Un wallet collegato all’exploit da $285 milioni di Drift Protocol ha trasferito 23.095,1 Ether, per un valore di circa $44,4 milioni, su Tornado Cash dopo quasi tre mesi di inattività.

Secondo i registri di Etherscan e il monitoraggio attribuito a PeckShield, lo stesso indirizzo ha anche inviato 0,85 ETH a wallet etichettati come indirizzi di deposito Bybit. I trasferimenti sono iniziati il 23 luglio e sono proseguiti fino al 24 luglio.

Il ricercatore JL, noto su X come 0xJaelle, ha segnalato il movimento e taggato l’investigatore on-chain ZachXBT. ZachXBT ha risposto che non intendeva continuare a tracciare i fondi senza supporto istituzionale.

The drift exploiter moving funds finally. Something @zachxbt and @tayvano_ may want to keep an eye out. — JL (@0xJaelle) July 24, 2026

L’autore dell’exploit di Drift svuota un wallet Ethereum

L’indirizzo Etherscan etichettato come "Drift Exploiter 4" ha elaborato centinaia di transazioni durante il movimento. I registri mostrano depositi ripetuti da 100 ETH, 10 ETH e 1 ETH nel router di Tornado Cash. Altri quattro trasferimenti, per un totale di 0,85 ETH, sono stati inviati a indirizzi identificati come wallet di deposito Bybit.

Onchain Lens ha riferito per primo che l’attaccante aveva ripreso l’attività, inviando batch da 100 ETH al mixer più volte al minuto. Il wallet era rimasto in gran parte inattivo dall’attacco di aprile.

Tornado Cash raggruppa i depositi e consente prelievi successivi tramite indirizzi diversi, indebolendo il collegamento pubblico diretto tra wallet mittenti e riceventi. Gli investigatori possono ancora usare analisi temporali, pattern di transazione e attività sugli exchange, ma il processo richiede più dati e personale. I mixer sono inoltre attentamente monitorati da exchange e team di compliance perché i depositi provenienti da wallet di exploit segnalati possono influire sulla possibilità che fondi successivi vengano congelati o segnalati quando entrano in contatto con sedi regolamentate.

Il movimento rappresenta solo una parte del furto originale. L’aggiornamento di aprile sul recupero di Drift stimava gli asset rubati a $295,7 milioni tra JLP, USDC, token collegati a Bitcoin, SOL, WETH e altri asset. Il protocollo ha dichiarato che gran parte del valore convertito restava distribuito su quattro wallet Ethereum segnalati.

ZachXBT cita i costi del tracciamento dei fondi collegati alla Corea del Nord

ZachXBT ha scritto: "Sorry I currently do not have any plans to track these funds further." Ha spiegato che monitorare un exploit a nove cifre collegato alla Corea del Nord e lavorare a possibili congelamenti richiederebbe risorse superiori a quelle che un singolo investigatore indipendente può fornire. Ha descritto il compito come "difficult for a team and not feasible for a single person." ZachXBT ha inoltre precisato che Drift non era un donatore né un cliente.

La sua risposta su X ha richiamato l’attenzione sui costi delle indagini che possono protrarsi per mesi. Tuttavia, i commenti non indicano che nessuna organizzazione stia monitorando i wallet. Drift ha dichiarato di collaborare con le forze dell’ordine, Mandiant e società di intelligence blockchain. Etherscan continua a etichettare l’indirizzo, e gli exchange possono esaminare i depositi collegati a wallet segnalati.

Separatamente, ZachXBT ha criticato Circle dopo che circa $232 milioni in USDC rubati sono passati da Solana a Ethereum durante l’attacco di aprile. I fondi si sono mossi attraverso il sistema cross-chain di Circle prima che l’attaccante convertisse gran parte del valore in ETH. Questa attività di bridge è rilevante per gli investigatori perché, una volta che gli asset rubati vengono consolidati su un’altra chain e convertiti, gli sforzi di recupero dipendono da registri cross-chain, azioni degli emittenti, controlli degli exchange e sorveglianza continua dei wallet, più che dai dati interni di un singolo protocollo.

Drift aveva annunciato un programma di bounty per il recupero

JL ha in seguito espresso sorpresa per il fatto che Drift non avesse creato una bounty per il recupero. Tuttavia, i registri pubblici di Drift mostrano che il protocollo aveva annunciato piani in tal senso. Il 16 aprile, Drift ha dichiarato che stava sviluppando un programma di bounty con il supporto di Arkham e Bybit. L’aggiornamento non specificava un importo finale della ricompensa, regole di idoneità o calendario dei pagamenti. Resta poco chiaro se il programma sia diventato pienamente attivo, se includesse il monitoraggio continuo dei wallet o se ricercatori indipendenti potessero richiedere un pagamento per successivi lavori di tracciamento.

Drift ha anche istituito un piano di recupero per gli utenti separato dal tracciamento dei fondi rubati. Tether ha proposto fino a $127,5 milioni di supporto. Drift prevede di emettere recovery token e finanziare i rimborsi tramite asset rimanenti, capitale dei partner e ricavi futuri dell’exchange.

L’aggiornamento investigativo di giugno del protocollo ha affermato che Mandiant ha attribuito l’attacco a UNC6862, un gruppo di minaccia nordcoreano. Drift ha dichiarato che gli attaccanti hanno usato ingegneria sociale e accesso operativo compromesso, piuttosto che una falla nello smart contract. Gli attaccanti hanno svuotato vault chiave in circa 12 minuti. La conclusione ha collocato l’incidente tra una serie di furti crypto in cui sicurezza operativa, accesso dei firmatari e controlli interni sono diventati importanti nelle discussioni sul recupero tanto quanto la revisione degli smart contract.

Il recupero continua mentre la traccia diventa più difficile da seguire

Drift si è concentrata sulla ricostruzione della piattaforma e sul finanziamento delle richieste degli utenti mentre i team forensi inseguono gli asset rubati. Il suo quadro di recupero stabilisce che i fondi recuperati confluiranno nel pool di recupero degli utenti. Il protocollo prevede inoltre controlli di firma più solidi per le transazioni critiche.

L’attacco di aprile ha colpito altri progetti Solana. La piattaforma di yield Carrot ha deciso di chiudere dopo che le perdite collegate a Drift hanno cancellato la maggior parte del valore depositato.

I depositi su Tornado Cash non dimostrano che l’attaccante abbia convertito gli ETH in contante utilizzabile. I depositi restano pubblici e gli investigatori potrebbero ancora identificare prelievi successivi. Tuttavia, eliminano una semplice traccia da wallet a wallet e rendono più difficile la fase successiva del tracciamento.

Né Drift né Solana avevano risposto pubblicamente ai commenti di ZachXBT al momento della pubblicazione. Bybit non aveva annunciato se avesse esaminato i piccoli depositi mostrati su Etherscan. I fondi rubati rimanenti e lo stato del programma di bounty pianificato da Drift restano irrisolti.