Компания блокчейн-аналитики Chainalysis выявила этап консолидации кошельков в продолжающемся деле об эксплойте Drift, сообщив, что средства с пяти отдельных связанных с атакой кошельков были переведены на один промежуточный адрес — структуру, которую она характеризует как «транзитный кошелек». Этот перевод является отслеживаемым событием в блокчейне и указывает на то, что эксплойтер активно управляет маршрутизацией похищенных активов в сети.

Chainalysis отследила пять кошельков эксплойта Drift до одного транзитного адреса

Согласно публикации Chainalysis в X, сторона, ответственная за эксплойт Drift, перемещала активы через пять кошельков, связанных с инцидентом, прежде чем консолидировать их на одном транзитном адресе. Компания выявила это перемещение с помощью своих возможностей блокчейн-трассировки, которые широко используются биржами, правоохранительными органами и комплаенс-командами для отслеживания средств после инцидентов безопасности.

Консолидация пяти кошельков в один промежуточный — это конкретное, наблюдаемое событие в блокчейне. Ранее Chainalysis применяла сопоставимые методологии трассировки к громким инцидентам в децентрализованных финансах, включая работу по мониторингу активности в блокчейне, связанной с Polymarket, для выявления подозрительных торговых паттернов. Отслеживание потоков средств между кошельками является ключевым для того, как компании блокчейн-форензики устанавливают хронологию событий после эксплойта.

Drift Protocol — это платформа для торговли бессрочными контрактами и спотом, построенная на Solana. Ее инфраструктура обслуживает значительную пользовательскую ликвидность в плечевых позициях, что делает любой эксплойт предметом беспокойства для трейдеров с открытыми позициями или внесенным обеспечением на платформе.

Почему транзитный кошелек важен отслеживании средств после эксплойта

Транзитный кошелек — также называемый промежуточным или релейным адресом — выполняет функцию временной точки хранения между местом происхождения средств и тем, куда они в конечном итоге будут отправлены. В блокчейн-форензике появление транзитного кошелька указывает на то, что эксплойтер предпринял сознательный шаг по реорганизации активов, возможно, перед переводом через мост на другую сеть, обменом на другой токен или проведением средств через микшер.

Объединение пяти кошельков эксплойта в один адрес является значимым паттерном для следователей. Консолидация нескольких исходных кошельков в одной точке сокращает адресный след и может стать предвестником дальнейших шагов по запутыванию. В то же время сам акт консолидации является отслеживаемым, и каждый из пяти исходных кошельков остается частью постоянной записи в блокчейне.

Следователи также проводят четкую границу между тем, что устанавливает блокчейн-трассировка, и тем, что она не устанавливает. Подтверждение того, что средства переместились с пяти кошельков на транзитный кошелек, проверяет путь транзакций, но само по себе не устанавливает, кто контролирует этот адрес, перемещались ли средства с тех пор снова и возможно ли возврат активов. Цитируемый отчет Chainalysis документирует перемещение; он не объявляет о возврате каких-либо активов и не идентифицирует какое-либо лицо.

Специалисты по блокчейн-расследованиям рассматривают идентификацию промежуточного кошелька как ранний этап трассировки. Пока средства находятся на транзитном кошельке, существует окно, в течение которого биржи и протоколы мостов могут быть предупреждены о необходимости помечать любые входящие переводы с этого адреса. Как долго это окно останется открытым, зависит от того, насколько быстро эксплойтер перейдет к следующему этапу.

Что остается неизвестным после сообщения о переводе

Доступная информация от Chainalysis устанавливает одно конкретное событие: пять кошельков эксплойта были опустошены на один транзитный кошелек. Отчет не устанавливает, кто контролирует этот адрес, какие активы он в настоящее время хранит, в какой сети находятся эти активы и куда направляются средства дальше. Это одни из открытых вопросов, на которые судебная трассировка пытается ответить на последующих этапах.

Окончательный финансовый масштаб эксплойта — включая общую извлеченную стоимость, конкретные задействованные токены и любое распределение по затронутым пользовательским позициям — не содержится в текущем отчете о трассировке. Если эти цифры появятся в собственных публикациях Drift после инцидента или в дальнейших обновлениях Chainalysis, они дадут более полную картину влияния инцидента на ликвидность протокола.

Для пользователей и поставщиков ликвидности на Drift ключевой нерешенный вопрос заключается в том, могут ли какие-либо средства быть перехвачены или возвращены. Идентификация транзитного кошелька — необходимый, но недостаточный шаг к возврату средств. Путь от идентификации кошелька до фактического возврата активов обычно предполагает координацию с централизованными шлюзами, операторами межсетевых мостов, а в некоторых случаях с правоохранительными органами, обладающими юрисдикцией в отношении идентифицируемых контрагентов.

Следующим значимым событием в блокчейне, за которым стоит следить, является то, распределит ли транзитный кошелек своиы дальше, переместятся ли они на распознаваемый депозитный адрес биржи или попадут ли они в протокол конфиденциальности. Каждый из этих исходов имеет разные последствия для отслеживаемости и любых усилий по возврату средств. Пока не появятся дополнительные данные из блокчейна, отчет Chainalysis помещает средства на один подтвержденный промежуточный этап в цепочке событий, которая остается неразрешенной.