Um grupo de carteiras ligado ao exploit de US$ 285 milhões do Drift Protocol voltou a movimentar criptomoedas roubadas, com analistas de blockchain relatando que aproximadamente US$ 61,56 milhões em Ethereum foram depositados no Tornado Cash em 20 de outubro.
Resumo
- O Lookonchain relatou que o explorador do Drift depositou 25.700 ETH, no valor de aproximadamente US$ 61,56 milhões, no Tornado Cash em 20 de outubro.
- Um monitoramento anterior do Onchain Lens identificou pelo menos 13.400 ETH, no valor de cerca de US$ 32 milhões, sendo movidos para o mixer.
- As transferências ocorrem após um ataque em 1º de abril que a Chainalysis estimou ter causado US$ 285 milhões em perdas.
- A Drift afirmou que uma investigação forense subsequente atribuiu o ataque a um grupo ligado à Coreia do Norte.
- O protocolo abriu reivindicações e resgates de tokens de recuperação DFX para usuários afetados em 1º de outubro.
De acordo com a conta de monitoramento de blockchain Lookonchain, o suspeito de exploit transferiu 25.700 ETH para o serviço de mixagem focado em privacidade ao longo de um período de duas horas, encerrando cerca de dois meses de inatividade relatada. O rastreador estimou que as carteiras ainda controlavam 81.864 ETH no valor de aproximadamente US$ 195 milhões.
Uma atualização anterior do Onchain Lens identificou pelo menos 13.400 ETH, avaliados em cerca de US$ 32 milhões, fluindo para o Tornado Cash. Seu instantâneo de carteira acompanhante mostrou aproximadamente US$ 224,59 milhões em ativos restantes.
Os números diferentes refletem observações publicadas em momentos distintos e não devem ser combinados em um único total de transferências. As transações subjacentes e os saldos mais recentes não puderam ser confirmados de forma independente a partir do rastreador de carteiras Arkham acessível publicamente.
Explorador do Drift retoma transferências para o Tornado Cash
A atividade relatada representa outra etapa na movimentação de ativos retirados da Drift, uma plataforma descentralizada de derivativos baseada em Solana.
O Tornado Cash agrupa depósitos de criptomoedas e permite que os fundos sejam sacados por meio de endereços separados, tornando o rastreamento direto de transações mais difícil. Enviar ETH para o serviço não estabelece se os fundos foram convertidos em dinheiro, vendidos em uma exchange ou recuperados por outra parte.
Uma conta de monitoramento separada relatou que uma carteira depositou 19.600 ETH, no valor de aproximadamente US$ 46,81 milhões, por meio de 196 transações em 20 de outubro. Esse número fica entre as duas observações de redes sociais, mas não foi reconciliado com um registro completo em nível de transação.
A mesma conta identificou uma carteira terminada em 57c1 que, segundo relatos, mantinha ativos roubados desde abril. Ela estimou que o endereço retinha 6.114,15 ETH, avaliados em cerca de US$ 14,6 milhões, após suas primeiras transações de saída.
Esses números específicos de carteiras não conseguem estabelecer o total de ativos restantes do explorador, porque os investigadores rastreiam vários endereços e os saldos mudam à medida que as transferências ocorrem.
O exploit da Drift em abril foi precedido por meses de engenharia social
O ataque original ocorreu em 1º de abril, quando os atacantes obtiveram controle administrativo da Drift por meio de aprovações de transações de membros do seu Conselho de Segurança.
Em uma investigação de 9 de abril, a Chainalysis estimou as perdas em US$ 285 milhões, o que representa mais da metade do valor total bloqueado do protocolo.
Segundo relatos, os atacantes passaram meses se passando por representantes de uma empresa de trading e construindo relacionamentos com colaboradores da Drift. Eles exploraram o recurso de nonce durável da Solana, que permite que transações pré-assinadas permaneçam válidas até a execução.
Após obter aprovações multissignaturais suficientes, os atacantes assumiram o controle das permissões administrativas e aprovaram um token falso chamado CarbonVote Token, ou CVT, como garantia.
De acordo com a Chainalysis, os atacantes fabricaram atividade de negociação em torno do CVT para criar um histórico de preços artificial. Em seguida, usaram o token como garantia para sacar ativos genuínos, incluindo stablecoins e criptomoedas.
Posteriormente, a Drift publicou uma discriminação de ativos mais detalhada, totalizando aproximadamente US$ 295,7 milhões em tokens roubados. O número difere da estimativa forense inicial porque os relatórios usam avaliações e escopos contábeis diferentes.
Os investigadores rastrearam partes dos recursos movimentando-se entre Solana e Ethereum, onde o atacante acumulou ETH antes da mais recente atividade de mistura relatada.
Investigadores ligaram o ataque a operadores norte-coreanos
Pesquisadores de segurança conectaram o roubo da Drift a uma suspeita operação de hacking norte-coreana.
Em uma avaliação de 7 de abril, a empresa de análise de blockchain Elliptic identificou padrões de transação e técnicas de lavagem consistentes com ataques anteriores ligados à Coreia do Norte.
A Drift relatou posteriormente que uma investigação da empresa de cibersegurança Mandiant atribuiu o incidente ao UNC6862, um grupo de ameaças norte-coreano.
A plataforma havia ligado o ataque anteriormente aos operadores por trás do exploit da Radiant Capital em outubro de 2024. A Radiant sofreu perdas estimadas em aproximadamente US$ 50 milhões naquele incidente.
O caso fez parte de uma série de grandes roubos em DeFi em abril. Como o crypto.news relatou anteriormente, as perdas com exploits em abril ultrapassaram US$ 600 milhões durante os primeiros 18 dias do mês, incluindo ataques separados à Drift e à KelpDAO.
Reivindicações de recuperação da Drift foram abertas em outubro
Enquanto os investigadores continuavam rastreando a criptomoeda roubada, a Drift estabeleceu um programa para compensar os usuários afetados.
Em 1º de outubro, o projeto abriu reivindicações e resgates para os tokens de recuperação DFX. Seu anúncio afirmou que cada USDT verificado de perda dava direito a um usuário afetado a um token DFX.
O protocolo fixou o fornecimento total de tokens em aproximadamente 299,5 milhões e disse que seu pool de recuperação continha cerca de 3,1 milhões de USDT no lançamento.
Os usuários podem resgatar DFX contra os fundos disponíveis no pool, negociar os tokens ou mantê-los enquanto fundos adicionais se acumulam. O valor do resgate depende do saldo do pool e do fornecimento pendente de tokens, portanto, possuir um token DFX não garante reembolso imediato pelo valor nominal.
O projeto disse que os recursos de sua plataforma de negociação relançada, a Velocity, contribuiriam para o pool de recuperação. A Tether se comprometeu separadamente com até US$ 127,5 milhões em apoio, enquanto outros parceiros se comprometeram com até US$ 20 milhões.
O anúncio da Drift em outubro afirma que os fundos recuperados por meio de ação de execução, congelamento ou outros esforços de recuperação serão adicionados ao pool. As reivindicações de DFX permanecem abertas até 1º de janeiro de 2028.
