Кошелек, связанный с эксплойтом Drift Protocol на $285 млн, перевел 23 095,1 ETH (около $44,4 млн) в Tornado Cash после примерно трех месяцев бездействия.
Краткое содержание
- Эксплойтер Drift внес 23 095 ETH в Tornado Cash после трех месяцев бездействия.
- ZachXBT отказался от дальнейшего отслеживания, сославшись на ресурсы, необходимые для мониторинга и заморозки кражи на девять цифр, связанной с КНДР.
- Ранее Drift объявил программу вознаграждения за восстановление с Arkham и Bybit, вопреки онлайн-заявлениям.
Тот же адрес отправил 0,85 ETH на кошельки, помеченные как депозитные адреса Bybit, согласно записям Etherscan и мониторингу, приписываемому PeckShield.
Переводы начались 23 июля и продолжались до 24 июля, показывают ончейн-записи. Исследователь JL, известный как 0xJaelle, отметил движение и упомянул ZachXBT. Следователь ответил, что не планирует продолжать отслеживать средства без институциональной поддержки.
Эксплойтер Drift опустошает кошелек Ethereum
Адрес Etherscan, помеченный как «Drift Exploiter 4», обработал сотни транзакций во время перемещения. Записи показывают повторные депозиты по 100 ETH, 10 ETH и 1 ETH в маршрутизатор Tornado Cash. Четыре других перевода на общую сумму 0,85 ETH были отправлены на адреса, помеченные как депозиты Bybit.
Onchain Lens первым сообщил, что злоумышленник возобновил активность и отправлял пакеты по 100 ETH в миксер несколько раз в минуту. Кошелек оставался в основном неактивным после апрельской атаки.
Tornado Cash объединяет депозиты и позволяет последующие выводы через разные адреса. Это может ослабить прямую публичную связь между отправляющими и получающими кошельками. Следователи все еще могут использовать время, шаблоны транзакций и биржевую активность, но процесс требует больше данных и персонала.
Перемещение охватывает только часть первоначальной кражи. Апрельское обновление Drift о восстановлении оценило украденные активы в $295,7 млн в JLP, USDC, токенах, привязанных к Bitcoin, SOL, WETH и других активах. Протокол заявил, что большая часть конвертированной стоимости осталась на четырех помеченных кошельках Ethereum.
ZachXBT ссылается на стоимость отслеживания средств, связанных с Северной Кореей
ZachXBT написал: «Извините, у меня сейчас нет планов отслеживать эти средства дальше». Он сказал, что мониторинг эксплойта на девять цифр, связанного с Северной Кореей, и работа над возможной заморозкой потребуют ресурсов, выходящих за рамки одного независимого следователя.
Он описал задачу как «сложную для команды и невыполнимую для одного человека». ZachXBT также сказал, что Drift не был донором или клиентом. Его ответ в X привлек внимание к стоимости расследований, которые продолжаются месяцами.
Комментарии не показывают, что за кошельками никто не следит. Drift заявил, что работает с правоохранительными органами, Mandiant и фирмами по блокчейн-разведке. Etherscan продолжает маркировать адрес, а биржи могут проверять депозиты, связанные с помеченными кошельками.
В другом месте ZachXBT критиковал Circle после того, как около $232 млн в украденных USDC перешли из Solana в Ethereum во время апрельской атаки. Средства прошли через кросс-чейн систему Circle, прежде чем злоумышленник конвертировал большую часть стоимости в ETH.
Drift объявил о программе вознаграждения за возврат средств
JL позже сказал, что было удивительно, что Drift не создал программу вознаграждения за возврат. Публичные записи Drift показывают, что он объявил о планах такой программы. 16 апреля протокол заявил, что разрабатывает программу вознаграждения при поддержке Arkham и Bybit.
Однако в обновлении не были указаны окончательная сумма вознаграждения, правила eligibility или график выплат. Остается неясным, стала ли программа полностью активной, охватывала ли она постоянный мониторинг кошельков и могли ли независимые исследователи претендовать на выплату за последующую работу по отслеживанию.
Drift также создал план восстановления для пользователей, отдельный от отслеживания украденных средств. Tether предложил поддержку до 127,5 миллионов долларов. Drift планирует выпустить токены восстановления и финансировать выкупы за счет оставшихся активов, партнерского капитала и будущих доходов биржи.
В обновлении расследования за июнь протокола говорится, что Mandiant приписал атаку группе UNC6862, северокорейской угрожающей группе. Drift заявил, что злоумышленники использовали социальную инженерию и скомпрометировали операционный доступ, а не уязвимость смарт-контракта. Как сообщалось crypto.news, злоумышленники опустошили ключевые хранилища примерно за 12 минут.
Восстановление продолжается, а след становится труднее отследить
Drift сосредоточился на восстановлении своей платформы и финансировании требований пользователей, в то время как судебно-медицинские команды преследуют украденные активы. Его структура восстановления предусматривает, что возвращенные средства поступят в пул восстановления пользователей. Протокол также планирует усилить контроль подписания критических транзакций.
Апрельская атака затронула и другие проекты Solana. Как сообщалось ранее, платформа доходности Carrot решила закрыться после того, как потери, связанные с Drift, уничтожили большую часть ее депонированной стоимости.
Депозиты в Tornado Cash не доказывают, что злоумышленник конвертировал ETH в наличные. Депозиты остаются публичными, и следователи все еще могут идентифицировать последующие выводы. Однако они устраняют простой след от кошелька к кошельку и усложняют следующий этап.
Ни Drift, ни Solana на момент написания публично не ответили на комментарии ZachXBT. Bybit не объявил, проверял ли он небольшие депозиты, показанные на Etherscan. Оставшиеся украденные средства и статус запланированной программы вознаграждения Drift остаются нерешенными.
