Grupa portfeli powiązana z exploitą Drift Protocol o wartości 285 milionów dolarów wznowiła przenoszenie skradzionych kryptowalut, a analitycy blockchain donoszą, że około 61,56 miliona dolarów w Ethereum zostało zdeponowane w Tornado Cash 20 października.
Podsumowanie
- Lookonchain poinformował, że osoba wykorzystująca Drift zdeponowała 25 700 ETH, o wartości około 61,56 miliona dolarów, w Tornado Cash 20 października.
- Wcześniejszy monitoring Onchain Lens zidentyfikował co najmniej 13 400 ETH, o wartości około 32 milionów dolarów, przesyłane do miksera.
- Przelewy następują po ataku z 1 kwietnia, który według szacunków Chainalysis spowodował straty w wysokości 285 milionów dolarów.
- Drift podał, że późniejsze śledztwo kryminalistyczne przypisało atak grupie powiązanej z Koreą Północną.
- Protokół otworzył roszczenia i realizację tokenów odzyskiwania DFX dla dotkniętych użytkowników 1 października.
Według konta monitorującego blockchain Lookonchain, domniemany sprawca exploity przelał 25 700 ETH do usługi miksującej skoncentrowanej na prywatności w ciągu dwóch godzin, kończąc około dwóch miesięcy zgłaszanej bezczynności. Tracker oszacował, że portfele nadal kontrolowały 81 864 ETH o wartości około 195 milionów dolarów.
Wcześniejsza aktualizacja Onchain Lens zidentyfikowała co najmniej 13 400 ETH, o wartości około 32 milionów dolarów, wpływających do Tornado Cash. Towarzyszący jej zrzut portfeli pokazał około 224,59 miliona dolarów w pozostałych aktywach.
Różne liczby odzwierciedlają obserwacje opublikowane w różnym czasie i nie należy ich łączyć w jedną sumę przelewów. Bazowe transakcje i najnowsze salda nie mogły zostać niezależnie potwierdzone z publicznie dostępnego trackera portfeli Arkham.
Osoba wykorzystująca Drift wznawia przelewy do Tornado Cash
Zgłoszona aktywność stanowi kolejny etap przenoszenia aktywów zabranych z Drift, opartej na Solanie zdecentralizowanej platformy instrumentów pochodnych.
Tornado Cash łączy depozyty kryptowalut i pozwala na wypłatę środków przez oddzielne adresy, co utrudnia bezpośrednie śledzenie transakcji. Wysłanie ETH do usługi nie ustala, czy środki zostały wymienione na gotówkę, sprzedane na giełdzie lub odzyskane przez inną stronę.
Odrębne konto monitorujące poinformowało, że jeden portfel zdeponował 19 600 ETH, o wartości około 46,81 miliona dolarów, poprzez 196 transakcji 20 października. Liczba ta mieści się między dwiema obserwacjami z mediów społecznościowych, ale nie została uzgodniona z kompletnym zapisem na poziomie transakcji.
To samo konto zidentyfikowało portfel kończący się na 57c1, który według doniesień posiadał skradzione aktywa od kwietnia. Oszacowało, że adres zachował 6 114,15 ETH, o wartości blisko 14,6 miliona dolarów, po swoich pierwszych transakcjach wychodzących.
Te dane dotyczące konkretnych portfeli nie mogą ustalić całkowitych pozostałych aktywów atakującego, ponieważ śledczy monitorują kilka adresów, a salda zmieniają się w miarę dokonywania transferów.
Atak na Drift w kwietniu był poprzedzony miesiącami inżynierii społecznej
Pierwotny atak miał miejsce 1 kwietnia, kiedy napastnicy uzyskali kontrolę administracyjną nad Drift poprzez zatwierdzenia transakcji od członków jego Rady Bezpieczeństwa.
W dochodzeniu z 9 kwietnia Chainalysis oszacowała straty na 285 milionów dolarów, co stanowi ponad połowę całkowitej wartości zablokowanej w protokole.
Według doniesień napastnicy spędzili miesiące, podszywając się pod przedstawicieli firmy handlowej i budując relacje z współtwórcami Drift. Wykorzystali funkcję trwałego nonce w Solanie, która pozwala wcześniej podpisanym transakcjom pozostać ważnymi aż do wykonania.
Po uzyskaniu wystarczającej liczby zatwierdzeń multisignature napastnicy przejęli kontrolę nad uprawnieniami administracyjnymi i zatwierdzili fałszywy token o nazwie CarbonVote Token, czyli CVT, jako zabezpieczenie.
Według Chainalysis napastnicy wygenerowali aktywność handlową wokół CVT, aby stworzyć sztuczną historię cen. Następnie użyli tokena jako zabezpieczenia do wypłaty prawdziwych aktywów, w tym stablecoinów i kryptowalut.
Następnie Drift opublikował bardziej szczegółowe zestawienie aktywów o łącznej wartości około 295,7 miliona dolarów w skradzionych tokenach. Liczba ta różni się od wstępnego szacunku kryminalistycznego, ponieważ raporty wykorzystują różne wyceny i zakresy księgowe.
Śledczy prześledzili część zysków przemieszczających się między Solaną a Ethereum, gdzie atakujący zgromadził ETH przed najnowszą zgłoszoną aktywnością mieszania.
Śledczy powiązali atak z północnokoreańskimi operatorami
Badacze bezpieczeństwa powiązali kradzież w Drift z podejrzewaną północnokoreańską operacją hakerską.
W ocenie z 7 kwietnia firma analityczna blockchain Elliptic zidentyfikowała wzorce transakcji i techniki prania pieniędzy spójne z wcześniejszymi atakami powiązanymi z Koreą Północną.
Drift poinformował później, że dochodzenie przeprowadzone przez firmę cyberbezpieczeństwa Mandiant przypisało incydent grupie UNC6862, północnokoreańskiej grupie zagrożeń.
Platforma wcześniej powiązała atak z operatorami stojącymi za exploitacją Radiant Capital w październiku 2024 roku. Radiant poniósł wówczas straty szacowane na około 50 milionów dolarów.
Sprawa była częścią serii poważnych kradzieży w DeFi w kwietniu. Jak wcześniej informował crypto.news, straty z powodu exploitów w kwietniu przekroczyły 600 milionów dolarów w ciągu pierwszych 18 dni miesiąca, w tym w oddzielnych atakach na Drift i KelpDAO.
Roszczenia dotyczące odzyskania środków Drift otwarto w październiku
Podczas gdy śledczy kontynuowali śledzenie skradzionej kryptowaluty, Drift ustanowił program mający na celu zrekompensowanie poszkodowanym użytkownikom.
1 października projekt otworzył roszczenia i umorzenia tokenów odzyskiwania DFX. W swoim ogłoszeniu stwierdził, że każdy zweryfikowany USDT straty uprawnia poszkodowanego użytkownika do jednego tokena DFX.
Protokół ustalił całkowitą podaż tokenów na około 299,5 miliona i poinformował, że jego pula odzyskiwania zawierała około 3,1 miliona USDT w momencie uruchomienia.
Użytkownicy mogą wymieniać DFX na dostępne środki puli, handlować tokenami lub zachować je, podczas gdy gromadzone są dodatkowe środki. Kwota umorzenia zależy od salda puli i pozostałej podaży tokenów, więc posiadanie tokena DFX nie gwarantuje natychmiastowej spłaty według wartości nominalnej.
Projekt poinformował, że wpływy z jego ponownie uruchomionej platformy handlowej Velocity zasilą pulę odzyskiwania. Tether oddzielnie zobowiązał się do wsparcia w wysokości do 127,5 miliona dolarów, podczas gdy inni partnerzy zobowiązali się do 20 milionów dolarów.
Październikowe ogłoszenie Drift stwierdza, że środki odzyskane w drodze działań egzekwowania prawa, zamrożenia lub innych działań naprawczych zostaną dodane do puli. Roszczenia DFX pozostają otwarte do 1 stycznia 2028 roku.
