Uma carteira ligada ao exploit de $285 milhões do protocolo Drift moveu 23.095,1 Ether, no valor de cerca de $44,4 milhões, para o Tornado Cash após aproximadamente três meses de inatividade.
Resumo
- O explorador do Drift depositou 23.095 ETH no Tornado Cash após permanecer inativo por três meses.
- ZachXBT recusou-se a continuar o rastreamento, citando os recursos necessários para monitorar e congelar um roubo de nove dígitos ligado à Coreia do Norte.
- O Drift anunciou anteriormente um programa de recompensa de recuperação com Arkham e Bybit, contrariando alegações online.
O mesmo endereço enviou 0,85 ETH para carteiras rotuladas como endereços de depósito da Bybit, de acordo com registros do Etherscan e monitoramento atribuído à PeckShield.
As transferências começaram em 23 de julho e continuaram até 24 de julho, mostram registros on-chain. O pesquisador JL, conhecido como 0xJaelle, sinalizou o movimento e marcou ZachXBT. O investigador respondeu que não planejava continuar seguindo os fundos sem apoio institucional.
Explorador do Drift esvazia uma carteira Ethereum
O endereço Etherscan rotulado como "Drift Exploiter 4" processou centenas de transações durante o movimento. Os registros mostram depósitos repetidos de 100 ETH, 10 ETH e 1 ETH no roteador do Tornado Cash. Outras quatro transferências totalizando 0,85 ETH foram para endereços rotulados como depósitos da Bybit.
Onchain Lens relatou primeiro que o atacante havia retomado a atividade e estava enviando lotes de 100 ETH para o mixer várias vezes por minuto. A carteira permaneceu em grande parte inativa desde o ataque de abril.
O Tornado Cash agrupa depósitos e permite saques posteriores através de endereços diferentes. Isso pode enfraquecer o vínculo público direto entre carteiras de envio e recebimento. Os investigadores ainda podem usar o tempo, padrões de transação e atividade de exchange, mas o processo requer mais dados e pessoal.
O movimento cobre apenas parte do roubo original. A atualização de recuperação de abril do Drift avaliou os ativos roubados em $295,7 milhões em JLP, USDC, tokens vinculados ao Bitcoin, SOL, WETH e outros ativos. O protocolo disse que grande parte do valor convertido permaneceu em quatro carteiras Ethereum sinalizadas.
ZachXBT cita custo de rastrear fundos ligados à Coreia do Norte
ZachXBT escreveu: "Desculpe, atualmente não tenho planos de rastrear esses fundos adiante." Ele disse que monitorar um exploit de nove dígitos ligado à Coreia do Norte e trabalhar para possíveis congelamentos exigiria recursos além de um investigador independente.
Ele descreveu a tarefa como "difícil para uma equipe e inviável para uma única pessoa". ZachXBT também disse que o Drift não era doador ou cliente. Sua resposta no X chamou a atenção para o custo de investigações que continuam por meses.
Os comentários não mostram que nenhuma organização está observando as carteiras. O Drift disse que trabalha com aplicação da lei, Mandiant e empresas de inteligência blockchain. O Etherscan continua rotulando o endereço, enquanto as exchanges podem revisar depósitos conectados a carteiras sinalizadas.
Em outros lugares, ZachXBT criticou a Circle depois que cerca de $232 milhões em USDC roubados cruzaram de Solana para Ethereum durante o ataque de abril. Os fundos passaram pelo sistema cross-chain da Circle antes de o atacante converter grande parte do valor em ETH.
Drift havia anunciado um programa de recompensa por recuperação
JL disse mais tarde que era surpreendente que a Drift não tivesse criado uma recompensa por recuperação. O registro público da Drift mostra que ela havia anunciado planos para uma. Em 16 de abril, o protocolo disse que estava desenvolvendo um programa de recompensa com o apoio da Arkham e da Bybit.
No entanto, a atualização não forneceu um valor final de recompensa, regras de elegibilidade ou cronograma de pagamento. Não está claro se o programa se tornou totalmente ativo, se cobria o monitoramento contínuo da carteira, ou se pesquisadores independentes poderiam reivindicar pagamento por trabalhos de rastreamento posteriores.
A Drift também criou um plano de recuperação para usuários separado do rastreamento de fundos roubados. A Tether propôs até US$ 127,5 milhões em apoio. A Drift planeja emitir tokens de recuperação e financiar resgates por meio de ativos restantes, capital de parceiros e receita futura da exchange.
A atualização da investigação de junho do protocolo disse que a Mandiant atribuiu o ataque ao UNC6862, um grupo de ameaças norte-coreano. A Drift disse que os atacantes usaram engenharia social e comprometeram o acesso operacional, em vez de uma falha de contrato inteligente. Como o crypto.news noticiou, os atacantes esvaziaram os cofres principais em cerca de 12 minutos.
A recuperação continua enquanto o rastro se torna mais difícil de seguir
A Drift tem se concentrado em reconstruir sua plataforma e financiar reivindicações de usuários enquanto as equipes forenses perseguem os ativos roubados. Sua estrutura de recuperação afirma que os fundos recuperados entrarão no pool de recuperação de usuários. O protocolo também planeja controles de assinatura mais fortes para transações críticas.
O ataque de abril afetou outros projetos Solana. Como relatado anteriormente, a plataforma de rendimento Carrot decidiu encerrar as operações após perdas ligadas à Drift eliminarem a maior parte de seu valor depositado.
Os depósitos no Tornado Cash não provam que o atacante converteu o ETH em dinheiro utilizável. Os depósitos permanecem públicos, e os investigadores ainda podem identificar saques posteriores. No entanto, eles removem um rastro simples de carteira para carteira e tornam a próxima fase mais difícil.
Nem a Drift nem a Solana responderam publicamente aos comentários de ZachXBT no momento da escrita. A Bybit não anunciou se revisou os pequenos depósitos mostrados no Etherscan. Os fundos roubados restantes e o status do programa de recompensa planejado pela Drift permanecem sem solução.
