Explorador de Drift movimenta $44 milhões através do Tornado Cash após meses

Uma carteira ligada ao exploit de $285 milhões do Drift Protocol movimentou 23.095,1 Ether, no valor de cerca de $44,4 milhões, para o Tornado Cash após aproximadamente três meses de inatividade.

Resumo

• O explorador do Drift depositou 23.095 ETH no Tornado Cash após permanecer inativo por três meses.
• ZachXBT recusou o rastreamento adicional, citando os recursos necessários para monitorar e congelar um roubo de nove dígitos da RPDC.
• O Drift anunciou anteriormente um programa de recompensa de recuperação com a Arkham e a Bybit, em contrariedade às alegações online.

O mesmo endereço enviou 0,85 ETH para carteiras rotuladas como endereços de depósito da Bybit, de acordo com registros do Etherscan e monitoramento atribuído à PeckShield.

As transferências começaram em 23 de julho e continuaram até 24 de julho, mostram os registros on-chain. O pesquisador JL, conhecido como 0xJaelle, sinalizou o movimento e marcou ZachXBT. O investigador respondeu que não planejava continuar seguindo os fundos sem apoio institucional.

O explorador do Drift finalmente movimentando fundos.

O Onchain Lens foi o primeiro a relatar que o atacante havia retomado a atividade e estava enviando lotes de 100 ETH para o mixer várias vezes por minuto. A carteira havia permanecido amplamente inativa desde o ataque de abril.

O Tornado Cash agrega depósitos e permite retiradas posteriores através de diferentes endereços. Isso pode enfraquecer o vínculo público direto entre as carteiras de envio e recebimento. Os investigadores ainda podem usar o tempo, padrões de transação e atividade de troca, mas o processo requer mais dados e pessoal.

O movimento cobre apenas parte do roubo original. A atualização de recuperação do Drift em abril avaliou os ativos roubados em $295,7 milhões, abrangendo JLP, USDC, tokens vinculados ao Bitcoin, SOL, WETH e outros ativos. O protocolo disse que grande parte do valor convertido permaneceu em quatro carteiras Ethereum sinalizadas.

ZachXBT escreveu: "Desculpe, atualmente não tenho planos de rastrear esses fundos mais a fundo." Ele disse que monitorar um exploit vinculado à Coreia do Norte de nove dígitos e trabalhar em possíveis congelamentos exigiria recursos além de um investigador independente.

Ele descreveu a tarefa como "difícil para uma equipe e não viável para uma única pessoa." ZachXBT também disse que o Drift não era um doador ou cliente. Sua resposta no X chamou a atenção para o custo das investigações que continuam por meses.

Os comentários não mostram que nenhuma organização está monitorando as carteiras. O Drift disse que trabalha com a aplicação da lei, Mandiant e empresas de inteligência em blockchain. O Etherscan continua a rotular o endereço, enquanto as bolsas podem revisar depósitos conectados a carteiras sinalizadas.

Em outro lugar, ZachXBT criticou a Circle após cerca de $232 milhões em USDC roubados cruzarem de Solana para Ethereum durante o ataque de abril. Os fundos se moveram através do sistema cross-chain da Circle antes que o atacante convertesse grande parte do valor em ETH.

JL disse mais tarde que era surpreendente que o Drift não tivesse criado uma recompensa de recuperação. O registro público do Drift mostra que ele anunciou planos para uma. Em 16 de abril, o protocolo disse que estava desenvolvendo um programa de recompensa com o apoio da Arkham e da Bybit.

No entanto, a atualização não forneceu um valor final de recompensa, regras de elegibilidade ou cronograma de pagamento. Permanece incerto se o programa se tornou totalmente ativo, se cobriu o monitoramento contínuo de carteiras ou se pesquisadores independentes poderiam reivindicar pagamento por trabalhos de rastreamento posteriores.

O Drift também criou um plano de recuperação de usuários separado do rastreamento de fundos roubados. A Tether propôs até $127,5 milhões em apoio. O Drift planeja emitir tokens de recuperação e financiar resgates através de ativos remanescentes, capital de parceiros e receita futura de trocas.

A atualização de investigação de junho do protocolo disse que a Mandiant atribuiu o ataque ao UNC6862, um grupo de ameaça da Coreia do Norte. O Drift disse que os atacantes usaram engenharia social e acesso operacional comprometido, em vez de uma falha de contrato inteligente. Como relatado pela crypto.news, os atacantes esvaziaram cofres-chave em cerca de 12 minutos.

O Drift se concentrou em reconstruir sua plataforma e financiar reivindicações de usuários enquanto equipes forenses buscam os ativos roubados. Sua estrutura de recuperação afirma que os fundos recuperados entrarão no pool de recuperação de usuários. O protocolo também planeja controles de assinatura mais fortes para transações críticas.

O ataque de abril afetou outros projetos de Solana. Como relatado anteriormente, a plataforma de rendimento Carrot decidiu fechar após perdas ligadas ao Drift que apagaram a maior parte de seu valor depositado.

Os depósitos do Tornado Cash não provam que o atacante converteu o ETH em dinheiro utilizável. Os depósitos permanecem públicos, e os investigadores ainda podem identificar retiradas posteriores. No entanto, eles removem uma trilha simples de carteira para carteira e dificultam a próxima fase.

Nem o Drift nem a Solana haviam respondido publicamente aos comentários de ZachXBT até o momento da redação. A Bybit não havia anunciado se revisou os pequenos depósitos mostrados no Etherscan. Os fundos roubados restantes e o status do programa de recompensa planejado do Drift permanecem não resolvidos.