Кошельки, связанные со взломом децентрализованной биржи Drift Protocol на базе Solana 1 апреля, перевели 25 700 ETH — на сумму около $61,56 млн — в криптомиксер Tornado Cash примерно за два часа во вторник, согласно данным блокчейн-аналитической платформы Arkham Intelligence. Эта серия депозитов завершила двухмесячный период затишья для адресов, связанных с злоумышленником.

Данные о переводах от Arkham Intelligence показывают, что Ethereum поступал партиями по 100 ETH — примерно по $237 800 каждая — а также более мелкими частями по 10 ETH. Эти размеры соответствуют фиксированным пулам миксера, которые позволяют пользователям позже выводить средства с новых адресов и разрывать публично видимую связь между отправителем и получателем. Миксер находится под санкциями Казначейства США с августа 2022 года за использование при отмывании средств от криптохаков, однако депозиты во вторник показывают, что его пулы продолжают активно использоваться.

Страница сущности Arkham, отслеживающая 71 адрес, связанный с атакующим, по-прежнему показывает 81 454 ETH на этих кошельках после вторничных депозитов — на сумму примерно $198,58 млн по текущим ценам. Помимо Ethereum, кошельки содержат около $561 600 в других активах, включая USDT, USDC, Solana и USDY.

Вторничные переводы последовали за предыдущим раундом отмывания 23 и 24 июля, когда адрес, обозначенный как Drift Exploiter 4, отправил в тот же миксер около 23 095 ETH — на тот момент стоимостью около $44,4 млн. В сумме оба раунда провели через миксер примерно 48 800 ETH — около $106 млн по оценкам на момент каждой партии, — оставив большую часть отслеживаемого Ethereum на связанных кошельках.

Взлом 1 апреля затронул хранилища Drift на Solana после того, как атакующий получил права администратора, внедрил поддельный токен и использовал его для займа реальной ликвидности. Собственный раз активов Drift оценивает общую сумму хищения в $295,7 млн, включая $159,3 млн в JLP — токене Jupiter Liquidity Provider — и $71,4 млн в USDC, большая часть которых позже была обменена и переведена в Ethereum.

В портфеле Arkham до сих пор числится ровно один Fartcoin среди активов злоумышленника, стоимостью около 15 центов — далеко от $4,1 млн в Fartcoin, которые, по данным Drift, были похищены в апреле.

Drift сообщил в апреле, что атака была шестимесячной операцией, в ходе которой группа выдавала себя за количественную торговую фирму, встречалась с участниками лично и внесла $1 млн собственных средств для завоевания доверия. В июне Drift сообщил, что криминалистическая компания Mandiant связала атаку с UNC6862, северокорейской группой угроз.

Drift, перезапущенная биржа которого теперь работает как Velocity, открыл заявления на recovery-токен DFX 1 октября — ровно через шесть месяцев после взлома, выпуская один токен за каждый USDT подтвержденного убытка — всего около 299,5 млн. Пул восстановления на момент запуска содержал около 3,1 млн USDT, то есть ранние выкупы приносили примерно 0,0104 USDT за токен, или около цента за доллар.

Пул ежедневно получает от 60% до 90% чистого дохода протокола Velocity, с ростом по мере увеличения ежедневного дохода, а Tether выделил до 127,5 млн USDT на перезапуск и восстановление. Любые похищенные средства, возвращенные через заморозку, награду за информацию или правоохранительные органы, также поступают в пул. Однако возврат средств через отслеживание означает борьбу с ключевой особенностью конструкции миксера — разрывом видимого пути между отправителем и получателем.

Источник: Decrypt — Wallet Linked to Drift Exploit Sends $61 Million in Ethereum to Tornado Cash