Een wallet die verbonden is met de hack van $295 miljoen op Drift Protocol verplaatste op 20 oktober 2026 ongeveer $61 miljoen in Ethereum naar Tornado Cash, waarmee een periode van bijna twee maanden inactiviteit eindigde en de zorgen over het witwassen van gestolen crypto renewed werden.

Blockchain-trackingdata toont aan dat de aanvaller nog steeds ongeveer 81.454 ETH beheert, ter waarde van circa $194 miljoen. De laatste beweging onderstreept hoe moeilijk het voor onderzoekers is om fondsen te traceren die van gedecentraliseerde financieringsplatforms (DeFi) zijn gestolen.

25.700 ETH binnen twee uur naar Tornado Cash gestuurd

On-chain monitoring detecteerde ongeveer 25.700 ETH die binnen een tijdvenster van twee uur naar Tornado Cash stroomde, op dinsdag. De transacties betroffen wallets die gelinkt zijn aan de aanval in april op Drift Protocol, een gedecentraliseerde derivatenbeurs gebouwd op Solana.

Tornado Cash versluiertert transactiegeschiedenissen door cryptostortingen van meerdere adressen samen te voegen. Hoewel blockchaintransacties publiek zichtbaar blijven, maakt de dienst het aanzienlijk moeilijker om stortingen te koppelen aan daaropvolgende opnames. De mixer staat al lang in het centrum van regelgevende en strafrechtelijke procedures: het Amerikaanse ministerie van Financiën sanctioneerde de dienst in 2022, al werden die sancties in maart 2025 ingetrokken nadat een federale beroepsrechtbank oordeelde dat de maatregel de bevoegdheid van het agentschap had overschreden. Amerikaanse en VN-onderzoekers hebben de dienst herhaaldelijk aangewezen als een favoriet witwaskanaal voor hackers met banden tot Noord-Korea.

De activiteit van dinsdag volgt op een eerdere verplaatsing van ongeveer 23.100 ETH via de mixer in juli. Zelfs na beide overdrachten houden wallets die aan de aanvaller gelinkt zijn aanzienlijke cryptoreserves aan. Langdurige inactiviteit gevolgd door gefaseerde overdrachten is een patroon dat analisten vaak hebben waargenomen bij waardevolle exploits, waarbij gestolen fondsen eerst stil blijven liggen voordat ze in batches naar mixers worden gestu.

Mandiant koppelt hack aan Noord-Koreaanse groep

De inbreuk vond plaats op 1 april 2026, toen aanvallers Drift Protocol compromitteerden en ongeveer $295,4 miljoen aan gebruikersactiva onttrokken. Onderzoekers onderzochten vervolgens verdachte transacties, gecompromitteerde beheerdersrechten en de verplaatsing van gestolen fondsen over blockchainnetwerken.

Een forensisch onderzoek door cybersecuritybedrijf Mandiant schreef de aanval toe aan UNC6862, een Noord-Koreaanse dreigingsgroep, zoals eerder gerapporteerd door CoinDesk. De bevindingen versterkten de zorgen over geavanceerde cybercriminele operaties die zich richten op DeFi-infrastructuur. Mandiant wijst "UNC"-labels toe aan activiteitsclusters die het nog niet formeel heeft benoemd, en de toerekening past in een breder patroon: aan Noord-Korea gelinkte groepen zijn de afgelopen jaren in verband gebracht met cryptodiefstallen van miljarden dollars, waarvan VN-onderzoekers zeggen dat de opbrengsten helpen bij het financieren van het wappenprogramma van het land.

De aanvallers zouden maandenlang relaties hebben opgebouwd met bijdragers aan het protocol voordat ze de exploit uitvoerden. De operatie toonde aan hoe social engineering en gecompromitteerde beheercontroles cryptoplatforms kunnen ondermijnen zonder conventionele smart contract-kwetsbaarheden te misbruiken.

Herstelprogramma gaat door terwijl fondsen worden verplaatst

Drift Protocol lanceerde op 1 oktober zijn DFX-hersteltokenprogramma om getroffen gebruikers te compenseren. In aanmerking komende gebruikers kunnen tokens claimen die hun verlies vertegenwoordigen en deze inwisselen tegen beschikbare herstelfondsen.

De herstelpool bevatte aanvankelijk ongeveer $3,1 miljoen, met aanvullende financiering mogelijk uit platforminkomsten, teruggevorderde activa en andere bijdragen — een fractie van de circa $295,4 miljoen die bij de inbreuk verloren ging, wat onderstreept hoe zelden slachtoffers van grote crypto-exploits volledig schadeloos worden gesteld.

De laatste Ethereum-overdrachten bemoeilijken echter de inspanningen om de resterende gestolen fondsen te traceren en terug te vorderen, waardoor onderzoekers de bijbehorende wallets moeten blijven monitoren terwijl de aanvaller activa verplaatst via privacygerichte diensten, waarbij on-chain waarnemers volgen of verdere batches van de resterende reserves opduiken bij de mixer.

Het incident onderstreept aanhoudende beveiligingsrisico's binnen de gedecentraliseerde financiering en benadrukt de noodzaak van sterkere beheerbescherming, transactiemonitoring en gecoördineerde inspanningen voor asset recovery.

Bron: CryptoMeter io