4月に発生した2億9500万ドルのDrift Protocol強奪事件に関連するアドレスが、火曜日、ミキシングサービスTornado Cashに25,700 ETHを入金した。この送金は、調査当局が北朝鮮の国家支援組織に遡って追跡している資金洗浄プロセスの続きであり、まだ支払いを受けていない数千人のDriftユーザーの返金活動をさらに複雑にする可能性がある。

2時間にわたる100 ETH単位の送金

Arkham Intelligenceのデータによると、入金は約2時間にわたって行われ、送金時点での合計額は約6156万ドルだった。同ウォレットは、この急な動きの前におよそ2か月間休眠状態にあった。

Arkhamの送金ログでは、1回約23万7800ドル相当の100 ETHの固定額の入金と、より少額の10 ETH単位の取引が確認されている。100 ETHの送金はTornado Cashの入金プールに対応している。このサービスでは、送信者と受信者のつながりを分からないまま、後で別のアドレスから資金を引き出すことが可能だ。この入金と出金の分離こそが、追跡や凍結の取り組みにとってミキサーが厄介な障害であり続ける理由である。

Chainalysisも金の移動を追跡している。同社は火曜日にXへ投稿し、4月1日に攻撃者は攻撃に使用した5つのウォレットから単一の中継ウォレットへ、13回の個別の取引で資金を移したと述べた。そのウォレットはその後休止し、資金が100 ETH単位でTornado Cashへの移動を開始するまで動きはなかった。

今回の送金は、盗まれた資産をミキサーに通す最初の取り組みではない。Drift Exploiter 4と特定されたアドレスが、7月23日と24日に23,095 ETH(当時約4440万ドル相当)を同じミキサーに送金していた。

攻撃者ウォレットに残る資産

火曜日の入金後も、Arkhamは約1億9400万ドル相当の81,454 ETHを追跡し続けているとTFTCが伝えた。ハッカーの特定済み71のアドレスには合計約1億9858万ドルが保有されている。Arkhamのポートフォリオ表示では、USDT、USDC、Solana、USDY合わせて約56万1600ドルと、約15セント相当のFartcoin 1枚も確認されている。この残高規模が返金の成否を左右する重要な変数だ。追跡可能なウォレットに残っている資金は凍結や clawback(回収)の対象となり得る一方、ミキサーに入った資金ははるかに手出しが困難になる。

オンチェーン分析アカウントのLookonchainがXでこの送金を報告した:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

攻撃は当初Solanaベースのプロトコルを標的としたが、攻撃者はその後ブリッジ技術を利用して資産をETHに変換した。Driftの資産分布表によると、攻撃者は2億9570万ドル相当のトークンを持ち去った。内訳は、JLP(Jupiter Liquidity Provider Token)が1億5930万ドル、USDCが7140万ドルである。このクロスチェーン移動により、調査当局はミキサーが登場するから2つの別個の台帳をまたいで資金を追わざるを得なくなり、足取りは大幅に長くなった。

攻撃に先立つソーシャルエンジニアリング

Driftがdrift.tradeで公開した事後検証によると、4月1日の攻撃はプロトコルのコードの脆弱性を突いたものではなく、6か月にわたるソーシャルエンジニアリングに基づくものだった。

同じ事後検証を引用したTFTCの報道によれば、攻撃者はトレーディング企業を装い、信用を築くために実際の資金100万ドルを預け入れ、カンファレンスでDriftの関係者と直接面会もしていた。その後、攻撃者は開発者ツールにおけるコード実行の脆弱性と偽ウォレットアプリを組み合わせ、12分足らずでプロトコルから資金を流出させた。この事件は、分散型金融のセキュリティがオンチェーンのコードにとどまらず、プロトコルを取り巻く人材やツールにも及ぶことを浮き彫りにしている。

6月3日の返金活動に関する投稿で、DriftはMandiantのフォレンジック調査により、北朝鮮の脅威アクターUNC6862が攻撃の実行者と特定されたと述べた。DriftはMandiantの「他のプラットフォームへの同種の攻撃に関与する他の国家支援アクターとの直接的な関係」があるとの発言を引用した。

損失に比べ規模が小さい返金プール

Driftは10月1日にDFXトークンの請求受付を開始した。返金プールは当時310万ドルで、取引所の利益や clawback に応じて増える見込みだった。報告された2億9500万ドルの損失に比べ、早期請求者は1ドルにつき約1セントの返金が対象となった。

TFTCによると、法執行機関は約920万ドルを凍結しており、1ドルにつきほぼ3セントに相当する。攻撃者が依然として約1億9400万ドルを掌握し、そのうちTornado Cashへ移送される割合が増え続けている状況で、返金の見通しは限られたものにとどまっている。米国海外資産管理局(OFAC)は2022年にTornado Cashを制裁対象リストに載せたが、北朝鮮(DPRK)関連団体によるTornado Cash入金が回収されたという確認はない。今後の動向は3つの点で見えてくる。残りのウォレットからのさらなるTornado Cash入金のペース、新たな凍結や clawback の有無、そしてDFX返金プールの成長である。

DeFiLlamaの暗号資産ハッキング追跡データによると、Driftの攻撃事件は2026年に記録された暗号資産ハッキングとしては3番目に大きい。3億8750万ドルのBitget攻撃と3億2000万ドルのLiquid Network攻撃に次ぐ規模である。

Original report: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/