Группа кошельков, связанная с эксплойтом протокола Drift на сумму 285 миллионов долларов, возобновила перемещение украденной криптовалюты, и, по сообщениям блокчейн-аналитиков, примерно 61,56 миллиона долларов в Ethereum было внесено в Tornado Cash 20 октября.
Краткое содержание
- Lookonchain сообщил, что эксплойтер Drift внёс 25 700 ETH стоимостью примерно 61,56 миллиона долларов в Tornado Cash 20 октября.
- Ранее мониторинг Onchain Lens выявил по меньшей мере 13 400 ETH стоимостью около 32 миллионов долларов, направленных в миксер.
- Эти переводы последовали за атакой 1 апреля, которая, по оценке Chainalysis, причинила ущерб в размере 285 миллионов долларов.
- Drift заявил, что последующее судебное расследование приписало атаку группе, связанной с Северной Кореей.
- Протокол открыл заявки и погашение токенов восстановления DFX для пострадавших пользователей 1 октября.
Согласно аккаунту блокчейн-мониторинга Lookonchain, предполагаемый эксплойтер перевёл 25 700 ETH в сервис микширования, ориентированный на конфиденциальность, в течение двухчасового периода, положив конец примерно двум месяцам заявленного бездействия. Трекер оценил, что кошельки по-прежнему контролировали 81 864 ETH стоимостью примерно 195 миллионов долларов.
Более раннее обновление Onchain Lens выявило по меньшей мере 13 400 ETH стоимостью примерно 32 миллиона долларов, поступающих в Tornado Cash. Прилагаемый снимок кошельков показал примерно 224,59 миллиона долларов в оставшихся активах.
Различные цифры отражают наблюдения, опубликованные в разное время, и их не следует объединять в единый общий объём переводов. Лежащие в основе транзакции и последние балансы не удалось независимо подтвердить из общедоступного трекера кошельков Arkham.
Эксплойтер Drift возобновляет переводы в Tornado Cash
Сообщаемая активность представляет собой очередной этап перемещения активов, взятых из Drift — децентрализованной платформы деривативов на базе Solana.
Tornado Cash объединяет криптовалютные депозиты и позволяет выводить средства через отдельные адреса, что затрудняет прямое отслеживание транзакций. Отправка ETH в этот сервис не устанавливает, были ли средства конвертированы в наличные, проданы на бирже или возвращены другой стороной.
Отдельный аккаунт мониторинга сообщил, что один кошелёк внёс 19 600 ETH стоимостью примерно 46,81 миллиона долларов через 196 транзакций 20 октября. Эта цифра находится между двумя наблюдениями в социальных сетях, но не была сверена с полным поуровневым журналом транзакций.
Тот же аккаунт выявил кошелёк, оканчивающийся на 57c1, который, как сообщается, хранил украденные активы с апреля. Он оценил, что адрес сохранил 6 114,15 ETH стоимостью около 14,6 миллиона долларов после своих первых исходящих транзакций.
Эти цифры по конкретным кошелькам не могут установить общую сумму оставшихся активов эксплойтера, поскольку следователи отслеживают несколько адресов, а балансы меняются по мере осуществления переводов.
Эксплойт Drift в апреле последовал за месяцами социальной инженерии
Первоначальная атака произошла 1 апреля, когда злоумышленники получили административный контроль над Drift через одобрение транзакций членами его Совета безопасности.
В расследовании от 9 апреля Chainalysis оценила убытки в 285 миллионов долларов, что составляет более половины общей заблокированной стоимости протокола.
Сообщается, что злоумышленники потратили месяцы, выдавая себя за представителей торговой фирмы и выстраивая отношения с участниками Drift. Они использовали функцию durable nonce в Solana, которая позволяет предварительно подписанным транзакциям оставаться действительными до момента исполнения.
После получения достаточного количества мультиподписных одобрений злоумышленники получили контроль над административными разрешениями и одобрили в качестве залога поддельный токен под названием CarbonVote Token, или CVT.
Согласно Chainalysis, злоумышленники создали торговую активность вокруг CVT, чтобы сформировать искусственную историю цен. Затем они использовали токен в качестве залога для вывода реальных активов, включая стейблкоины и криптовалюты.
Впоследствии Drift опубликовала более подробную разбивку активов на общую сумму около 295,7 миллиона долларов в украденных токенах. Эта цифра отличается от первоначальной криминалистической оценки, поскольку в отчетах используются разные методы оценки и объемы учета.
Следователи отследили часть средств, перемещавшихся между Solana и Ethereum, где злоумышленник накопил ETH перед последней зафиксированной активностью по смешиванию.
Следователи связали атаку с северокорейскими операторами
Исследователи в области безопасности связали кражу в Drift с предполагаемой северокорейской хакерской операцией.
В оценке от 7 апреля блокчейн-аналитическая компания Elliptic выявила схемы транзакций и методы отмывания, соответствующие более ранним атакам, связанным с Северной Кореей.
Позже Drift сообщила, что расследование, проведенное фирмой по кибербезопасности Mandiant, приписало инцидент UNC6862 — северокорейской группе угроз.
Платформа ранее связала атаку с операторами, стоящими за эксплойтом Radiant Capital в октябре 2024 года. В том инциденте Radiant понесла убытки, оцениваемые примерно в 50 миллионов долларов.
Это дело стало частью серии крупных краж в DeFi в апреле. Как ранее сообщал crypto.news, убытки от эксплойтов в апреле превысили 600 миллионов долларов за первые 18 дней месяца, включая отдельные атаки на Drift и KelpDAO.
Заявки на восстановление Drift открылись в октябре
Пока следователи продолжали отслеживать украденную криптовалюту, Drift учредила программу компенсации пострадавшим пользователям.
1 октября проект открыл заявки и погашение для токенов восстановления DFX. В его объявлении говорилось, что каждый подтвержденный USDT убытка дает пострадавшему пользователю право на один токен DFX.
Протокол зафиксировал общий объем предложения токенов на уровне примерно 299,5 миллиона и заявил, что на момент запуска его пул восстановления содержал около 3,1 миллиона USDT.
Пользователи могут погашать DFX за счет доступных средств пула, торговать токенами или сохранять их, пока накапливаются дополнительные средства. Сумма погашения зависит от баланса пула и непогашенного предложения токенов, поэтому владение токеном DFX не гарантирует немедленного возмещения по номинальной стоимости.
Проект заявил, что поступления от его перезапущенной торговой платформы Velocity будут пополнять пул восстановления. Tether отдельно обязалась предоставить поддержку на сумму до 127,5 миллиона долларов, а другие партнеры обязались предоставить до 20 миллионов долларов.
В октябрьском объявлении Drift говорится, что средства, возвращенные в результате правоприменительных действий, заморозки или других усилий по восстановлению, будут добавлены в пул. Заявки на DFX остаются открытыми до 1 января 2028 года.
