Arkham Intelligenceのデータによると、Solana上の分散型取引所Drift Protocolの4月1日の攻撃に関連するウォレットが、火曜日の約2時間にわたり25,700ETH（約6,156万ドル相当）を暗号資産ミキサーTornado Cashに移動させました。この一連の入金により、攻撃者に関連するアドレスの約2か月にわたる静寂が終わりました。

Arkhamの送金データによると、イーサリアムは各約23万7,800ドル相当の100ETH単位のバッチと、より小さな10ETH単位で入金されました。これらの入金サイズはミキサーの固定額面プールと一致しており、ユーザーは後ほど新しいアドレスから資金を引き出し、送信者と受信者の公開上のつながりを断つことができます。このミキサーは、暗号資産ハッキングの収益の資金洗浄への利用を理由に2022年8月から米国財務省の制裁を受けていますが、火曜日の入金はそのプールが依然として活発に使用されていることを示しています。

攻撃者に関連する71のアドレスを追跡しているArkhamのエンティティページは、火曜日の入金後もこれらのウォレットに81,454ETHが残っており、現在の価格で約1億9858万ドル相当として表示しています。イーサリアムの保有額のほか、ウォレットにはUSDT、USDC、Solana、USDYなどの約56万1,600ドル相当の他の資産も保管されています。

火曜日の資金移動は、7月23日と24日の早期の資金洗浄ラウンドに続くものです。この際、「Drift Exploiter 4」とラベル付けされたアドレスが約23,095ETH（当時約4,440万ドル相当）を同じミキサーに送りました。2つのラウンドを合わせると、約48,800ETH（各バッチ移動時の評価額で約1億600万ドル相当）がミキサーを通過しており、追跡対象のイーサリアムの大部分は依然として関連ウォレットに残っています。

4月1日の攻撃は、攻撃者が管理者権限を取得し、偽トークンを導入してそれを使って実際の流動性を借り出した後、Solana上のDriftのボールトを襲いました。Drift自身の資内訳によると、総額は2億9570万ドルで、JLP（Jupiter Liquidity Providerトークン）の1億5930万ドルとUSDCの7,140万ドルが主体であり、その大半は後にスワップされイーサリアムへブリッジされました。

Arkhamのポートフォリオビューには、攻撃者の保有資産として今もFartcoinがちょうど1つ、約15セント相当が表示されており、Driftが4月に奪われたとする410万ドルのFartcoinからはほど遠い状況です。

Driftは4月に、この攻撃は6か月にわたる作戦であり、グループは定量トレーディング会社を装い、貢献者と直接会い、信頼を構築するために自ら100万ドルを入金していたと発表しました。6月には、Driftはフォレンジック企業Mandiantがこの攻撃を北朝鮮の脅威グループUNC6862に帰属させたと発表しました。

Velocityとして運営されるようになった再開後のDriftは、攻撃からちょうど6か月に当たる10月1日、DFXリカバリートークンの請求受付を開始し、検証済み損失1USDTにつき1トークンを発行しました（合計約2億9,950万）。リカバリープールには開始時点で約310万USDTが確保されており、初期の償還では1トークンあたり約0.0104USDT、すなわち1ドルにつき約1セントが支払われました。

このプールは、Velocityの純プロトコル収益の60%から90%の日次配分を受け取り、日次収益の伸びに応じて引き上げられます。また、Tetherは再開と回復に最大1億2,750万USDTを拠出することを約束しています。凍結、報奨金、法執行機関の行動を通じて回復された盗難資金もプールに流入します。ただし、追跡による資金回収は、送信者と受信者の間の見える経路を断つというミキサーの中核的な設計に立ち向かうことを意味します。

出典：Decrypt — Wallet Linked to Drift Exploit Sends $61 Million in Ethereum to Tornado Cash