Una billetera vinculada al hackeo de $295 millones de Drift Protocol movió alrededor de $61 millones en Ethereum a Tornado Cash el 20 de octubre de 2026, poniendo fin a casi dos meses de inactividad y renovando la preocupación por el lavado de criptomonedas robadas.

Los datos de rastreo on-chain muestran que el atacante aún controla aproximadamente 81,454 ETH, con un valor de cerca de $194 millones. Este último movimiento subraya la dificultad que enfrentan los investigadores para rastrear los fondos robados de plataformas de finanzas descentralizadas (DeFi).

25,700 ETH enviados a Tornado Cash en dos horas

El monitoreo on-chain detectó aproximadamente 25,700 ETH ingresando a Tornado Cash en una ventana de dos horas el martes. Las transacciones involucraron billeteras asociadas al ataque de abril contra Drift Protocol, un exchange descentralizado de derivados construido sobre Solana.

Tornado Cash oculta los historiales de transacciones al agrupar depósitos de criptomonedas de múltiples direcciones. Si bien las transacciones en blockchain permanecen visibles públicamente, el servicio dificulta considerablemente conectar los depósitos con los retiros posteriores. El mixer ha estado durante mucho tiempo en el centro de procedimientos regulatorios y penales: el Departamento del Tesoro de EE. UU. lo sancionó en 2022, aunque esas sanciones fueron levantadas en marzo de 2025 después de que una corte federal de apelaciones determinara que la designación había excedido la autoridad de la agencia. Investigadores de EE. UU. y de las Naciones Unidas han identificado repetidamente el servicio como un canal de lavado favorito de hackers vinculados a Corea del Norte.

La actividad del martes sigue a un movimiento anterior de aproximadamente 23,100 ETH a través del mixer en julio. Incluso después de ambas transferencias, las billeteras asociadas al atacante continúan manteniendo reservas sustanciales de criptomonedas. La inactividad prolongada seguida de transferencias escalonadas es un patrón que los analistas han observado con frecuencia en explotaciones de alto valor, donde los fondos robados permanecen inactivos antes de ser enviados a mixers en lotes.

Mandiant vincula el hackeo a un grupo norcoreano

La vulneración ocurrió el 1 de abril de 2026, cuando los atacantes comprometieron Drift Protocol y drenaron aproximadamente $295.4 millones en activos de usuarios. Posteriormente, los investigadores examinaron transacciones sospechosas, permisos administrativos comprometidos y el movimiento de los fondos robados a través de las redes blockchain.

Una investigación forense de la firma de ciberseguridad Mandiant atribuyó el ataque a UNC6862, un grupo de amenazas norcoreano, como informó previamente CoinDesk. Los hallazgos reforzaron la preocupación por operaciones cibernéticas sofisticadas dirigidas a la infraestructura DeFi. Mandiant asigna etiquetas "UNC" a grupos de actividad que aún no ha nombrado formalmente, y la atribución encaja en un patrón másio: grupos vinculados a Corea del Norte han sido implicados en robos de criptomonedas por miles de millones de dólares en los últimos años, ingresos que, según investigadores de las Naciones Unidas, ayudan a financiar los programas de armas del país.

Según los informes, los atacantes pasaron meses cultivando relaciones con colaboradores del protocolo antes de ejecutar la explotación. La operación demostró cómo la ingeniería social y los controles administrativos comprometidos pueden socavar plataformas de criptomonedas sin explotar vulnerabilidades convencionales de contratos inteligentes.

El programa de recuperación avanza en medio de los movimientos de fondos

Drift Protocol lanzó su programa de tokens de recuperación DFX el 1 de octubre para compensar a los usuarios afectados por el ataque. Los usuarios elegibles pueden reclamar tokens que representan sus pérdidas y canjearlos contra los fondos de recuperación disponibles.

El fondo de recuperación contenía inicialmente aproximadamente $3.1 millones, con financiamiento adicional posible a partir de ingresos de la plataforma, activos recuperados y otras contribuciones, una fracción de los aproximadamente $295.4 millones perdidos en la vulneración, lo que subraya la poca frecuencia con la que las víctimas de grandes explotaciones cripto son compensadas por completo.

Sin embargo, las últimas transferencias de Ethereum complican los esfuerzos por rastrear y recuperar los fondos robados restantes, lo que obliga a los investigadores a seguir monitoreando las billeteras asociadas mientras el atacante mueve activos a través de servicios centrados en la privacidad, con observadores on-chain pendientes de si nuevos lotes de las reservas restantes aparecen en el mixer.

El incidente subraya los riesgos de seguridad persistentes en las finanzas descentralizadas y destaca la necesidad de salvaguardas administrativas más sólidas, monitoreo de transacciones y esfuerzos coordinados de recuperación de activos.

Fuente: CryptoMeter io