一个与2.85亿美元Drift Protocol漏洞利用事件相关的钱包集群已恢复转移被盗加密货币，区块链分析师报告称，约6156万美元的以太坊于10月20日被存入Tornado Cash。
摘要
- Lookonchain报告称，Drift漏洞利用者于10月20日向Tornado Cash存入了25,700枚ETH，价值约6156万美元。
- Onchain Lens此前的监控发现，至少有13,400枚ETH（价值约3200万美元）被转移至该混币器。
- 这些转账发生在4月1日的攻击之后，Chainalysis估计该攻击造成了2.85亿美元的损失。
- Drift表示，随后的取证调查将此次攻击归咎于一个与朝鲜有关联的组织。
- 该协议于10月1日为受影响用户开放了DFX恢复代币的申领和兑换。
据区块链监控账户Lookonchain称，疑似漏洞利用者在两小时内转移了25,700枚ETH至这家注重隐私的混币服务，结束了此前约两个月的据报沉寂。该追踪器估计，这些钱包仍控制着81,864枚ETH，价值约1.95亿美元。
Onchain Lens早些时候的更新识别出至少有13,400枚ETH（价值约3200万美元）流入Tornado Cash。其附带的钱包快照显示剩余资产约为2.2459亿美元。
这些不同的数字反映了在不同时间发布的观察结果，不应合并为单一的转账总额。相关交易和最新余额无法从公开可访问的Arkham钱包追踪器上独立确认。
Drift漏洞利用者恢复Tornado Cash转账
据报的活动代表了从Drift（一个基于Solana的去中心化衍生品平台）窃取的资产转移的又一阶段。
Tornado Cash汇集加密货币存款，并允许通过不同地址提取资金，使直接交易追踪更加困难。将ETH发送至该服务并不能确定资金是否被兑换成现金、在交易所出售或被另一方追回。
另一个监控账户报告称，一个钱包于10月20日通过196笔交易存入了19,600枚ETH，价值约4681万美元。该数字介于两项社交媒体观察结果之间，但尚未与完整的交易级记录进行核对。
同一账户识别出一个以57c1结尾的钱包，据报自4月以来一直持有被盗资产。该账户估计，该地址在完成首批转出交易后仍保留6,114.15枚ETH，价值接近1460万美元。
这些针对特定钱包的数字无法确定攻击者剩余资产总额，因为调查人员追踪多个地址，且余额会随着转账发生而变化。
Drift 漏洞利用事件发生在数月社会工程攻击之后
最初的攻击发生在 4 月 1 日，当时攻击者通过其安全委员会成员批准的交易获得了 Drift 的管理控制权。
在 4 月 9 日的一份调查中，Chainalysis 估计损失为 2.85 亿美元，占该协议总锁定价值的一半以上。
据报道，攻击者花费数月时间冒充一家交易公司的代表，并与 Drift 贡献者建立关系。他们利用了 Solana 的持久 nonce 功能，该功能允许预签名交易在执行前保持有效。
在获得足够的多重签名批准后，攻击者控制了管理权限，并批准了一种名为 CarbonVote Token（简称 CVT）的虚假代币作为抵押品。
据 Chainalysis 称，攻击者围绕 CVT 制造了交易活动，以创建人为的价格历史。随后，他们将该代币用作抵押品，提取真实资产，包括稳定币和加密货币。
随后，Drift 发布了一份更详细的资产明细，被盗代币总额约为 2.957 亿美元。该数字与最初的取证估计不同，因为报告使用了不同的估值和会计范围。
调查人员追踪到部分收益在 Solana 和 Ethereum 之间转移，攻击者在最新报告的混币活动之前曾在 Ethereum 上积累 ETH。
调查人员将此次攻击与朝鲜操作人员联系起来
安全研究人员已将 Drift 盗窃案与一起疑似朝鲜黑客行动联系起来。
在 4 月 7 日的一份评估中，区块链分析公司 Elliptic 识别出与早先朝鲜相关攻击一致的资金交易模式和洗钱手法。
Drift 后来报告称，网络安全公司 Mandiant 的一项调查将该事件归因于朝鲜威胁组织 UNC6862。
该平台此前曾将此次攻击与 Radiant Capital 2024 年 10 月漏洞利用事件背后的操作人员联系起来。Radiant 在该事件中估计损失约 5000 万美元。
此案是 4 月一系列重大 DeFi 盗窃案的一部分。正如 crypto.news 此前报道，4 月漏洞利用损失超过 6 亿美元，发生在该月前 18 天，其中包括对 Drift 和 KelpDAO 的单独攻击。
Drift 恢复索赔于 10 月开放
在调查人员继续追踪被盗加密货币的同时，Drift 设立了一项计划来补偿受影响用户。
10 月 1 日，该项目开放了 DFX 恢复代币的索赔和赎回。其公告表示，每 1 枚经核实的 USDT 损失可使受影响用户获得 1 枚 DFX 代币。
该协议将代币总供应量固定为约 2.995 亿枚，并表示其恢复池在启动时包含约 310 万 USDT。
用户可以根据可用池资金赎回 DFX、交易这些代币，或在更多资金积累期间保留它们。赎回金额取决于池余额和未偿还代币供应量，因此持有 DFX 代币并不保证能立即按面值偿还。
该项目表示，其重新启动的交易平台 Velocity 的收益将注入恢复池。Tether 另行承诺提供最高 1.275 亿美元的支持，而其他合作伙伴已承诺提供最高 2000 万美元。
Drift 的 10 月公告称，通过执法行动、冻结或其他恢复工作追回的资金将添加到池中。DFX 索赔将持续开放至 2028 年 1 月 1 日。
