Een adres dat gelinkt is aan de helft van $295 miljoen in de Drift Protocol-overval van april stortte dinsdag 25.700 Ether (ETH) in de Tornado Cash-mixer, waarmee een witwasproces wordt voortgezet dat onderzoekers hebben herleid tot een door de staat gesponsorde organisatie in Noord-Korea. Dit is van belang voor de duizenden Drift-gebruikers die nog steeds moeten worden uitbetaald.

Twee uur aan transacties in tranches van 100 ETH

De stortingen werden gedaan over een periode van ongeveer twee uur en bedroegen in totaal circa $61,56 miljoen ten tijde van de overdracht, volgens gegevens van Arkham Intelligence. De portemonnee had ongeveer twee maanden inactief geweest vóór deze plotselinge activiteit.

De transferlogs van Arkham tonen stortingen in vaste bedragen van 100 ETH, elk ter waarde van ongeveer $237.800, naast kleinere transacties van 10 ETH De overboekingen van 100 ETH komen overeen met de stortingspools van Tornado Cash. De dienst stelt gebruikers in staat om fondsen later vanaf een ander adres op te nemen, waardoor de verbinding tussen afzender en ontvanger wordt verdoezeld. Die ontkoppeling van storting en opname is wat de mixer een hardnekkig obstakel maakt voor traceer- en bevriezingsinspanningen.

Chainalysis heeft de beweging van de fondsen ook in kaart gebracht. In een X-bericht dat dinsdag werd gepubliceerd, verklaarde het bedrijf dat de aanvaller op 1 april de fondsen van de vijf portemonnees die bij de aanval werden gebruikt, verplaatste naar één tussenliggende portemonnee in dertien afzonderlijke transacties. Die portemonnee bleef vervolgens inactief totdat de fondsen in tranches van 100 ETH naar Tornado Cash begonnen te stromen.

Deze overdracht was niet de eerste poging om de gestolen activa via de mixer te verplaatsen. Een adres dat bekendstaat als Drift Exploiter 4 stuurde op 23 en 24 juli 23.095 ETH, destijds ter waarde van ongeveer $44,4 miljoen, naar Tornado Cash.

Activa die nog in de portemonnees van de aanvaller zitten

Na de stortingen van dinsdag houdt Arkham nog 81.454 ETH bij, ter waarde van ongeveer $194 miljoen, aldus TFTC. De 71 geïdentificeerde adressen van de hacker bevatten in totaal ongeveer $198,58 miljoen. De portefeuilleweergave van Arkham toonde bovendien ongeveer $561.600 in USDT, USDC, Solana en USDY, evenals één Fartcoin ter waarde van ongeveer 15 cent. De omvang van dat restsaldo is de cruciale variabele voor het herstel: fondsen die zich nog in traceerbare portemonnees bevinden, blijven blootgesteld aan bevriezingen en terugvorderingen, terwijl alles wat de mixer ingaat veel moeilijker te bereiken is.

Het on-chain analyseaccount Lookonchain meldde de overdracht op X:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

De aanval richtte zich oorspronkelijk op een op Solana gebaseerd protocol, maar de aanvaller gebruikte later bruggentechnologie om de activa naar ETH te converteren. Volgens de activaverdelingstabel van Drift nam de aanvaller tokens mee ter waarde van $295,7 miljoen, waaronder $159,3 miljoen inLP, de Jupiter Liquidity Provider Token, en $71,4 miljoen in USDC. Die cross-chain sprong dwong onderzoekers om de opbrengsten over twee afzonderlijke grootboeken te volgen, waardoor het spoor al verlengd werd voordat de mixer in beeld kwam.

Social engineering ging de aanval vooraf

Het post-mortem van Drift op drift.trade stelde dat de aanval van 1 april geen kwetsbaarheid in de protocolcode misbruikte. In plaats daarvan leunde het op social engineering die gedurende een periode van zes maanden werd uitgevoerd.

TFTC meldde, verwijzend naar hetzelfde post-mortem, dat de aanvallers zich voordeden als een handelsbedrijf en $1 miljoen aan echte fondsen stortten om geloofwaardigheid op te bouwen. Ze ontmoetten ook persoonlijk Drift-medewerkers op conferenties. Vervolgens maakten de aanvallers gebruik van een code-uitvoeringskwetsbaarheid in ontwikkelaarstools in combinatie met een nep-portemonnee-applicatie om het protocol in minder dan 12 minuten leeg te trekken. Deze episode onderstreept dat beveiliging in gedecentraliseerde financiën verder reikt dan on-chain code tot aan de mensen en tooling rondom een protocol.

In een bericht van 3 juni over haar herstelinspanningen verklaarde Drift dat een forensisch onderzoek van Mandiant UNC6862, een Noord-Koreaanse dreigingsactor, verantwoordelijk hield voor de aanval. Drift citeerde Mandiant met de mededeling dat er "directe banden zijn met andere door de staat gesponsorde actoren die betrokken zijn bij vergelijkbare aanvallen op andere platforms."

Herstelpool blijft klein ten opzichte van de verliezen

Drift opende op 1 oktober de claims voor DFX-tokens. De herstelpool bevatte destijds $3,1 miljoen en zou moeten groeien via beurswinsten en terugvorderingen. Gemeten naar de gerapporteerde verliezen van $295 miljoen, kwamen vroege claimanten slechts in aanmerking voor ongeveer één cent per verloren dollar.

De politie heeft ongeveer $9,2 miljoen bevroren, aldus TFTC, gelijk aan bijna drie cent per verloren dollar. Nu ongeveer $194en nog in handen is van de aanvaller en een groeiend deel is overgemaakt naar Tornado Cash, blijft het herstelperspectief beperkt. Het Amerikaanse Office of Foreign Assets Control zette Tornado Cash in 2022 op de zwarte lijst, maar er is geen bevestiging dat een storting door een aan DPRK gelinkte entiteit is teruggevorderd. Wat er hierna gebeurt, zal op drie plaatsen zichtbaar zijn: het tempo van verdere Tornado Cash-stortingen vanuit de resterende portemonnees, nieuwe bevriezingen of terugvorderingen, en de groei van de DFX-herstelpool.

De Drift-exploit is volgens de DeFiLlama crypto exploits tracker de op twee na grootste crypto-hack die in 2026 is geregistreerd. Hij staat achter de $387,5 miljoen Bitget-exploit en de $320 miljoen Liquid Network-exploit.

Origineel bericht: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/