Адрес, связанный с кражей $295 млн у протокола Drift в апреле, во вторник внес 25 700 Ether (ETH) в сервис смешивания Tornado Cash. Этот перевод стал продолжением процесса отмывания средств, который, по данным следствия, ведет к северокорейской организации, спонсируемой государством, и может дополнительно осложнить усилия по возврату средств для тысяч пользователей Drift, которым еще не выплачена компенсация.

Два часа переводов траншами по 100 ETH

По данным Arkham Intelligence, депозиты были внесены в течение примерно двух часов и на момент перевода составили около $61,56 млн. Кошелек оставался неактивным в течение примерно двух месяцев до этой внезапной активности.

Журналы переводов Arkham показывают депозиты фиксированными суммами по 100 ETH, стоимостью около $237 800 каждый, а также более мелкие транзакции по 10 ETH. Переводы по 100 ETH соответствуют депозитным пулам Tornado Cash. Сервис позволяет пользователям позже вывести средства с другого адреса, скрывая связь между отправителем и получателем. Именно это разделение депозита и вывода делает миксер таким устойчивым препятствием для отслеживания и заморозки средств.

Компания Chainalysis также отследила движение средств. В публикации X, вышедшей во вторник, сообщается, что 1 апреля злоумышленник перевел средства с пяти кошельков, использованных при атаке, на единый промежуточный кошелек в рамках 13 отдельных транзакций. Этот кошелек затем оставался неактивным, пока средства не начали поступать в Tornado Cash траншами по 100 ETH.

Это был не первый вывод похищенных активов через миксер. Адрес, идентифицированный как Drift Exploiter 4, отправил 23 095 ETH, стоившие на тот момент примерно $44,4 млн, в Tornado Cash 23 и 24 июля.

Активы, оставшиеся в кошельках злоумышленника

После вторничных депозитов Arkham продолжает отслеживать 81 454 ETH стоимостью примерно $194 млн, по данным TFTC. В 71 идентифицированном адресеакера в сумме находилось около $198,58 млн. Портфельный обзор Arkham также показал около $561 600 в USDT, USDC, Solana и USDY, а также один Fartcoin стоимостью примерно 15 центов. Размер этого остатка — ключевая переменная для возврата средств: активы, оставшиеся в отслеживаемых кошельках, все еще подвержены риску заморозки и изъятия, тогда как все, что попадает в миксер, становится гораздо труднее достичь.

Аналитический ончейн-аккаунт Lookonchain сообщил о переводе в X:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

Изначально атака была направлена против протокола на базе Solana, однако позднее злоумышленник использовал технологию мостов, чтобы конвертировать активы в ETH. Согласно таблице распределения активов Drift, злоумышленник похитил токены на сумму $295,7 млн, в том числе JLP (Jupiter Liquidity Provider Token) на $159,3 млн и USDC на $71,4 млн. Этот межсетевой переход вынудил следователей отслеживать выручку в двух отдельных реестрах, удлинив след задолго до появления миксера.

Атаке предшествовала социальная инженерия

Согласно посмертному разбору Drift на drift.trade, атака 1 апреля не использовала уязвимость в коде протокола. Вместо этого она опиралась на социальную инженерию, проводившуюся в течение шести месяцев.

TFTC со ссылкой на тот же разбор сообщает, что злоумышленники выдавали себя за торговую компанию и разместили $1 млн реальных средств для завоевания доверия. Они также встречались с участниками Drift лично на конференциях. Впоследствии злоумышленники использовали уязвимость выполнения кода в инструментах разработчика в сочетании с поддельным приложением кошелька, чтобы опустошить протокол менее чем за 12 минут. Этот случай подчеркивает, что безопасность в децентрализованных финансах выходит за рамки ончейн-кода и включает людей и инструментарий, окружающий протокол.

В публикации от 3 июня о своих усилиях по возврату средств Drift сообщил, что, согласно криминалистическому расследованию Mandiant, атака была совершена UNC6862 — северокорейским субъектом угроз. Drift процитировал заявление Mandiant о «прямых связях с другими субъектами, спонсируемыми государством, причастными к схожим атакам на других платформах».

Пул восстановления мал по сравнению с потерями

Drift открыл прием заявок на токены DFX 1 октября. Пул восстановления на тот момент составлял $3,1 млн и, как ожидалось, должен был увеличиваться за счет биржевой прибыли и изъятий. С учетом потерь на $295 млн ранние заявители могли рассчитывать примерно на один цент за каждый потерянный доллар.

Правоохранительные органы заморозили около $9,2 млн, по данным TFTC, что эквивалентно почти трем центам за каждый потерянный доллар. Поскольку около $194 млн все еще контролируются злоумышленником и все большая доля переводится в Tornado Cash, перспективы возврата средств остаются ограниченными. Управление по контролю за иностранными активами США внесло Tornado Cash в черный список в 2022 году, однако подтверждений того, что какой-либо депозит, сделанный связанным с КНДР субъектом, был изъят, нет. Дальнейшие события можно будет наблюдать в трех местах: темпы дальнейших депозитов в Tornado Cash с оставшихся кошельков, новые заморозки или изъятия и рост пула восстановления DFX.

По данным трекера криптовалютных эксплойтов DeFiLlama, взлом Drift является третьим по величине взломом криптовалют, зафиксированным в 2026 году, уступая эксплойту Bitget на $387,5 млн и эксплойту Liquid Network на $320 млн.

Оригинальный отчет: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/