Portfel powiązany z hackiem protokołu Drift o wartości 295 milionów dolarów przeniósł około 61 milionów dolarów w Ethereum do Tornado Cash 20 października 2026 roku, kończąc blisko dwa miesiące uśpienia i odnawiając obawy dotyczące prania skradzionej kryptowaluty.

Dane śledzenia blockchain pokazują, że atakujący nadal kontroluje około 81 454 ETH o wartości około 194 milionów dolarów. Najnowszy ruch podkreśla trudności, przed którymi stają śledczy przy namierzaniu środków skradzionych z platform finansów zdecentralizowanych (DeFi).

25 700 ETH wysłane do Tornado Cash w ciągu dwóch godzin

Monitorowanie on-chain wykryło około 25 700 ETH wpływające do Tornado Cash w dwugodzinnym oknie we wtorek. Transakcje dotyczyły portfeli powiązanych z kwietniowym atakiem na Drift Protocol, zdecentralizowaną giełdę instrumentów pochodnych działającą na Solanie.

Tornado Cash zaciemnia historię transakcji poprzez łączenie depozytów kryptowalut z wielu adresów. Choć transakcje blockchain pozostają publicznie widoczne, usługa znacznie utrudnia powiązanie depozytów z kolejnymi wypłatami. Mikser od dawna znajduje się w centrum postępowań regulacyjnych i karnych: Departament Skarbu USA nałożył na niego sankcje w 2022 roku, choć zostały one zniesione w marcu 2025 roku po tym, jak federalny sąd apelacyjny uznał, że wpis przekroczył uprawnienia agencji. Śledczy z USA i ONZ wielokrotnie wskazywali tę usługę jako preferowany kanał prania pieniędzy dla hakerów powiązanych z Koreą Północną.

Aktywność z wtorku następuje po wcześniejszym przeniesieniu około 23 100 ETH przez mikser w lipcu. Nawet po obu transferach portfele powiązane z atakującym nadal utrzymują znaczne rezerwy kryptowalut. Przedłużone uśpienie, po którym następująapowe transfery, to wzorzec często obserwowany przez analityków w przypadku włamań o wysokiej wartości, gdzie skradzione środki pozostają bezczynne, zanim zostaną przekazane do mikserów partiami.

Mandiant powiązał hak z grupą północnokoreańską

Do naruszenia bezpieczeństwa doszło 1 kwietnia 2026 roku, gdy atakujący przełamali zabezpieczenia Drift Protocol i wypłucili około 295,4 miliona dolarów aktywów użytkowników. Śledczy następnie zbadali podejrzane transakcje, skompromitowane uprawnienia administracyjne oraz przepływ skradzionych środków w sieciach blockchain.

Śledztwo kryminalistyczne przeprowadzone przez firmę zajmującą się cyberbezpieczeństwem Mandiant przypisało atak grupie zagrożenia UNC6862 powiązanej z Koreą Północną, jak wcześniej informował CoinDesk. Odkrycia wzmocniły obawy dotyczące wyrafinowanych operacji cyberprzestępczych wymierzonych w infrastrukturę DeFi. Mandiant nadaje etykiety „UNC” klastrom aktywności, których jeszcze nie oficjalnie nazwano, a to przypisanie wpisuje się w szerszy wzorzec: grupy powiązane z Koreą Północną były implicowane w kradzieżach kryptowalut o łącznej wartości miliardów dolarów w ostatnich latach, z których wpływy — jak twierdzą badacze ONZ — pomagają finansować programy zbrojeniowe kraju.

Według doniesień atakujący spędzili miesiące na budowaniu relacji ze współpracownikami protokołu przed wykonaniem exploita. Operacja wykazała, jak inżynieria społeczna i skompromitowane uprawnienia administracyjne mogą podważyć platformy kryptowalutowe bez wykorzystywania tradycyjnych podatności inteligentnych kontraktów.

Program odzysku trwa w trakcie przepływów środków

Drift Protocol uruchomił program tokenów odzyskowych DFX 1 października, aby zrekompensować straty użytkownikom dotkniętym atakiem. Uprawnieni użytkownicy mogą zgłaszać tokeny reprezentujące ich straty i wymieniać je na dostępne środki odzyskowe.

Pula odzyskowa początkowo wynosiła około 3,1 miliona dolarów, a dodatkowe finansowanie może pochodzić z przychodów platformy, odzyskanych aktywów i innych wkładów — ułamek około 295,4 miliona dolarów straconych w wyniku naruszenia, co podkreśla, jak rzadko ofiary dużych exploitów kryptowalutowych otrzymują pełne odszkodowanie.

Najnowsze transfery Ethereum komplikują jednak wysiłki na rzecz namierzenia i odzyskania pozostałych skradzionych środków, zmuszając śledczych do dalszego monitorowania powiązanych portfeli, gdy atakujący przenosi aktywa przez usługi nastawione na prywatność, a obserwatorzy on-chain śledzą, czy kolejne partie pozostałych rezerw pojawią się w mikserze.

Incydent podkreśla utrzymujące się ryzyka bezpieczeństwa w finansach zdecentralizowanych i zwraca uwagę na potrzebę silniejszych zabezpieczeń administracyjnych, monitorowania transakcji oraz skoordynowanych wysiłków na rzecz odzysku aktywów.

Źródło: CryptoMeter io