Група гаманців, пов'язана з експлойтом протоколу Drift на суму 285 мільйонів доларів, відновила переміщення викраденої криптовалюти, і аналітики блокчейну повідомляють, що приблизно 61,56 мільйона доларів в Ethereum було внесено до Tornado Cash 20 жовтня.
Резюме
- Lookonchain повідомив, що експлуататор Drift вніс 25 700 ETH, вартістю приблизно 61,56 мільйона доларів, до Tornado Cash 20 жовтня.
- Раніше моніторинг Onchain Lens виявив щонайменше 13 400 ETH, вартістю близько 32 мільйонів доларів, що надходили до мікшера.
- Ці перекази відбулися після атаки 1 квітня, яка, за оцінками Chainalysis, завдала збитків на суму 285 мільйонів доларів.
- Drift заявив, що подальше судово-технічне розслідування приписало атаку групі, пов'язаній з Північною Кореєю.
- Протокол відкрив заявки на отримання та погашення токенів відновлення DFX для постраждалих користувачів 1 жовтня.
Згідно з обліковим записом блокчейн-моніторингу Lookonchain, підозрюваний експлуататор переказав 25 700 ETH до сервісу змішування, орієнтованого на конфіденційність, протягом дворічного періоду, що завершило приблизно два місяці заявленої бездіяльності. Трекер оцінив, що гаманці все ще контролювали 81 864 ETH вартістю приблизно 195 мільйонів доларів.
Раніше оновлення Onchain Lens виявило щонайменше 13 400 ETH, оцінених приблизно в 32 мільйони доларів, що надходили до Tornado Cash. Додатковий знімок гаманця показав приблизно 224,59 мільйона доларів у залишкових активах.
Різні цифри відображають спостереження, опубліковані в різний час, і їх не слід об'єднувати в єдиний загальний обсяг переказів. Базові транзакції та останні баланси не вдалося незалежно підтвердити з загальнодоступного трекера гаманців Arkham.
Експлуататор Drift відновлює перекази до Tornado Cash
Повідомлена активність є ще одним етапом переміщення активів, викрадених з Drift, децентралізованої платформи деривативів на базі Solana.
Tornado Cash об'єднує криптовалютні депозити та дозволяє виводити кошти через окремі адреси, що ускладнює пряме відстеження транзакцій. Відправлення ETH до цього сервісу не встановлює, чи були кошти конвертовані в готівку, продані на біржі або відновлені іншою стороною.
Окремий обліковий запис моніторингу повідомив, що один гаманець вніс 19 600 ETH, вартістю приблизно 46,81 мільйона доларів, через 196 транзакцій 20 жовтня. Ця цифра знаходиться між двома спостереженнями в соціальних мережах, але не була звірена з повним записом транзакцій.
Той самий обліковий запис ідентифікував гаманець, що закінчується на 57c1, який, за повідомленнями, утримував викрадені активи з квітня. Він оцінив, що адреса зберегла 6 114,15 ETH, вартістю близько 14,6 мільйона доларів, після своїх перших вихідних транзакцій.
Ці цифри, що стосуються конкретних гаманців, не можуть встановити загальні залишкові активи експлуататора, оскільки слідчі відстежують кілька адрес, а баланси змінюються в міру здійснення переказів.
Експлойт April Drift стався після місяців соціальної інженерії
Початкова атака відбулася 1 квітня, коли зловмисники отримали адміністративний контроль над Drift через схвалення транзакцій членами його Ради з безпеки.
У розслідуванні від 9 квітня Chainalysis оцінила збитки у 285 мільйонів доларів, що становить понад половину загальної заблокованої вартості протоколу.
Повідомляється, що зловмисники витратили місяці, видаючи себе за представників торгової фірми та встановлюючи зв’язки з учасниками Drift. Вони використали функцію довговічних nonce у Solana, яка дозволяє попередньо підписаним транзакціям залишатися дійсними до виконання.
Після отримання достатньої кількості схвалень мультипідпису зловмисники взяли під контроль адміністративні дозволи та схвалили фальшивий токен під назвою CarbonVote Token, або CVT, як заставу.
За даними Chainalysis, зловмисники створили штучну торгову активність навколо CVT, щоб сформувати фіктивну історію цін. Потім вони використали токен як заставу для виведення справжніх активів, зокрема стейблкоїнів і криптовалют.
Згодом Drift опублікував детальніший розподіл активів на загальну суму приблизно 295,7 мільйона доларів у викрадених токенах. Ця цифра відрізняється від початкової криміналістичної оцінки, оскільки звіти використовують різні оцінки та обсяги обліку.
Слідчі відстежили частину коштів, що переміщувалися між Solana та Ethereum, де зловмисник накопичував ETH перед останньою повідомленою діяльністю зі змішування.
Слідчі пов’язали атаку з північнокорейськими операторами
Дослідники з безпеки пов’язали крадіжку в Drift із підозрюваною північнокорейською хакерською операцією.
У оцінці від 7 квітня компанія блокчейн-аналітики Elliptic виявила моделі транзакцій і методи відмивання, що відповідають попереднім атакам, пов’язаним із Північною Кореєю.
Пізніше Drift повідомив, що розслідування компанії з кібербезпеки Mandiant приписало інцидент UNC6862, північнокорейській загрозливій групі.
Платформа раніше пов’язала атаку з операторами, відповідальними за експлойт Radiant Capital у жовтні 2024 року. Radiant зазнала збитків, оцінених приблизно у 50 мільйонів доларів у тому інциденті.
Ця справа була частиною серії великих крадіжок у DeFi у квітні. Як раніше повідомляв crypto.news, збитки від експлойтів у квітні перевищили 600 мільйонів доларів протягом перших 18 днів місяця, включаючи окремі атаки на Drift і KelpDAO.
Заявки на відшкодування Drift відкрилися в жовтні
Поки слідчі продовжували відстежувати викрадену криптовалюту, Drift заснував програму для компенсації постраждалим користувачам.
1 жовтня проєкт відкрив заявки та погашення для токенів відшкодування DFX. У своєму оголошенні він заявив, що кожен підтверджений USDT збитку дає постраждалому користувачу право на один токен DFX.
Протокол зафіксував загальну пропозицію токенів на рівні приблизно 299,5 мільйона та заявив, що його пул відшкодування на момент запуску містив близько 3,1 мільйона USDT.
Користувачі можуть погашати DFX за рахунок доступних коштів пулу, торгувати токенами або зберігати їх, поки накопичуються додаткові кошти. Сума погашення залежить від балансу пулу та непогашеної пропозиції токенів, тому володіння токеном DFX не гарантує негайного погашення за номінальною вартістю.
Проєкт заявив, що надходження від його перезапущеної торгової платформи Velocity сприятимуть наповненню пулу відшкодування. Tether окремо зобов’язався надати підтримку до 127,5 мільйона доларів, тоді як інші партнери зобов’язалися надати до 20 мільйонів доларів.
У жовтневому оголошенні Drift зазначено, що кошти, відновлені через примусові заходи, заморожування або інші зусилля з відшкодування, будуть додані до пулу. Заявки DFX залишаються відкритими до 1 січня 2028 року.
