas. Esa billetera permaneció inactiva hasta que los fondos comenzaron a moverse hacia Tornado Cash en tramos de 100 ETH.

La transferencia no fue el primer esfuerzo por mover los activos robados a través del mixer. Una dirección identificada como Drift Exploiter 4 envió 23.095 ETH, por un valor aproximado de 44,4 millones de dólares en ese momento, a Tornado Cash el 23 y 24 de julio.

Activos restantes en las billeteras del explotador

Tras los depósitos del martes, Arkham continuaba rastreando 81.454 ETH con un valor aproximado de 194 millones de dólares, según TFTC. Las 71 direcciones identificadas del hacker mantenían en total unos 198,58 millones de dólares. La vista de portafolio de Arkham también mostró aproximadamente 561.600 dólares en USDT USDC, Solana y USDY, así como un Fartcoin con un valor de unos 15 centavos. El tamaño de ese saldo residual es la variable clave para la recuperación: los fondos que permanecen en billeteras rastreables siguen expuestos a congelamientos y recuperaciones, mientras que todo lo que entra al mixer se vuelve mucho más difícil de alcanzar.

La cuenta de análisis on-chain Lookonchain reportó la transferencia en X:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

El exploit apuntó originalmente a un protocolo basado en Solana, pero el atacante luego utilizó tecnología de puentes para convertir los activos en ETH. Según la tabla de distribución de activos de Drift, el atacante se llevó tokens con un valor de 295,7 millones de dólares, incluidos 159,3 millones de dólares en JLP, el Jupiter Liquidity Provider Token, y 71,4 millones de dólares en USDC. Ese salto entre cadenas obligó a los investigadores a seguir el rastro de los fondos a través de dos registros contables distintos, alargando el rastro mucho antes de que el mixer entrara en escena.

La ingeniería social precedió al ataque

El análisis post-mortem publicado por Drift en drift.trade indicó que el ataque del 1 de abril no explotó ninguna vulnerabilidad en el código del protocolo. En cambio, se basó en ingeniería social llevada a cabo durante un período de seis meses.

TFTC, citando el mismo análisis, reportó que los atacantes se hicieron pasar por una empresa de trading y depositaron 1 millón de dólares en fondos reales para generar credibilidad. También se reunieron en persona con los contribuidores de Drift en conferencias. Posteriormente, los atacantes utilizaron una vulnerabilidad de ejecución de código en herramientas de desarrollo junto con una aplicación de billetera falsa para vaciar el protocolo en menos de 12 minutos. El episodio subraya que la seguridad en las finanzas descentralizadas va más allá del código on-chain e incluye a las personas y las herramientas que rodean a un protocolo.

En una publicación del 3 de junio sobre sus esfuerzos de recuperación, Drift informó que, según una investigación forense de Mandiant, el ataque fue realizado por UNC6862, un actor de amenazas de Corea del Norte. Drift citó la declaración de Mandiant de que existen “vínculos directos con otros actores patrocinados por el estado involucrados en ataques similares en otras plataformas.”

El fondo de recuperación sigue siendo pequeño frente a las pérdidas

Drift abrió los reclamos para sus tokens DFX el 1 de octubre. El fondo de recuperación tenía 3,1 millones de dólares en ese momento y se esperaba que aumentara mediante las ganancias de exchanges y recuperaciones de fondos. Frente a las pérdidas reportadas de 295 millones de dólares, quienes reclamaron temprano tenían derecho a recuperar apenas alrededor de un centavo por cada dólar perdido.

Las autoridades policiales han congelado aproximadamente 9,2 millones de dólares, según TFTC, lo que equivale a casi tres centavos por cada dólar perdido. Con unos 194 millones de dólares aún bajo control del explotador y una porción creciente transferida a Tornado Cash, el panorama de recuperación sigue siendo limitado. La Oficina de Control de Activos Extranjeros de EE. UU. (OFAC) incluyó al mixer en su lista negra en 2022, pero no hay confirmación de que algún depósito realizado por una entidad vinculada a Corea del Norte haya sido recuperado. Lo que suceda a continuación será visible en tres frentes: el ritmo de nuevos depósitos en Tornado Cash desde las billeteras restantes, cualquier nuevo congelamiento o recuperación de fondos, y el crecimiento del fondo de recuperación DFX.

El exploit de Drift el tercer mayor hackeo de criptomonedas registrado en 2026, según el rastreador de exploits cripto de DeFiLlama. Queda detrás del exploit de 387,5 millones de dólares a Bitget y del exploit de 320 millones de dólares a Liquid Network.

Reporte original: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/