El explotador de Drift mueve $44 millones a través de Tornado Cash tras meses

Una billetera vinculada al exploit de $285 millones del Drift Protocol movió 23,095.1 Ether, por un valor de aproximadamente $44.4 millones, a Tornado Cash después de aproximadamente tres meses de inactividad.

Resumen

• El explotador de Drift depositó 23,095 ETH en Tornado Cash tras permanecer inactivo durante tres meses.
• ZachXBT declinó seguir rastreando, citando los recursos necesarios para monitorear y congelar un robo de nueve cifras vinculado a Corea del Norte.
• Drift había anunciado previamente un programa de recompensas de recuperación con Arkham y Bybit, en contra de las afirmaciones en línea.

La misma dirección envió 0.85 ETH a billeteras etiquetadas como direcciones de depósito de Bybit, según registros de Etherscan y monitoreo atribuido a PeckShield.

Las transferencias comenzaron el 23 de julio y continuaron hasta el 24 de julio, según muestran los registros en cadena. El investigador JL, conocido como 0xJaelle, señaló el movimiento y etiquetó a ZachXBT. El investigador respondió que no planeaba seguir rastreando los fondos sin apoyo institucional.

El explotador de Drift moviendo fondos finalmente.

Onchain Lens informó primero que el atacante había reanudado la actividad y estaba enviando lotes de 100 ETH al mezclador varias veces por minuto. La billetera había permanecido en gran medida inactiva desde el ataque de abril.

Tornado Cash agrupa depósitos y permite retiros posteriores a través de diferentes direcciones. Eso puede debilitar el vínculo público directo entre las billeteras de envío y recepción. Los investigadores aún pueden usar el tiempo, patrones de transacción y actividad de intercambio, pero el proceso requiere más datos y personal.

El movimiento cubre solo una parte del robo original. La actualización de recuperación de Drift en abril valoró los activos robados en $295.7 millones en JLP, USDC, tokens vinculados a Bitcoin, SOL, WETH y otros activos. El protocolo dijo que gran parte del valor convertido permanecía en cuatro billeteras de Ethereum marcadas.

ZachXBT escribió: "Lo siento, actualmente no tengo planes de rastrear estos fondos más allá". Dijo que monitorear un exploit vinculado a Corea del Norte de nueve cifras y trabajar hacia posibles congelaciones requeriría recursos más allá de un investigador independiente.

Describió la tarea como "difícil para un equipo y no factible para una sola persona". ZachXBT también dijo que Drift no era un donante ni un cliente. Su respuesta en X llamó la atención sobre el costo de las investigaciones que continúan durante meses.

Los comentarios no indican que ninguna organización esté observando las billeteras. Drift ha dicho que trabaja con las fuerzas del orden, Mandiant y empresas de inteligencia de blockchain. Etherscan continúa etiquetando la dirección, mientras que los intercambios pueden revisar los depósitos conectados a billeteras marcadas.

En otros lugares, ZachXBT criticó a Circle después de que aproximadamente $232 millones en USDC robados cruzaran de Solana a Ethereum durante el ataque de abril. Los fondos se movieron a través del sistema de cadena cruzada de Circle antes de que el atacante convirtiera gran parte del valor en ETH.

JL dijo más tarde que era sorprendente que Drift no hubiera creado una recompensa de recuperación. El registro público de Drift muestra que había anunciado planes para una. El 16 de abril, el protocolo dijo que estaba desarrollando un programa de recompensas con el apoyo de Arkham y Bybit.

Sin embargo, la actualización no proporcionó un monto final de recompensa, reglas de elegibilidad ni un cronograma de pago. Sigue sin estar claro si el programa se activó por completo, si cubría el monitoreo continuo de billeteras o si los investigadores independientes podrían reclamar el pago por trabajos de rastreo posteriores.

Drift también creó un plan de recuperación para usuarios separado del seguimiento de fondos robados. Tether propuso hasta $127.5 millones en apoyo. Drift planea emitir tokens de recuperación y financiar redenciones a través de activos restantes, capital de socios y futuros ingresos de intercambio.

La actualización de investigación de junio del protocolo dijo que Mandiant atribuyó el ataque a UNC6862, un grupo de amenazas de Corea del Norte. Drift dijo que los atacantes utilizaron ingeniería social y acceso operativo comprometido en lugar de un defecto en el contrato inteligente. Como informó crypto.news, los atacantes vaciaron bóvedas clave en aproximadamente 12 minutos.

Drift se ha centrado en reconstruir su plataforma y financiar las reclamaciones de los usuarios mientras los equipos forenses persiguen los activos robados. Su marco de recuperación establece que los fondos recuperados ingresarán al fondo de recuperación de usuarios. El protocolo también planea controles de firma más estrictos para transacciones críticas.

El ataque de abril afectó a otros proyectos de Solana. Como se informó anteriormente, la plataforma de rendimiento Carrot decidió cerrar después de que las pérdidas vinculadas a Drift borraran la mayor parte de su valor depositado.

Los depósitos en Tornado Cash no prueban que el atacante haya convertido el ETH en efectivo utilizable. Los depósitos permanecen públicos, y los investigadores aún pueden identificar retiros posteriores. Sin embargo, eliminan un rastro simple de billetera a billetera y dificultan la siguiente fase.

Ni Drift ni Solana habían respondido públicamente a los comentarios de ZachXBT al momento de escribir. Bybit no había anunciado si revisó los pequeños depósitos mostrados en Etherscan. Los fondos robados restantes y el estado del programa de recompensas planeado por Drift siguen sin resolverse.