Adres powiązany z kwietniowym skokiem na protokół Drift o wartości 295 mln USD wpłacił we wtorek 25 700 Ether (ETH) do usługi miksującej Tornado Cash. Transfer stanowi kontynuację procesu prania pieniędzy, który śledczy przypisują organizacji wspieranej przez państwo Korei Północnej, i może dodatkowo skomplikować działania na rzecz odzyskania środków dla tysięcy użytkowników Drift, którzy do tej pory nie otrzymali odszkodowania.

Dwie godziny transferów w transzach po 100 ETH

Wpłaty dokonano w ciągu około dwóch godzin i opiewały łącznie na około 61,56 mln USD w momencie transferu — według danych Arkham Intelligence. Portfel pozostawał uśpiony przez około dwa miesiące przed tą nagłą aktywnością.

Dzienniki transferów Arkham pokazują wpłaty w stałych kwotach 100 ETH, warte około 237 800 USD każda, a także mniejszeakcje po 10 ETH. Transfery po 100 ETH odpowiadają pulom depozytowym Tornado Cash. Usługa pozwala użytkownikom wypłacić środki później z innego adresu, zacierając powiązanie między nadawcą a odbiorcą. To rozdzielenie wpłaty i wypłaty sprawia, że mikser jest tak uporczywą przeszkodą dla działań śledczych i zamrażających.

Chainalysis również prześledziła ruch środków. W poście na X opublikowanym we wtorek firma podała, że 1 kwietnia sprawca przeniósł środki z pięciu portfeli użytych w ataku do jednego portfela pośredniego w ramach 13 osobnych transakcji. Portfel pozostawał następnie nieaktywny, aż środki zaczęły trafiać do Tornado Cash w transzach po 100 ETH.

Nie był to jednak pierwszy etap przepływu skradzionych aktyw przez mikser. Adres oznaczony jako Drift Exploiter 4 wysłał 23 i 24 lipca 23 095 ETH, warte wówczas około 44,4 mln USD, do tego samego miksera.

Aktywa pozostałe w portfelach sprawcy

Po wtorkowych wpłatach Arkham nadal śledzi 81 454 ETH warte około 194 mln USD — według TFTC. 71 zidentyfikowanych adresów hakerza trzymało łącznie około 198,58 mln USD. Widok portfela Arkham wykazał również około 561 600 USD w USDT, USDC, Solana i USDY, a także jednego Fartcoina wartego mniej więcej 15 centów. Wielkość tej pozostałej sali jest kluczową zmienną dla odzyskiwania środków: fundusze wciąż znajdujące się w możliwych do prześledzenia portfelach pozostają narażone na zamrożenie i odzyski, natomiast wszystko, co trafi do miksera, staje się znacznie trudniejsze do osiągnięcia.

Konto analityki on-chain Lookonchain zgłosiło transfer na X:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

Atak pierwotnie wymierzony był w protokół oparty na Solanie, jednak sprawca użył później technologii mostów, aby przekształcić aktywa w ETH. Zgodnie z tabelą dystrybucji aktywów Drift sprawca zabrał tokeny o wartości 295,7 mln USD, w tym 159,3 mln USD w JLP (J Liquidity Provider Token) oraz 71,4 mln USD w USDC. Ten przeskok między łańcuchami zmusił śledczych do śledzenia pożytków w dwóch osobnych rejestrach, wydłużając trop na długo zanim w grę wstąpił mikser.

Inżynieria społeczna poprzedziła atak

Z raportu powłamaniowego opublikowanego przez Drift na drift.trade wynika, że atak z 1 kwietnia nie wykorzystywał podatności w kodzie protokołu. Zamiast tego opierał się na inżynierii społecznej prowadzonej przez sześć miesięcy.

TFTC, powołując się na ten sam raport, podało, że sprawcy podszywali się pod firmę handlową i zdeponowali 1 mln USD prawdziwych środków, aby zbudować wiarygodność. Spotykali się również osobiście ze współpracownikami Drift na konferencjach. Następnie wykorzystali podatność umożliwiającą wykonanie kodu w narzędziach deweloperskich wraz z fałszywą aplikacją portfela, aby opróżnić protokół w mniej niż 12 minut. To wydarzenie pokazuje, że bezpieczeństwo w zdecentralizowanych finansach wykracza poza kod on-chain i obejmuje ludzi oraz narzędzia otaczające protokół.

W poście z 3 czerwca dotyczącym działań na rzecz odzyskania środków Drift poinformował, że według śledztwa kryminalistycznego Mandianta atak przeprowadziła grupa UNC6862, podmiot zagrożenia powiązany z Koreą Północną. Drift zacytował oświadczenie Mandianta o „bezpośrednich powiązaniach z innymi podmiotami wspieranymi przez państwo, zaangażowanymi w podobne ataki na innych platformach”.

Pula odszkodowawcza pozostaje niewielka w stosunku do strat

Drift otworzył roszczenia dla tokenów DFX 1 października. Pula odszkodowawcza wynosiła wówczas 3,1 mln USD i miała rosnąć dzięki zyskom z giełdy oraz odzyskom. Wobec 295 mln USD zgłoszonych strat wcześni roszczący mogli odzyskać około jednego centa od każdego dolara.

Organy ścigania zamroziły około 9,2 mln USD — według TFTC, co odpowiada niemal trzem centom od każdego dolara. Przy około 194 mln USD wciąż kontrolowanych przez sprawcę i rosnącym ud przenoszonym do Tornado Cash perspektywy odzysku pozostają ograniczone. Amerykański urząd kontroli aktywów zagranicznych (OFAC) umieścił mikser na czarnej liście w 2022 roku, jednak nie ma potwierdzenia, że jakakolwiek wpłata podmiotu powiązanego z KRLD została odzyskana. Dalsze wydarzenia będą widoczne w trzech miejscach: tempo kolejnych wpłat do Tornado Cash z pozostałych portfeli, ewentualne nowe zamrożenia i odzyski oraz wzrost puli odszkodowawczej DFX.

Eksploit na Drift jest trzecim co do wielkości włamaniem na kryptowaluty odnotowanym w 2026 roku według trackera exploitów krypto DeFiLlama. plasuje się za exploitem na Bitget o wartości 387,5 mln USD oraz exploitem na Liquid Network wartym 320 mln USD.

Oryginalny raport: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/