Firma analityki blockchainowej Chainalysis zidentyfikowała etap konsolidacji portfeli w trwającej sprawie exploitu Drift, informując, że środki z pięciu oddzielnych portfeli powiązanych z exploitem zostały przeniesione na jeden adres pośredni — strukturę, którą określa jako „portfel przelotowy” (stopover wallet). Transfer stanowi śledzalny rozwój wydarzeń on-chain i wskazuje, że sprawca aktywnie zarządza tym, jak skradzione aktywa są trasowane przez blockchain.

Chainalysis śledzi pięć portfeli z exploitu Drift do jednego adresu przelotowego

Według wpisu Chainalysis na X strona odpowiedzialna za exploit Drift przenosiła aktywa przez pięć portfeli powiązanych ze zdarzeniem, zanim scaliła je na jednym adresie przelotowym. Firma zidentyfikowała ten ruch dzięki swoim możliwościom śledzenia on-chain, które są szeroko wykorzystywane przez giełdy, organy ścigania i zespoły compliance do podążania za środkami po incydentach bezpieczeństwa.

Konsolidacja pięciu portfeli w jeden pośredni to konkretnie, obserwowalne zdarzenie on-chain. Chainalysis stosowała wcześniej porównywalne metodyki śledzenia w głośnych incydentach w finansach zdecentralizowanych, w tym w pracy monitorującej aktywność on-chain związaną z Polymarket w celu wykrywania podejrzanych wzorców handlowych. Śledzenie przepływów środków międzyfelami stanowi rdzeń sposobu, w jaki firmy kryminalistyki blockchainowej ustalają harmonogramy zdarzeń po exploicie.

Drift Protocol to platforma handlu instrumentami perpetuals i spot zbudowana na Solana. Jej infrastruktura obsługuje znaczną płynność użytkowników w pozycjach lewarowanych, co sprawia, że każdy incydent typu exploit budzi obawy traderów z otwartymi pozycjami lub zdeponowanym zabezpieczeniem na platformie.

Dlaczego portfel przelotowy ma znaczenie w śledzeniu środków z exploitów

Portfel przelotowy — zwany także adresem pośrednim lub przekaźnikowym — pełni funkcję tymczasowego punktu przechowywania między miejscem pochodzenia środków a ich ostatecznym przeznaczeniem. W kryminalistyce on-chain pojawienie się portfela przelotowego wskazuje, że sprawca dokonał świadomego kroku w celu reorganizacji aktywów, potencjalnie przed przeniesieniem ich na inny łańcuch, wymianą na inny token lub przepuszczeniem przez mikser.

Scalenie pięciu portfeli z exploitem w jeden adres to istotny wzorzec dla śledczych. Konsolidacja wielu portfeli źródłowych w jeden punkt zmniejsza ślad adresowy i może stanowić zapowiedź dalszych kroków utrudniających śledzenie. Jednocześnie sam akt konsolidacji jest śledzalny, a każdy z pięciu portfeli źródłowych pozostaje częścią trwałego zapisu on-chain.

Śledczy wyraźnie też rozgraniczają to, co śledzenie blockchainowe ustala, od tego, czego ustalić nie może. Potwierdzenie, że środki przeniesiono z pięciu portfeli do portfela przelotowego, weryfikuje ścieżkę transakcji, ale samo w sobie nie ustala, kto kontroluje adres, czy środki od tego czasu ponownie się przeniosły ani czy odzysk jest możliwy. Raport Chainalysis, o ile jest przywołany, dokumentuje ruch; nie ogłasza odzysku aktywów ani nie identyfikuje żadnej osoby.

Śledczy native dla blockchain traktują identyfikację portfela pośredniego jako wczesny etap śledzenia. Dopóki środki znajdują się w portfelu przelotowym, istnieje okno czasowe, w którym giełdy i protokoły bridge mogą zostać powiadomione, aby oznaczać wszelkie przychodzące transfery z tego adresu. Jak długo to okno pozostanie otwarte, zależy od tego jak szybko sprawca przejdzie do kolejnego etapu.

Co pozostaje nieznane po zgłoszonym transferze

Dostępne informacje z raportu Chainalysis ustalają jedno konkretne zdarzenie: pięć portfeli z exploitem zostało opróżnionych do jednego portfela przelotowego. Raport nie ustala, kto kontroluje ten adres, jakie aktywa obecnie przechowuje, na jakim łańcuchu się one znajdują ani dokąd środki zmierzają dalej. To jedne z otwartych pytań, na które śledzenie kryminalistyczne próbuje odpowiedzieć w kolejnych krokach.

Ostateczny zakres finansowy exploitu — w tym łączna wartość wydobytą, konkretne zaangażowane tokeny oraz ewentualny podział według dotkniętych pozycji użytkowników — nie jest zawarty w obecnym raporcie śledczym. Gdyby te dane pojawiły się dzięki własnym ujawnieniom poincydentalnym Drift lub dalszym aktualizacjom Chainalysis, dałyby pełniejszy obraz wpływu incydentu na płynność protokołu.

Dla użytkowników i dostawców płynności na Drift kluczowym otwartym pytaniem jest, czy jakiekolwiek środki mogą zostać przechwycone lub zwrócone. Identyfikacja portfela przelotowego to konieczny, ale niewystarczający krok w kierunku odzysku. Ścieżka od identyfikacji portfela do faktycznego zwrotu aktywów zazwyczaj wymaga koordynacji ze scentralizowanymi punktami wejścia, operatorami mostów międzyłańcuchowych, a w niektórych przypadkach z organami ścigania posiadającymi jurysdykcję nad identyfikowalnymi kontrahentami.

Kolejnym istotnym rozwojem wydarzeń on-chain do obserwacji jest to, czy portfel przelotowy rozdystrybuuje swoje zasoby dalej, czy aktywa trafią na rozpoznawalny adres depozytowy giełdy albo do protokołu prywatności. Każdy z tych scenariuszy niesie różne implikacje dla śledzalności i ewentualnych działań odzyskowych. Dopóki nie pojawią się dodatkowe dowody on-chain, raport Chainalysis umieszcza środki na jednym potwierdzonym etapie pośrednim w łańcuchu zdarzeń, który pozostaje nierozstrzygnięty.