Las carteras inactivas de uno de los mayores robos cripto de este año se están moviendo de nuevo. Los rastreadores de blockchain Onchain Lens y Lookonchain han registrado una retirada masiva de Ethereum robado esta primavera de la plataforma descentralizada Drift Protocol, según datos de Arkham.
Tras dos meses de completo silencio, los atacantes activaron las direcciones bajo su control y comenzaron a transferir metódicamente activos al mezclador Tornado Cash. El ether "sucio" está llegando al mercado, retirado en porciones para evitar fuertes oscilaciones del tipo de cambio y para no atraer una atención excesiva hacia los puntos finales de volcado.
Durante el último día, una dirección controlada por los hackers, etiquetada por los analistas como Drift Exploiter 5, transfirió 13.400 ETH a los contratos del mezclador, equivalentes a aproximadamente 32 millones de dólares. Varias plataformas de análisis, incluida MistTrack, estiman la actividad diaria total en las carteras relacionadas aún más alta, de hasta 25.700 ETH (61,5 millones de dólares).
Los atacantes están utilizando la táctica clásica de la ofuscación controlada, enviando fondos en tramos de exactamente 100 ETH. Esto rompe el vínculo directo entre remitente y destinatario en el libro contable público, haciendo imposible un seguimiento automático adicional.
Las transacciones actuales son el segundo intento importante de blanqueo: en julio, los hackers retiraron unos 44 millones de dólares a través del mezclador de manera similar. Mientras tanto, la mayor parte del botín permanece intacto, con entre 82.000 y 94.000 ETH, por un valor de hasta 224 millones de dólares, acumulados en los saldos de los atacantes.
Seis meses para la confianza, 12 minutos para el robo: el hackeo que pasó a los libros de texto
Los activos que ahora se disuelven en el sector sombrío de las DeFi fueron robados el 1 de abril de 2026, cuando el exchange basado en Solana Drift Protocol fue vaciado de 285 millones de dólares en solo 12 minutos. Este incidente ha pasado a los libros de texto de ciberseguridad debido a su nivel de preparación sin precedentes.
Según TRM Labs y Chainalysis, el ataque fue llevado a cabo por el grupo patrocinado por el estado norcoreano UNC4736, también conocido como Citrine Sleet. El esquema se desarrolló a lo largo de seis meses: los hackers se hicieron pasar por un fondo de capital riesgo legítimo, se comunicaron personalmente con los desarrolladores en conferencias internacionales y depositaron 1 millón de dólares de sus propios fondos en los pools del exchange para crear una coartada impecable.
Posteriormente, mediante vulnerabilidades ocultas en Cursor y VSCode, comprometieron los dispositivos de los miembros del Consejo de Seguridad de la plataforma e interceptaron las claves de administrador. El toque final fue el lanzamiento de un token falso CarbonVote, que los atacantes utilizaron como garantía ficticia para retirar reservas reales.
Para los inversores afectados de Drift, la aparición de Ethereum en los mezcladores significa una pérdida definitiva de cualquier posibilidad de recuperar sus fondos. En agosto, las fuerzas del orden lograron interceptar y congelar solo unos 9,2 millones de dólares, pero la integración de la mayor parte del capital en Tornado Cash hace que cualquier incautación adicional sea legal y técnicamente imposible.
El propio exchange está tratando de salvar su reputación: el 1 de octubre se lanzó un programa de compensación utilizando tokens DFX. Sin embargo, en esta etapa, el fondo de recompra, formado con el apoyo de Tether, cubre solo alrededor del 1% de las pérdidas netas de los usuarios.
El equipo espera reponerlo con los futuros ingresos de la plataforma mientras los millones robados se distribuyen gradualmente entre nuevos propietarios en el mercado abierto.
