Кошелёк, связанный со взломом протокола Drift на $295 млн, перевёл около $61 млн в Ethereum через Tornado Cash 20 октября 2026 года, завершив почти двухмесячный период бездействия и вновь вызвав опасения по поводу отмывания украденной криптовалюты.

Данные блокчейн-отслеживания показывают, что атакующий по-прежнему контролирует примерно 81 454 ETH на сумму около $194 млн. Последнее перемещение подчёркивает трудности, с которыми сталкиваются расследователи при отслеживании средств, украденных с платформ децентрализованных финансов (DeFi).

25 700 ETH отправлено в Tornado Cash за два часа

Мониторинг блокчейна зафиксировал поступление около 25 700 ETH в Tornado Cash в течение двухчасового окна во вторник. Транзакции затронули кошельки, связанные с апрельской атакой на Drift Protocol — децентрализованную платформу деривативов, работающую на Solana.

Tornado Cash скрывает историю транзакций, объединяя депозиты криптовалюты с нескольких адресов. Хотя транзакции в блокчейне остаются общедоступными, сервис существенно затрудняет связь между депозитами и последующими выводами. Миксер давно находится в центре регуляторных и уголовных разбирательств: министерство финансов США ввело против него санкции в 2022 году, однако в марте 2025 года они были сняты после того, как федеральный апелляционный суд признал, что санкционное обозначение превысило полномочия ведомства. Расследователи США и ООН неоднократно называли этот сервис предпочтительным каналом отмывания средств для хакеров, связанных с Северной Кореей.

Активность во вторник последовала за более ранним перемещением около 23 100 ETH через миксер в июле. Даже после обоих переводов кошельки, связанные с атакующим, продолжают удерживать значительные криптовалютные резервы. Длительное бездействие с последующими поэтапными переводами — закономерность, которую аналитики часто наблюдали в случаях крупных взломов: украденные средства остаются без движения, прежде чем партиями направляться в миксеры.

Mandiant связала взлом с северокорейской группировкой

Взлом произошёл 1 апреля 2026 года, когда злоумышленники скомпрометировали Drift Protocol и вывели пользовательские активы на сумму около $295,4 млн. Впоследствии расследователи изучали подозрительные транзакции, скомпрометированные административные права и перемещение украденных средств через блокчейн-сети.

Судебно-техническое расследование, проведённое компанией кибербезопасности Mandiant, связало атаку с UNC6862 — северокорейской группировкой угроз, как ранее сообщал CoinDesk. Выводы усилили опасения по поводу сложных киберпреступных операций, нацеленных на инфраструктуру DeFi. Mandiant присваивает метки «UNC» кластерам активности, которые ещё не получили официального названия, и данная атрибуция вписывается в более широкую закономерность: группировки, связанные с Северной Кореей, в последние годы причастны к кражам криптовалюты на миллиарды долларов, доходы от которых, по данным исследователей ООН, помогают финансировать ракетные программы страны.

По имеющимся данным, злоумышленники несколько месяцев выстраивали отношения с участниками разработки протокола, прежде чем осуществить эксплойт. Операция показала, как социальная инженерия и скомпрометированные административные механизмы могут подорвать безопасность криптовалютных платформ без использования традиционных уязвимостей смарт-контрактов.

Программа компенсаций продолжается на фоне перемещения средств

Drift Protocol запустил программу компенсационных токенов DFX 1 октября для выплат пользователям, пострадавшим от атаки. Правомочные пользователи могут получить токены, соответствующие их убыткам, и обменять их на доступные средства восстановления.

Пул восстановления изначально составлял около $3,1 млн, а дополнительное финансирование возможно за счёт доходов платформы, возвращённых активов и других поступлений — это лишь малая часть от примерно $295,4 млн, потерянных в результате взлома, что подчёркивает, как редко пострадавшие от крупных криптоэксплойтов получают полное возмещение.

Последние переводы Ethereum, однако, осложняют усилия по отслеживанию и возврату оставшихся украденных средств, требуя от расследователей продолжать мониторинг связанных кошельков, пока атакующий перемещает активы через сервисы, ориентированные на конфиденциальность; наблюдатели за блокчейном отслеживают, не появятся ли в миксере новые партии оставшихся резервов.

Инцидент подчёркивает сохраняющиеся риски безопасности в децентрализованных финансах и указывает на необходимость более надёжных административных мер защиты, мониторинга транзакций и скоординированных усилий по возврату активов.

Источник: CryptoMeter io