Un groupe de portefeuilles lié à l'exploit du Drift Protocol d'un montant de 285 millions de dollars a repris le transfert de cryptomonnaies volées, les analystes de la blockchain rapportant qu'environ 61,56 millions de dollars en Ethereum ont été déposés dans Tornado Cash le 20 octobre.
Résumé
- Lookonchain a rapporté que l'exploiteur de Drift a déposé 25 700 ETH, d'une valeur d'environ 61,56 millions de dollars, dans Tornado Cash le 20 octobre.
- Une surveillance antérieure d'Onchain Lens a identifié au moins 13 400 ETH, d'une valeur d'environ 32 millions de dollars, se dirigeant vers le mixeur.
- Les transferts font suite à une attaque du 1er avril que Chainalysis a estimée avoir causé 285 millions de dollars de pertes.
- Drift a déclaré qu'une enquête médico-légale ultérieure a attribué l'attaque à un groupe lié à la Corée du Nord.
- Le protocole a ouvert les réclamations et les échanges de jetons de récupération DFX pour les utilisateurs concernés le 1er octobre.
Selon le compte de surveillance de la blockchain Lookonchain, l'exploiteur présumé a transféré 25 700 ETH vers le service de mixage axé sur la confidentialité sur une période de deux heures, mettant fin à environ deux mois d'inactivité rapportée. Le traqueur a estimé que les portefeuilles contrôlaient encore 81 864 ETH d'une valeur d'environ 195 millions de dollars.
Une mise à jour antérieure d'Onchain Lens a identifié au moins 13 400 ETH, d'une valeur d'environ 32 millions de dollars, affluant vers Tornado Cash. Son instantané de portefeuille accompagnant montrait environ 224,59 millions de dollars d'actifs restants.
Les différents chiffres reflètent des observations publiées à des moments différents et ne doivent pas être combinés en un seul total de transfert. Les transactions sous-jacentes et les derniers soldes n'ont pas pu être confirmés de manière indépendante à partir du traqueur de portefeuille Arkham accessible au public.
L'exploiteur de Drift reprend les transferts vers Tornado Cash
L'activité rapportée représente une nouvelle étape dans le mouvement des actifs pris à Drift, une plateforme de produits dérivés décentralisée basée sur Solana.
Tornado Cash regroupe les dépôts de cryptomonnaies et permet aux fonds d'être retirés via des adresses séparées, rendant le traçage direct des transactions plus difficile. L'envoi d'ETH vers le service n'établit pas si les fonds ont été convertis en espèces, vendus sur un échange ou récupérés par une autre partie.
Un autre compte de surveillance a rapporté qu'un portefeuille a déposé 19 600 ETH, d'une valeur d'environ 46,81 millions de dollars, via 196 transactions le 20 octobre. Ce chiffre se situe entre les deux observations des médias sociaux mais n'a pas été rapproché d'un registre complet au niveau des transactions.
Le même compte a identifié un portefeuille se terminant par 57c1 qui aurait détenu des actifs volés depuis avril. Il a estimé que l'adresse conservait 6 114,15 ETH, d'une valeur proche de 14,6 millions de dollars, après ses premières transactions sortantes.
Ces chiffres spécifiques aux portefeuilles ne peuvent pas établir le total des actifs restants de l’exploiteur, car les enquêteurs suivent plusieurs adresses et les soldes changent au fur et à mesure des transferts.
L’exploit d’April Drift a suivi des mois d’ingénierie sociale
L’attaque initiale a eu lieu le 1er avril, lorsque les attaquants ont obtenu le contrôle administratif de Drift grâce à des approbations de transactions de la part de membres de son Conseil de sécurité.
Dans une enquête du 9 avril, Chainalysis a estimé les pertes à 285 millions de dollars, ce qui représente plus de la moitié de la valeur totale verrouillée du protocole.
Les attaquants auraient passé des mois à se faire passer pour des représentants d’une société de trading et à nouer des relations avec les contributeurs de Drift. Ils ont exploité la fonctionnalité de nonce durable de Solana, qui permet aux transactions pré-signées de rester valides jusqu’à leur exécution.
Après avoir obtenu suffisamment d’approbations multisignatures, les attaquants ont pris le contrôle des permissions administratives et ont approuvé un faux jeton appelé CarbonVote Token, ou CVT, comme collatéral.
Selon Chainalysis, les attaquants ont fabriqué une activité de trading autour du CVT afin de créer un historique de prix artificiel. Ils ont ensuite utilisé le jeton comme collatéral pour retirer de véritables actifs, notamment des stablecoins et des cryptomonnaies.
Par la suite, Drift a publié une ventilation des actifs plus détaillée, totalisant environ 295,7 millions de dollars en jetons volés. Ce chiffre diffère de l’estimation médico-légale initiale parce que les rapports utilisent des évaluations et des périmètres comptables différents.
Les enquêteurs ont retracé une partie du produit qui circulait entre Solana et Ethereum, où l’attaquant a accumulé de l’ETH avant la dernière activité de mixage signalée.
Les enquêteurs ont relié l’attaque à des opérateurs nord-coréens
Des chercheurs en sécurité ont relié le vol de Drift à une opération de piratage présumée nord-coréenne.
Dans une évaluation du 7 avril, la société d’analyse blockchain Elliptic a identifié des schémas de transactions et des techniques de blanchiment compatibles avec des attaques antérieures liées à la Corée du Nord.
Drift a ensuite rapporté qu’une enquête de la société de cybersécurité Mandiant avait attribué l’incident à UNC6862, un groupe de menace nord-coréen.
La plateforme avait précédemment relié l’attaque aux opérateurs derrière l’exploit d’octobre 2024 de Radiant Capital. Radiant avait subi des pertes estimées à environ 50 millions de dollars lors de cet incident.
L’affaire faisait partie d’une série de vols majeurs dans la DeFi en avril. Comme crypto.news l’a précédemment rapporté, les pertes dues aux exploits en avril ont dépassé 600 millions de dollars au cours des 18 premiers jours du mois, y compris des attaques distinctes contre Drift et KelpDAO.
Les réclamations de récupération de Drift ont ouvert en octobre
Alors que les enquêteurs continuaient de retracer la cryptomonnaie volée, Drift a mis en place un programme pour indemniser les utilisateurs affectés.
Le 1er octobre, le projet a ouvert les réclamations et les rachats pour les jetons de récupération DFX. Son annonce indiquait que chaque USDT de perte vérifié donnait droit à un jeton DFX pour l’utilisateur affecté.
Le protocole a fixé l’offre totale de jetons à environ 299,5 millions et a déclaré que son pool de récupération contenait environ 3,1 millions d’USDT au lancement.
Les utilisateurs peuvent échanger des DFX contre les fonds disponibles du pool, négocier les jetons ou les conserver pendant que des fonds supplémentaires s’accumulent. Le montant du rachat dépend du solde du pool et de l’offre de jetons en circulation, de sorte que détenir un jeton DFX ne garantit pas un remboursement immédiat à sa valeur nominale.
Le projet a déclaré que les produits de sa plateforme de trading relancée, Velocity, contribueraient au pool de récupération. Tether s’est séparément engagé à hauteur de 127,5 millions de dollars en soutien, tandis que d’autres partenaires se sont engagés à hauteur de 20 millions de dollars.
L’annonce d’octobre de Drift indique que les fonds récupérés grâce à des mesures d’application de la loi, des gels ou d’autres efforts de récupération seront ajoutés au pool. Les réclamations DFX restent ouvertes jusqu’au 1er janvier 2028.
