Un indirizzo collegato alla rapina da 295 milioni di dollari ai danni del Drift Protocol di aprile ha depositato 25.700 Ether (ETH) nel servizio di mixing Tornado Cash martedì, proseguendo un processo di riciclaggio che gli investigatori hanno risalito a un'organizzazione sponsorizzata dallo Stato nordcoreano e che potrebbe complicare ulteriormente gli sforzi di recupero per migliaia di utenti di Drift che non sono ancora stati rimborsati.

Due ore di trasferimenti in tranche da 100 ETH

I depositi sono stati effettuati nell'arco di circa due ore e al momento del trasferimento ammontavano a circa 61,56 milioni di dollari, secondo i dati di Arkham Intelligence. Il wallet era rimasto inattivo per circa due mesi prima dell'improvvisa attività.

I registri di trasferimento di Arkham mostrano depositi in importi fissi di 100 ETH, per circa 237.800 dollari ciascuno, insieme a transazioni minori da 10 ETH. I trasferimenti da 100 ETH corrispondono ai pool di deposito di Tornado Cash. Il servizio consente agli utenti di prelevare i fondi in un momento successivo da un indirizzo diverso, oscurando il collegamento tra mittente e destinatario. È proprio questa separazione tra deposito e prelievo a rendere il mixer un ostacolo così persistente per le attività di tracciamento e congelamento.

Anche Chainalysis ha mappato il movimento dei fondi. In un post su X pubblicato martedì, la società ha dichiarato che il 1° aprile l'exploiter aveva trasferito i fondi dai cinque wallet utilizzati nell'attacco a un unico wallet di transito attraverso 13 transazioni separate. Quel wallet è poi rimasto inattivo fino a quando i fondi hanno iniziato a spostarsi in Tornado Cash in tranche da 100 ETH.

Il trasferimento non è stato il primo tentativo di spostare gli asset rubati attraverso il mixer. Unizzo identificato come Drift Exploiter 4 ha inviato 23.095 ETH, per un valore di circa 44,4 milioni di dollari all'epoca, a Tornado Cash il 23 e 24 luglio.

Asset rimasti nei wallet dell'exploiter

Dopo i depositi di martedì, Arkham continua a tracciare 81.454 ETH per un valore di circa 194 milioni di dollari, secondo TFTC. I 71 indirizzi identificati dell'hacker detenevano in totale circa 198,58 milioni di dollari. La vista portafoglio di Arkham mostrava inoltre circa 561.600 dollari in USDT, USDC, Solana e USDY, oltre a un Fartcoin del valore di circa 15 centesimi. L'entità di tale saldo residuo è la variabile chiave per il recupero: i fondi ancora presenti in wallet tracciabili restano esposti a congelamenti e clawback, mentre tutto ciò che entra nel mixer diventa molto più difficile da raggiungere.

L'account di analisi on-chain Lookonchain ha riportato il trasferimento su X:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

L'attacco aveva inizialmente preso di mira un protocollo basato su Solana, ma l'attaccante ha successivamente utilizzato la tecnologia bridge per convertire gli asset in ETH. Secondo la tabella di distribuzione degli asset di Drift, l'attaccante ha sottratto token per un valore di 295,7 milioni di dollari, di cui 159,3 milioni in JLP, il Jupiter Liquidity Provider Token, e 71,4 milioni in USDC. Quel salto cross-chain ha costretto gli investigatori a seguire i proventi attraverso due registri distinti, allungando la pista ben prima dell'ingresso in scena del mixer.

L'ingegneria sociale ha preceduto l'attacco

Il post-mortem pubblicato da Drift su drift.trade ha dichiarato che l'attacco del 1° aprile non ha sfruttato alcuna vulnerabilità nel codice del protocollo, ma si è invece basato su un'ingegneria sociale condotta nell'arco di sei mesi.

TFTC, citando la stessa analisi, ha riportato che gli attaccanti si sono spacciati per una società di trading e hanno depositato 1 milione di dollari in fondi reali per costruire credibilità. Hanno inoltre incontrato di persona i contributori di Drift in occasione di conferenze. Gli attaccanti hanno successivamente sfruttato una vulnerabilità di esecuzione di codice negli strumenti di sviluppo insieme a una falsa applicazione wallet per svuotare il protocollo in meno di 12 minuti. L'episodio sottolinea che la sicurezza nella finanza decentralizzata si estende oltre il codice on-chain, comprendendo le persone e gli strumenti che ruotano attorno a un protocollo.

In un post del 3 giugno sui propri sforzi di recupero, Drift ha dichiarato che un'ind forense di Mandiant ha identificato UNC6862, un attore di minacca nordcoreano, come responsabile dell'attacco. Drift ha citato la dichiarazione di Mandiant secondo cui esistono "legami diretti con altri attori sponsorizzati dallo Stato coinvolti in attacchi simili su altre piattaforme".

Un pool di recupero rimasto piccolo rispetto alle perdite

Drift ha aperto le richieste di rimborso per i token DFX il 1° ottobre. Il pool di recupero disponeva all'epoca di 3,1 milioni di dollari ed era previsto che crescesse grazie ai profili degli exchange e ai clawback. Rispetto ai 295 milioni di dollari di perdite dichiarate, chi ha presentato domanda in anticipo poteva recuperare circa un centesimo per ogni dollaro perso.

Le forze dell'ordine hanno congelato circa 9,2 milioni di dollari, secondo TFTC, l'equivalente di quasi tre centesimi per ogni dollaro perso. Con circa 194 milioni di dollari ancora sotto il controllo dell'exploiter e una quota crescente trasferita in Tornado Cash, le prospettive di recupero restano limitate. L'Ufficio per il Controllo dei Capitali Esteri statunitense (OFAC) ha inserito il mixer nella lista nera nel 2022, ma non vi è conferma che alcun deposito effettuato da un'entità collegata alla DPRK sia stato mai recuperato. I prossimi sviluppi saranno visibili in tre punti: il ritmo degli ulteriori depositi in Tornado Cash dai wallet rimanenti, eventuali nuovi congelamenti o clawback e la crescita del pool di recupero DFX.

L'exploit di Drift è il terzo maggiorre attacco informatico nel settore cripto registrato nel 2026, secondo il tracker degli exploit crypto di DeFiLlama. Si colloca dietro l'exploit da 387,5 milioni di dollari ai danni di Bitget e a quello da 320 milioni di dollari su Liquid Network.

Rapporto originale: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/