Eine Wallet, die mit dem 285-Millionen-Dollar-Exploit des Drift-Protokolls verbunden ist, hat nach etwa drei Monaten Inaktivität 23.095,1 Ether im Wert von etwa 44,4 Millionen Dollar in Tornado Cash verschoben.
Zusammenfassung
- Der Drift-Exploiter hat nach drei Monaten Inaktivität 23.095 ETH in Tornado Cash eingezahlt.
- ZachXBT lehnte eine weitere Verfolgung ab und verwies auf die erforderlichen Ressourcen, um einen Diebstahl in neunstelliger Höhe durch Nordkorea zu überwachen und einzufrieren.
- Drift kündigte zuvor ein Wiederherstellungs-Bounty-Programm mit Arkham und Bybit an, entgegen Online-Behauptungen.
Dieselbe Adresse schickte 0,85 ETH an Wallets, die als Bybit-Einzahlungsadressen gekennzeichnet sind, laut Etherscan-Aufzeichnungen und Überwachung, die PeckShield zugeschrieben wird.
Die Überweisungen begannen am 23. Juli und dauerten bis zum 24. Juli, wie On-Chain-Aufzeichnungen zeigen. Die Forscherin JL, bekannt als 0xJaelle, machte auf die Bewegung aufmerksam und markierte ZachXBT. Der Ermittler antwortete, dass er nicht vorhabe, die Gelder ohne institutionelle Unterstützung weiter zu verfolgen.
Drift-Exploiter leert eine Ethereum-Wallet
Die Etherscan-Adresse mit der Bezeichnung „Drift Exploiter 4“ verarbeitete während der Bewegung Hunderte von Transaktionen. Aufzeichnungen zeigen wiederholte Einzahlungen von 100 ETH, 10 ETH und 1 ETH in den Tornado-Cash-Router. Vier weitere Überweisungen in Höhe von insgesamt 0,85 ETH gingen an Adressen, die als Bybit-Einzahlungen gekennzeichnet sind.
Onchain Lens berichtete zuerst, dass der Angreifer seine Aktivität wieder aufgenommen habe und mehrmals pro Minute 100-ETH-Batches in den Mischer sende. Die Wallet war seit dem Angriff im April weitgehend inaktiv geblieben.
Tornado Cash bündelt Einzahlungen und erlaubt spätere Abhebungen über verschiedene Adressen. Das kann die direkte öffentliche Verbindung zwischen sendenden und empfangenden Wallets schwächen. Ermittler können dennoch Timing, Transaktionsmuster und Börsenaktivitäten nutzen, aber der Prozess erfordert mehr Daten und Personal.
Die Bewegung deckt nur einen Teil des ursprünglichen Diebstahls ab. Drifts Wiederherstellungsupdate vom April bewertete die gestohlenen Vermögenswerte auf 295,7 Millionen Dollar, verteilt auf JLP, USDC, Bitcoin-gebundene Token, SOL, WETH und andere Vermögenswerte. Das Protokoll gab an, dass ein Großteil des umgewandelten Werts über vier gekennzeichnete Ethereum-Wallets verteilt blieb.
ZachXBT verweist auf Kosten der Verfolgung Nordkorea-bezogener Gelder
ZachXBT schrieb: „Entschuldigung, ich habe derzeit keine Pläne, diese Gelder weiter zu verfolgen.“ Er sagte, die Überwachung eines neunstelligen Nordkorea-bezogenen Exploits und die Arbeit an möglichen Einfrierungen würde Ressourcen erfordern, die über einen einzelnen unabhängigen Ermittler hinausgehen.
Er beschrieb die Aufgabe als „schwierig für ein Team und nicht machbar für eine einzelne Person.“ ZachXBT sagte auch, dass Drift weder Spender noch Kunde sei. Seine Antwort auf X lenkte die Aufmerksamkeit auf die Kosten von Ermittlungen, die sich über Monate hinziehen.
Die Kommentare zeigen nicht, dass keine Organisation die Wallets überwacht. Drift hat erklärt, dass es mit Strafverfolgungsbehörden, Mandiant und Blockchain-Intelligence-Firmen zusammenarbeitet. Etherscan kennzeichnet die Adresse weiterhin, während Börsen Einzahlungen überprüfen können, die mit gekennzeichneten Wallets verbunden sind.
Andernorts kritisierte ZachXBT Circle, nachdem während des Angriffs im April etwa 232 Millionen Dollar an gestohlenem USDC von Solana nach Ethereum gewechselt waren. Die Gelder bewegten sich durch Circles Cross-Chain-System, bevor der Angreifer einen Großteil des Werts in ETH umwandelte.
Drift hatte ein Wiederherstellungs-Bounty-Programm angekündigt
JL sagte später, es sei überraschend, dass Drift kein Wiederherstellungs-Bounty erstellt habe. Drifts öffentliche Aufzeichnungen zeigen, dass es Pläne dafür angekündigt hatte. Am 16. April erklärte das Protokoll, dass es mit Unterstützung von Arkham und Bybit ein Bounty-Programm entwickle.
Das Update enthielt jedoch keine endgültige Belohnungshöhe, Teilnahmebedingungen oder Zahlungsplan. Es bleibt unklar, ob das Programm vollständig aktiv wurde, ob es die fortlaufende Wallet-Überwachung abdeckte oder ob unabhängige Forscher für spätere Nachverfolgungsarbeiten eine Zahlung beanspruchen konnten.
Drift erstellte auch einen separaten Benutzer-Wiederherstellungsplan, der nicht mit der Verfolgung gestohlener Gelder zusammenhing. Tether schlug Unterstützung in Höhe von bis zu 127,5 Millionen US-Dollar vor. Drift plant, Wiederherstellungs-Token auszugeben und Rücknahmen durch verbleibende Vermögenswerte, Partnerkapital und zukünftige Börseneinnahmen zu finanzieren.
Das Juni-Untersuchungsupdate des Protokolls besagte, dass Mandiant den Angriff UNC6862, einer nordkoreanischen Bedrohungsgruppe, zuschrieb. Drift erklärte, die Angreifer hätten Social Engineering und kompromittierte Betriebszugänge genutzt, nicht einen Smart-Contract-Fehler. Wie crypto.news berichtete, leerten die Angreifer die wichtigsten Tresore innerhalb von etwa 12 Minuten.
Die Wiederherstellung geht weiter, während die Spur schwerer zu verfolgen wird
Drift hat sich darauf konzentriert, seine Plattform wieder aufzubauen und Benutzeransprüche zu finanzieren, während forensische Teams die gestohlenen Vermögenswerte verfolgen. Sein Wiederherstellungsrahmen besagt, dass wiederhergestellte Gelder in den Benutzer-Wiederherstellungspool fließen. Das Protokoll plant auch stärkere Signierkontrollen für kritische Transaktionen.
Der April-Angriff betraf auch andere Solana-Projekte. Wie bereits berichtet, entschied sich die Ertragsplattform Carrot zur Schließung, nachdem Verluste im Zusammenhang mit Drift den Großteil ihres eingezahlten Werts ausgelöscht hatten.
Die Tornado-Cash-Einzahlungen beweisen nicht, dass der Angreifer die ETH in nutzbares Bargeld umgewandelt hat. Die Einzahlungen bleiben öffentlich, und Ermittler können möglicherweise spätere Abhebungen identifizieren. Sie beseitigen jedoch eine einfache Wallet-zu-Wallet-Spur und erschweren die nächste Phase.
Weder Drift noch Solana hatten zum Zeitpunkt der Erstellung dieses Artikels öffentlich auf ZachXBTs Kommentare reagiert. Bybit hatte nicht bekannt gegeben, ob es die auf Etherscan angezeigten kleinen Einzahlungen überprüft hatte. Die verbleibenden gestohlenen Gelder und der Status von Drifts geplantem Bounty-Programm bleiben ungelöst.
