Un wallet collegato all'hack da 295 milioni di dollari del Drift Protocol ha sposto circa 61 milioni di dollari in Ethereum verso Tornado Cash il 20 ottobre 2026, ponendo fine a quasi due mesi di inattività e rinnovando le preoccupazioni sul riciclaggio di criptovalute rubate.

I dati di tracciamento blockchain mostrano che l'attaccante controlla ancora circa 81.454 ETH, per un valore di circa 194 milioni di dollari. L'ultimo movimento sottolinea la difficoltà che gli investigatori affrontano nel tracciare i fondi rubati alle piattaforme di finanza decentralizzata (DeFi).

25.700 ETH inviati a Tornado Cash in due ore

Il monitoraggio on-chain ha rilevato circa 25.700 ETH in flusso verso Tornado Cash in una finestra di due ore martedì. Le transazioni coinvolgevano wallet legati all'attacco di aprile al Drift Protocol, un exchange decentralizzato di derivati costruito su Solana.

Tornado Cash oscura la cronologia delle transazioni mettendo in comune depositi di criptovalute provenienti da più indirizzi. Sebbene le transazioni blockchain restino pubblicamente visibili, il servizio rende notevolmente più difficile collegare i depositi ai prelievi successivi. Il mixer è da tempo al centro di procedimenti regolatori e penali: il Dipartimento del Tesoro statunitense lo ha sanzionato nel 2022, anche se le sanzioni sono state revocate a marzo 2025 dopo che una corte federale d'appello ha ritenuto che la designazione avesse superato i poteri dell'agenzia. Investigatori statunitensi e delle Nazioni Unite hanno ripetutamente identificato il servizio come un canale di riciclaggio privilegiato per gli hacker legati alla Corea del Nord.

L'attività di martedì segue un precedente movimento di circa 23.100 ETH attraverso il mixer a luglio. Anche dopo entrambi i trasferimenti, i wallet associati all'attaccante continuano a detenere consistenti riserve di criptovalute. Un prolungato periodo di quiescenza seguito da trasferimenti scaglionati è uno schema che gli analisti hanno spesso osservato negli exploit di alto valore, in cui i fondi rubati restano fermi prima di essere inviati ai mixer a lotti.

Mandiant collega l'hack a un gruppo nordcoreano

La breccia si è verificata il 1° aprile 2026, quando gli attaccanti hanno compromesso il Drift Protocol drenando circa 295,4 milioni di dollari in asset degli utenti. Gli investigatori hanno successivamente esaminato transazioni sospette, permessi amministrativi compromessi e il movimento dei fondi rubati attraverso le reti blockchain.

Un'indagine forense della società di cybersecurity Mandiant ha attribuito l'attacco a UNC6862, un di minaccia nordcoreano, come precedentemente riferito da CoinDesk. I risultati hanno rafforzato le preoccupazioni per operazioni cybercriminali sofisticate mirate alle infrastrutture DeFi. Mandiant assegna etichette "UNC" ai cluster di attività non ancora formalmente identificati, e l'attribuzione si inserisce in uno schema più ampio: i gruppi legati alla Corea del Nord sono stati implicati in furti di criptovalute per miliardi di dollari negli ultimi anni, proventi che, secondo i ricercatori delle Nazioni Unite, contribuirebbero a finanziare i programmi di armamento del paese.

Gli attaccanti avrebbero trascorso mesi a coltivare relazioni con i collaboratori del protocollo prima di eseguire l'exploit. L'operazione ha dimostrato come l'ingegneria sociale e il compromissione dei controlli amministrativi possano minacciare le piattaforme di criptovalute senza sfruttare le tradizionali vulnerabilità degli smart contract.

Il programma di recupero prosegue amid i movimenti di fondi

Il Drift Protocol ha lanciato il suo programma di recovery token DFX il 1° ottobre per compensare gli utenti colpiti dall'attacco. Gli utenti idonei possono richiedere token che rappresentano le loro perdite e riscattarli contro i fondi di recupero disponibili.

Il pool di recupero conteneva inizialmente circa 3,1 milioni di dollari, con ulteriori finanziamenti possibili da ricavi della piattaforma, asset recuperati e altri contributi — una frazione dei circa 295,4 milioni di dollari persi nella breccia, a dimostrazione di quanto raramente le vittime di grandi exploit crypto vengano integralmente risarcite.

Gli ultimi trasferimenti in Ethereum, tuttavia, complicano gli sforzi per tracciare e recuperare i fondi rubati rimanenti, obbligando gli investigatori a continuare a monitorare i wallet associati mentre l'attaccante sposta gli asset attraverso servizi orientati alla privacy, con gli osservatori on-chain che seguono se ulteriori lotti delle riserve residue emergeranno al mixer.

L'incidente sottolinea i persistenti rischi di sicurezza nella finanza decentralizzata e evidenzia la necessità di salvaguardie amministrative più solide, monitoraggio delle transazioni e sforzi coordinati di recupero degli asset.

Fonte: CryptoMeter io