Un portefeuille lié à l'exploit de 285 millions de dollars du protocole Drift a transféré 23 095,1 Ether, d'une valeur d'environ 44,4 millions de dollars, vers Tornado Cash après environ trois mois d'inactivité.
Résumé
- L'exploiteur de Drift a déposé 23 095 ETH dans Tornado Cash après être resté inactif pendant trois mois.
- ZachXBT a refusé de poursuivre le suivi, citant les ressources nécessaires pour surveiller et geler un vol de neuf chiffres lié à la Corée du Nord.
- Drift a précédemment annoncé un programme de prime de récupération avec Arkham et Bybit, contrairement aux affirmations en ligne.
La même adresse a envoyé 0,85 ETH à des portefeuilles étiquetés comme adresses de dépôt Bybit, selon les enregistrements Etherscan et la surveillance attribuée à PeckShield.
Les transferts ont commencé le 23 juillet et se sont poursuivis jusqu'au 24 juillet, selon les enregistrements en chaîne. Le chercheur JL, connu sous le nom de 0xJaelle, a signalé le mouvement et a tagué ZachXBT. L'enquêteur a répondu qu'il ne prévoyait pas de continuer à suivre les fonds sans soutien institutionnel.
L'exploiteur de Drift vide un portefeuille Ethereum
L'adresse Etherscan étiquetée « Drift Exploiter 4 » a traité des centaines de transactions pendant le mouvement. Les enregistrements montrent des dépôts répétés de 100 ETH, 10 ETH et 1 ETH dans le routeur Tornado Cash. Quatre autres transferts totalisant 0,85 ETH ont été envoyés à des adresses étiquetées comme dépôts Bybit.
Onchain Lens a d'abord rapporté que l'attaquant avait repris son activité et envoyait des lots de 100 ETH dans le mélangeur plusieurs fois par minute. Le portefeuille était resté largement inactif depuis l'attaque d'avril.
Tornado Cash regroupe les dépôts et permet des retraits ultérieurs via différentes adresses. Cela peut affaiblir le lien public direct entre les portefeuilles d'envoi et de réception. Les enquêteurs peuvent toujours utiliser le timing, les modèles de transactions et l'activité des échanges, mais le processus nécessite plus de données et de personnel.
Le mouvement ne couvre qu'une partie du vol initial. La mise à jour de récupération d'avril de Drift a évalué les actifs volés à 295,7 millions de dollars répartis entre JLP, USDC, jetons liés au Bitcoin, SOL, WETH et d'autres actifs. Le protocole a déclaré qu'une grande partie de la valeur convertie restait dans quatre portefeuilles Ethereum signalés.
ZachXBT cite le coût du suivi des fonds liés à la Corée du Nord
ZachXBT a écrit : « Désolé, je n'ai actuellement aucun projet de suivre ces fonds plus loin. » Il a déclaré que surveiller un exploit de neuf chiffres lié à la Corée du Nord et travailler à d'éventuels gels nécessiterait des ressources au-delà d'un enquêteur indépendant.
Il a décrit la tâche comme « difficile pour une équipe et irréalisable pour une seule personne ». ZachXBT a également déclaré que Drift n'était ni un donateur ni un client. Sa réponse sur X a attiré l'attention sur le coût des enquêtes qui se poursuivent pendant des mois.
Les commentaires ne montrent pas qu'aucune organisation ne surveille les portefeuilles. Drift a déclaré travailler avec les forces de l'ordre, Mandiant et des sociétés de renseignement blockchain. Etherscan continue d'étiqueter l'adresse, tandis que les échanges peuvent examiner les dépôts liés aux portefeuilles signalés.
Ailleurs, ZachXBT a critiqué Circle après qu'environ 232 millions de dollars d'USDC volés ont traversé de Solana à Ethereum lors de l'attaque d'avril. Les fonds ont transité par le système inter-chaînes de Circle avant que l'attaquant ne convertisse une grande partie de la valeur en ETH.
Drift avait annoncé un programme de prime de récupération
JL a déclaré plus tard qu'il était surprenant que Drift n'ait pas créé de prime de récupération. Le dossier public de Drift montre qu'il avait annoncé des plans pour une telle prime. Le 16 avril, le protocole a déclaré qu'il développait un programme de prime avec le soutien d'Arkham et de Bybit.
Cependant, la mise à jour ne fournissait pas de montant de récompense final, de règles d'éligibilité ou de calendrier de paiement. On ne sait toujours pas si le programme est devenu pleinement actif, s'il couvrait la surveillance continue des portefeuilles, ou si des chercheurs indépendants pouvaient réclamer un paiement pour des travaux de traçage ultérieurs.
Drift a également créé un plan de récupération des utilisateurs distinct du suivi des fonds volés. Tether a proposé jusqu'à 127,5 millions de dollars de soutien. Drift prévoit d'émettre des jetons de récupération et de financer les rachats grâce aux actifs restants, au capital des partenaires et aux revenus futurs de la bourse.
La mise à jour de l'enquête de juin du protocole a indiqué que Mandiant attribuait l'attaque à UNC6862, un groupe de menace nord-coréen. Drift a déclaré que les attaquants ont utilisé l'ingénierie sociale et compromis l'accès opérationnel plutôt qu'une faille de contrat intelligent. Comme crypto.news l'a rapporté, les attaquants ont vidé les coffres clés en environ 12 minutes.
La récupération se poursuit alors que la piste devient plus difficile à suivre
Drift s'est concentré sur la reconstruction de sa plateforme et le financement des réclamations des utilisateurs pendant que les équipes médico-légales poursuivent les actifs volés. Son cadre de récupération stipule que les fonds récupérés entreront dans le pool de récupération des utilisateurs. Le protocole prévoit également des contrôles de signature plus stricts pour les transactions critiques.
L'attaque d'avril a affecté d'autres projets Solana. Comme précédemment rapporté, la plateforme de rendement Carrot a décidé de fermer après que des pertes liées à Drift aient effacé la plupart de sa valeur déposée.
Les dépôts Tornado Cash ne prouvent pas que l'attaquant a converti l'ETH en espèces utilisables. Les dépôts restent publics, et les enquêteurs peuvent encore identifier les retraits ultérieurs. Cependant, ils suppriment une simple piste de portefeuille à portefeuille et rendent la phase suivante plus difficile.
Ni Drift ni Solana n'avaient publiquement répondu aux commentaires de ZachXBT au moment de la rédaction. Bybit n'avait pas annoncé s'il avait examiné les petits dépôts affichés sur Etherscan. Les fonds volés restants et le statut du programme de prime prévu par Drift restent non résolus.
