Un grupo de billeteras vinculado al exploit de 285 millones de dólares del Drift Protocol ha reanudado el movimiento de criptomonedas robadas, y los analistas de blockchain informan que aproximadamente 61,56 millones de dólares en Ethereum fueron depositados en Tornado Cash el 20 de octubre.
Resumen
- Lookonchain informó que el explotador de Drift depositó 25.700 ETH, por un valor aproximado de 61,56 millones de dólares, en Tornado Cash el 20 de octubre.
- Un monitoreo anterior de Onchain Lens identificó al menos 13.400 ETH, por un valor de alrededor de 32 millones de dólares, moviéndose hacia el mezclador.
- Las transferencias siguen a un ataque del 1 de abril que Chainalysis estimó que causó 285 millones de dólares en pérdidas.
- Drift dijo que una investigación forense posterior atribuyó el ataque a un grupo vinculado a Corea del Norte.
- El protocolo abrió reclamaciones y canjes de tokens de recuperación DFX para los usuarios afectados el 1 de octubre.
Según la cuenta de monitoreo de blockchain Lookonchain, el presunto explotador transfirió 25.700 ETH al servicio de mezcla centrado en la privacidad durante un período de dos horas, poniendo fin a aproximadamente dos meses de inactividad reportada. El rastreador estimó que las billeteras aún controlaban 81.864 ETH por un valor aproximado de 195 millones de dólares.
Una actualización anterior de Onchain Lens identificó al menos 13.400 ETH, valorados en aproximadamente 32 millones de dólares, fluyendo hacia Tornado Cash. Su instantánea de billeteras adjunta mostró aproximadamente 224,59 millones de dólares en activos restantes.
Las diferentes cifras reflejan observaciones publicadas en distintos momentos y no deben combinarse en un único total de transferencias. Las transacciones subyacentes y los saldos más recientes no pudieron confirmarse de forma independiente a partir del rastreador de billeteras Arkham de acceso público.
El explotador de Drift reanuda las transferencias a Tornado Cash
La actividad reportada representa otra etapa en el movimiento de activos tomados de Drift, una plataforma de derivados descentralizada basada en Solana.
Tornado Cash agrupa depósitos de criptomonedas y permite retirar fondos a través de direcciones separadas, lo que dificulta el rastreo directo de las transacciones. Enviar ETH al servicio no determina si los fondos se convirtieron en efectivo, se vendieron en un exchange o fueron recuperados por otra parte.
Una cuenta de monitoreo separada informó que una billetera depositó 19.600 ETH, por un valor aproximado de 46,81 millones de dólares, mediante 196 transacciones el 20 de octubre. Esa cifra se sitúa entre las dos observaciones de redes sociales, pero no se ha conciliado con un registro completo a nivel de transacción.
La misma cuenta identificó una billetera que termina en 57c1 que, según se informó, había mantenido activos robados desde abril. Estimó que la dirección conservaba 6.114,15 ETH, valorados cerca de 14,6 millones de dólares, después de sus primeras transacciones salientes.
Estas cifras específicas de cada billetera no pueden establecer el total de activos restantes del explotador, ya que los investigadores rastrean varias direcciones y los saldos cambian a medida que se producen las transferencias.
El exploit de Drift en abril estuvo precedido por meses de ingeniería social
El ataque original tuvo lugar el 1 de abril, cuando los atacantes obtuvieron el control administrativo de Drift mediante aprobaciones de transacciones de miembros de su Consejo de Seguridad.
En una investigación del 9 de abril, Chainalysis estimó las pérdidas en 285 millones de dólares, lo que representa más de la mitad del valor total bloqueado del protocolo.
Según los informes, los atacantes pasaron meses haciéndose pasar por representantes de una empresa comercial y construyendo relaciones con colaboradores de Drift. Explotaron la función de nonce duradero de Solana, que permite que las transacciones previamente firmadas sigan siendo válidas hasta su ejecución.
Tras obtener suficientes aprobaciones multifirma, los atacantes tomaron el control de los permisos administrativos y aprobaron un token falso llamado CarbonVote Token, o CVT, como garantía.
Según Chainalysis, los atacantes fabricaron actividad comercial en torno a CVT para crear un historial de precios artificial. Luego utilizaron el token como garantía para retirar activos genuinos, incluidas stablecoins y criptomonedas.
Posteriormente, Drift publicó un desglose de activos más detallado que totalizaba aproximadamente 295,7 millones de dólares en tokens robados. La cifra difiere de la estimación forense inicial porque los informes utilizan valoraciones y ámbitos contables diferentes.
Los investigadores rastrearon porciones de las ganancias moviéndose entre Solana y Ethereum, donde el atacante acumuló ETH antes de la última actividad de mezcla reportada.
Los investigadores vincularon el ataque a operadores norcoreanos
Investigadores de seguridad han relacionado el robo de Drift con una presunta operación de piratería norcoreana.
En una evaluación del 7 de abril, la empresa de análisis de blockchain Elliptic identificó patrones de transacciones y técnicas de blanqueo de capitales consistentes con ataques anteriores vinculados a Corea del Norte.
Drift informó posteriormente que una investigación de la firma de ciberseguridad Mandiant había atribuido el incidente a UNC6862, un grupo de amenazas norcoreano.
La plataforma había vinculado previamente el ataque con los operadores detrás del exploit de Radiant Capital en octubre de 2024. Radiant sufrió pérdidas estimadas en aproximadamente 50 millones de dólares en ese incidente.
El caso formó parte de una serie de importantes robos en DeFi en abril. Como informó previamente crypto.news, las pérdidas por exploits en abril superaron los 600 millones de dólares durante los primeros 18 días del mes, incluidos ataques separados contra Drift y KelpDAO.
Las reclamaciones de recuperación de Drift se abrieron en octubre
Mientras los investigadores continuaban rastreando la criptomoneda robada, Drift estableció un programa para compensar a los usuarios afectados.
El 1 de octubre, el proyecto abrió las reclamaciones y canjes de los tokens de recuperación DFX. Su anuncio declaró que cada USDT verificado de pérdida daba derecho a un usuario afectado a un token DFX.
El protocolo fijó el suministro total de tokens en aproximadamente 299,5 millones y afirmó que su fondo de recuperación contenía alrededor de 3,1 millones de USDT en el momento del lanzamiento.
Los usuarios pueden canjear DFX contra los fondos disponibles del fondo, comerciar con los tokens o conservarlos mientras se acumulan fondos adicionales. El monto del canje depende del saldo del fondo y del suministro de tokens pendiente, por lo que poseer un token DFX no garantiza el reembolso inmediato a su valor nominal.
El proyecto afirmó que los ingresos de su plataforma de comercio relanzada, Velocity, contribuirían al fondo de recuperación. Tether se ha comprometido por separado a aportar hasta 127,5 millones de dólares en apoyo, mientras que otros socios se han comprometido a aportar hasta 20 millones de dólares.
El anuncio de octubre de Drift declara que los fondos recuperados mediante acciones de aplicación de la ley, congelación u otros esfuerzos de recuperación se añadirán al fondo. Las reclamaciones de DFX permanecen abiertas hasta el 1 de enero de 2028.
