L'exploiter di Drift sposta 44 milioni di dollari attraverso Tornado Cash dopo mesi

Un wallet legato all'exploit del Drift Protocol da 285 milioni di dollari ha trasferito 23.095,1 Ether, del valore di circa 44,4 milioni di dollari, in Tornado Cash dopo circa tre mesi di inattività.

Riepilogo

• L'exploiter di Drift ha depositato 23.095 ETH in Tornado Cash dopo essere rimasto inattivo per tre mesi.
• ZachXBT ha rifiutato ulteriori tracciamenti, citando le risorse necessarie per monitorare e congelare un furto DPRK a nove cifre.
• Drift ha precedentemente annunciato un programma di ricompensa per il recupero con Arkham e Bybit, contrariamente a quanto affermato online.

Lo stesso indirizzo ha inviato 0,85 ETH a wallet etichettati come indirizzi di deposito di Bybit, secondo i registri di Etherscan e il monitoraggio attribuito a PeckShield.

I trasferimenti sono iniziati il 23 luglio e sono continuati fino al 24 luglio, come mostrano i registri on-chain. Il ricercatore JL, noto come 0xJaelle, ha segnalato il movimento e ha contrassegnato ZachXBT. L'investigatore ha risposto che non intendeva continuare a seguire i fondi senza supporto istituzionale.

L'exploiter di Drift che sposta fondi finalmente.

Onchain Lens ha riportato per primo che l'attaccante aveva ripreso l'attività e stava inviando lotti di 100 ETH nel mixer diverse volte al minuto. Il wallet era rimasto per lo più inattivo dall'attacco di aprile.

Tornado Cash raccoglie depositi e consente successivi prelievi attraverso indirizzi diversi. Ciò può indebolire il collegamento pubblico diretto tra wallet di invio e ricezione. Gli investigatori possono comunque utilizzare il tempo, i modelli di transazione e l'attività di scambio, ma il processo richiede più dati e personale.

Il movimento copre solo una parte del furto originale. L'aggiornamento sul recupero di Drift di aprile ha valutato gli asset rubati a 295,7 milioni di dollari tra JLP, USDC, token legati a Bitcoin, SOL, WETH e altri asset. Il protocollo ha dichiarato che gran parte del valore convertito rimane in quattro wallet Ethereum contrassegnati.

ZachXBT ha scritto: "Mi dispiace, attualmente non ho piani per tracciare ulteriormente questi fondi." Ha affermato che monitorare un exploit legato alla Corea del Nord a nove cifre e lavorare per possibili congelamenti richiederebbe risorse oltre quelle di un singolo investigatore indipendente.

Ha descritto il compito come "difficile per un team e non fattibile per una sola persona." ZachXBT ha anche detto che Drift non era un donatore o cliente. La sua risposta su X ha attirato l'attenzione sui costi delle indagini che continuano per mesi.

I commenti non indicano che nessuna organizzazione stia monitorando i wallet. Drift ha dichiarato di lavorare con le forze dell'ordine, Mandiant e aziende di intelligence blockchain. Etherscan continua a etichettare l'indirizzo, mentre gli scambi possono rivedere i depositi collegati a wallet contrassegnati.

Altrove, ZachXBT ha criticato Circle dopo che circa 232 milioni di dollari in USDC rubati sono passati da Solana a Ethereum durante l'attacco di aprile. I fondi sono stati trasferiti attraverso il sistema cross-chain di Circle prima che l'attaccante convertisse gran parte del valore in ETH.

JL ha successivamente affermato che era sorprendente che Drift non avesse creato una ricompensa per il recupero. Il record pubblico di Drift mostra che aveva annunciato piani per uno. Il 16 aprile, il protocollo ha dichiarato di sviluppare un programma di ricompensa con il supporto di Arkham e Bybit.

Tuttavia, l'aggiornamento non ha fornito un importo finale della ricompensa, regole di idoneità o programma di pagamento. Rimane poco chiaro se il programma sia diventato completamente attivo, se coprisse il monitoraggio continuo dei wallet o se i ricercatori indipendenti potessero richiedere un pagamento per il lavoro di tracciamento successivo.

Drift ha anche creato un piano di recupero per gli utenti separato dal tracciamento dei fondi rubati. Tether ha proposto fino a 127,5 milioni di dollari in supporto. Drift prevede di emettere token di recupero e finanziare i riscatti attraverso asset rimanenti, capitale dei partner e ricavi futuri degli scambi.

L'aggiornamento dell'indagine di giugno del protocollo ha dichiarato che Mandiant ha attribuito l'attacco a UNC6862, un gruppo di minaccia nordcoreano. Drift ha affermato che gli attaccanti hanno utilizzato ingegneria sociale e accesso operativo compromesso piuttosto che una falla del contratto intelligente. Come riportato da crypto.news, gli attaccanti hanno svuotato i vault chiave in circa 12 minuti.

Drift si è concentrato sul ricostruire la propria piattaforma e finanziare le richieste degli utenti mentre i team forensi perseguono gli asset rubati. Il suo framework di recupero afferma che i fondi recuperati entreranno nel pool di recupero degli utenti. Il protocollo prevede anche controlli di firma più rigorosi per le transazioni critiche.

L'attacco di aprile ha colpito altri progetti Solana. Come riportato in precedenza, la piattaforma di yield Carrot ha deciso di chiudere dopo che le perdite legate a Drift hanno cancellato gran parte del suo valore depositato.

I depositi in Tornado Cash non dimostrano che l'attaccante abbia convertito l'ETH in contante utilizzabile. I depositi rimangono pubblici e gli investigatori possono comunque identificare i prelievi successivi. Tuttavia, rimuovono una semplice traccia wallet-to-wallet e rendono più difficile la fase successiva.

Né Drift né Solana avevano risposto pubblicamente ai commenti di ZachXBT al momento della scrittura. Bybit non aveva annunciato se avesse esaminato i piccoli depositi mostrati su Etherscan. I restanti fondi rubati e lo stato del programma di ricompensa pianificato da Drift rimangono irrisolti.

Disclaimer: il presente contenuto è fornito esclusivamente a scopo informativo e di branding generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, evento online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare asset di criptovalute o a utilizzare i relativi servizi. Le criptovalute sono altamente volatili e possono comportare perdite. I servizi e gli eventi online di WEEX potrebbero non essere disponibili in tutte le regioni e sono soggetti alle leggi, ai regolamenti e ai requisiti di idoneità applicabili. Sei responsabile di garantire che il tuo utilizzo dei servizi WEEX sia conforme alle leggi locali e di valutare attentamente i rischi prima di partecipare a qualsiasi attività correlata alle criptovalute.