Зловмисник Drift перемістив 44 мільйони доларів через Tornado Cash після кількох місяців

Гаманець, пов'язаний з експлуатацією протоколу Drift на 285 мільйонів доларів, перемістив 23,095.1 ефіру, вартістю близько 44.4 мільйонів доларів, у Tornado Cash після приблизно трьох місяців бездіяльності.

Резюме

• Зловмисник Drift вніс 23,095 ETH у Tornado Cash після тримісячної бездіяльності.
• ZachXBT відмовився від подальшого моніторингу, посилаючись на ресурси, необхідні для контролю та заморожування крадіжки з Північної Кореї на дев'ятизначну суму.
• Drift раніше оголосив про програму винагороди за відновлення з Arkham і Bybit, всупереч онлайн-заявам.

Той же адреса надіслав 0.85 ETH на гаманці, позначені як адреси депозитів Bybit, згідно з записами Etherscan та моніторингом, приписаним PeckShield.

Переводи почалися 23 липня і тривали до 24 липня, свідчать записи в блокчейні. Дослідник JL, відомий як 0xJaelle, відзначив рух і позначив ZachXBT. Розслідувач відповів, що не планує продовжувати слідкувати за коштами без інституційної підтримки.

Зловмисник Drift нарешті переміщує кошти.

Onchain Lens вперше повідомив, що атакуючий відновив активність і надсилав партії по 100 ETH у міксер кілька разів на хвилину. Гаманець залишався в основному неактивним з моменту атаки в квітні.

Tornado Cash об'єднує депозити та дозволяє пізніші зняття через різні адреси. Це може послабити прямий публічний зв'язок між відправниками та отримувачами. Розслідувачі все ще можуть використовувати час, шаблони транзакцій та активність на біржах, але цей процес вимагає більше даних та персоналу.

Цей рух охоплює лише частину початкової крадіжки. Квітневе оновлення Drift оцінило вкрадені активи в 295.7 мільйонів доларів США, включаючи JLP, USDC, токени, пов'язані з Bitcoin, SOL, WETH та інші активи. Протокол заявив, що значна частина конвертованої вартості залишилася на чотирьох позначених гаманцях Ethereum.

ZachXBT написав: "Вибачте, я наразі не маю жодних планів продовжувати відстежувати ці кошти." Він зазначив, що моніторинг дев'ятизначної крадіжки, пов'язаної з Північною Кореєю, та робота над можливими замороженнями вимагатиме ресурсів, які перевищують можливості одного незалежного розслідувача.

Він описав завдання як "складне для команди і неможливе для однієї людини." ZachXBT також зазначив, що Drift не є донором або клієнтом. Його відповідь на X привернула увагу до витрат на розслідування, які тривають місяцями.

Коментарі не свідчать про те, що жодна організація не спостерігає за гаманцями. Drift заявив, що співпрацює з правоохоронними органами, Mandiant та компаніями з розвідки блокчейну. Etherscan продовжує позначати адресу, тоді як біржі можуть переглядати депозити, пов'язані з позначеними гаманцями.

У іншому місці ZachXBT розкритикував Circle після того, як близько 232 мільйонів доларів у вкраденому USDC перейшли з Solana до Ethereum під час квітневої атаки. Кошти пройшли через крос-ланцюгову систему Circle, перш ніж атакуючий конвертував значну частину вартості в ETH.

JL пізніше зазначив, що дивно, що Drift не створив програму винагороди за відновлення. Публічний запис Drift показує, що він оголосив про плани щодо цього. 16 квітня протокол заявив, що розробляє програму винагороди за підтримки Arkham та Bybit.

Однак оновлення не надало остаточної суми винагороди, правил участі або графіка виплат. Залишається незрозумілим, чи програма стала повністю активною, чи охоплювала моніторинг гаманців, чи могли незалежні дослідники вимагати винагороду за подальшу роботу з відстеження.

Drift також створив план відновлення для користувачів, окремий від відстеження вкрадених коштів. Tether запропонував до 127.5 мільйонів доларів у підтримці. Drift планує випустити токени відновлення та профінансувати викуп через залишкові активи, капітал партнерів та майбутні доходи від біржі.

Квітневе оновлення розслідування протоколу зазначило, що Mandiant приписав атаку UNC6862, загрозливій групі з Північної Кореї. Drift заявив, що зловмисники використовували соціальну інженерію та скомпрометований оперативний доступ, а не вразливість смарт-контракту. Як повідомляло crypto.news, зловмисники очистили ключові сховища приблизно за 12 хвилин.

Drift зосередився на відновленні своєї платформи та фінансуванні вимог користувачів, поки судово-медичні команди переслідують вкрадені активи. Його структура відновлення стверджує, що відновлені кошти надійдуть до пулу відновлення користувачів. Протокол також планує посилити контроль підписів для критичних транзакцій.

Квітнева атака вплинула на інші проекти Solana. Як повідомлялося раніше, платформа доходу Carrot вирішила закритися після того, як збитки, пов'язані з Drift, стерли більшість її депозитованої вартості.

Депозити Tornado Cash не доводять, що зловмисник конвертував ETH у готівку. Депозити залишаються публічними, і розслідувачі все ще можуть ідентифікувати пізні зняття. Однак вони усувають простий слід від гаманця до гаманця і ускладнюють наступну фазу.

Ні Drift, ні Solana на момент написання не відповіли публічно на коментарі ZachXBT. Bybit не оголосив, чи переглядав він невеликі депозити, показані на Etherscan. Залишкові вкрадені кошти та статус запланованої програми винагороди Drift залишаються невирішеними.