L'exploitant de Drift déplace 44 millions de dollars via Tornado Cash après des mois d'inactivité

Un portefeuille lié à l'exploitation du Drift Protocol de 285 millions de dollars a déplacé 23 095,1 Ether, d'une valeur d'environ 44,4 millions de dollars, vers Tornado Cash après environ trois mois d'inactivité.

Résumé

• L'exploitant de Drift a déposé 23 095 ETH dans Tornado Cash après être resté inactif pendant trois mois.
• ZachXBT a refusé de poursuivre le suivi, citant les ressources nécessaires pour surveiller et geler un vol à neuf chiffres lié à la Corée du Nord.
• Drift avait précédemment annoncé un programme de récompense de récupération avec Arkham et Bybit, contrairement aux affirmations en ligne.

La même adresse a envoyé 0,85 ETH vers des portefeuilles étiquetés comme adresses de dépôt Bybit, selon les enregistrements d'Etherscan et la surveillance attribuée à PeckShield.

Les transferts ont commencé le 23 juillet et se sont poursuivis jusqu'au 24 juillet, montrent les enregistrements en chaîne. Le chercheur JL, connu sous le nom de 0xJaelle, a signalé le mouvement et a tagué ZachXBT. L'enquêteur a répondu qu'il ne prévoyait pas de continuer à suivre les fonds sans soutien institutionnel.

L'exploitant de Drift déplaçant enfin des fonds.

Onchain Lens a d'abord rapporté que l'attaquant avait repris son activité et envoyait des lots de 100 ETH dans le mixeur plusieurs fois par minute. Le portefeuille était resté largement inactif depuis l'attaque d'avril.

Tornado Cash regroupe les dépôts et permet des retraits ultérieurs via différentes adresses. Cela peut affaiblir le lien public direct entre les portefeuilles d'envoi et de réception. Les enquêteurs peuvent toujours utiliser le timing, les modèles de transaction et l'activité d'échange, mais le processus nécessite plus de données et de personnel.

Le mouvement ne couvre qu'une partie du vol initial. La mise à jour de récupération de Drift d'avril a évalué les actifs volés à 295,7 millions de dollars, répartis entre JLP, USDC, des jetons liés au Bitcoin, SOL, WETH et d'autres actifs. Le protocole a déclaré qu'une grande partie de la valeur convertie restait dans quatre portefeuilles Ethereum signalés.

ZachXBT a écrit : "Désolé, je n'ai actuellement aucun plan pour suivre ces fonds plus loin." Il a déclaré que surveiller un exploit lié à la Corée du Nord à neuf chiffres et travailler vers d'éventuels gels nécessiterait des ressources au-delà d'un enquêteur indépendant.

Il a décrit la tâche comme "difficile pour une équipe et non réalisable pour une seule personne." ZachXBT a également déclaré que Drift n'était pas un donateur ou un client. Sa réponse sur X a attiré l'attention sur le coût des enquêtes qui se poursuivent pendant des mois.

Les commentaires ne montrent pas qu'aucune organisation ne surveille les portefeuilles. Drift a déclaré qu'il travaillait avec les forces de l'ordre, Mandiant et des entreprises d'intelligence blockchain. Etherscan continue d'étiqueter l'adresse, tandis que les échanges peuvent examiner les dépôts liés aux portefeuilles signalés.

Ailleurs, ZachXBT a critiqué Circle après qu'environ 232 millions de dollars en USDC volés aient traversé de Solana à Ethereum lors de l'attaque d'avril. Les fonds ont transité par le système inter-chaînes de Circle avant que l'attaquant ne convertisse une grande partie de la valeur en ETH.

JL a ensuite déclaré qu'il était surprenant que Drift n'ait pas créé de récompense de récupération. Les dossiers publics de Drift montrent qu'il avait annoncé des plans pour cela. Le 16 avril, le protocole a déclaré qu'il développait un programme de récompense avec le soutien d'Arkham et de Bybit.

Cependant, la mise à jour n'a pas fourni de montant final de récompense, de règles d'éligibilité ou de calendrier de paiement. Il reste incertain si le programme est devenu pleinement actif, s'il couvrait la surveillance continue des portefeuilles, ou si des chercheurs indépendants pouvaient réclamer un paiement pour un travail de traçage ultérieur.

Drift a également créé un plan de récupération utilisateur distinct du suivi des fonds volés. Tether a proposé jusqu'à 127,5 millions de dollars de soutien. Drift prévoit d'émettre des jetons de récupération et de financer les remboursements grâce aux actifs restants, au capital des partenaires et aux revenus futurs des échanges.

La mise à jour d'enquête de juin du protocole a déclaré que Mandiant attribuait l'attaque à UNC6862, un groupe de menaces nord-coréen. Drift a déclaré que les attaquants avaient utilisé l'ingénierie sociale et un accès opérationnel compromis plutôt qu'un défaut de contrat intelligent. Comme l'a rapporté crypto.news, les attaquants ont vidé des coffres clés en environ 12 minutes.

Drift s'est concentré sur la reconstruction de sa plateforme et le financement des réclamations des utilisateurs pendant que les équipes d'analyse poursuivent les actifs volés. Son cadre de récupération stipule que les fonds récupérés entreront dans le pool de récupération des utilisateurs. Le protocole prévoit également des contrôles de signature plus stricts pour les transactions critiques.

L'attaque d'avril a affecté d'autres projets Solana. Comme rapporté précédemment, la plateforme de rendement Carrot a décidé de fermer après que les pertes liées à Drift aient effacé la majeure partie de sa valeur déposée.

Les dépôts dans Tornado Cash ne prouvent pas que l'attaquant a converti l'ETH en liquidités utilisables. Les dépôts restent publics, et les enquêteurs peuvent toujours identifier les retraits ultérieurs. Cependant, ils suppriment une simple trace de portefeuille à portefeuille et rendent la prochaine phase plus difficile.

Ni Drift ni Solana n'avaient publiquement répondu aux commentaires de ZachXBT au moment de la rédaction. Bybit n'avait pas annoncé s'il avait examiné les petits dépôts affichés sur Etherscan. Les fonds volés restants et l'état du programme de récompense prévu par Drift restent non résolus.