Взломщик Drift внёс в Tornado Cash 25 700 ETH

Подробно

Что известно о переводе средств взломщика Drift в Tornado Cash?

О переводе первой сообщила Lookonchain. Ее пост вышел 20 октября около 12:25 мск, а значит, двухчасовое окно переводов пришлось примерно на 10:25-12:25 мск.

«Эксплойтер Drift Protocol, похитивший более $270 млн, перемещает ETH в Tornado Cash после двух месяцев бездействия. За последние два часа эксплойтер внес 25 700 ETH ($61,56 млн) в Tornado Cash и все еще держит 81 864 ETH ($195 млн)», - говорится в сообщении Lookonchain.

Сумма $61,56 млн - это рыночная стоимость переведенного эфира, а не весь ущерб от апрельского взлома. Другие аналитики дают иные цифры, потому что смотрели в другое время и на разные наборы адресов:

• Salus отследила 19 600 ETH примерно на $46,81 млн, которые один кошелек внес в миксер за 196 транзакций;
• Onchain Lens на более раннем этапе видел не менее 13 400 ETH примерно на $32 млн.

Как отмечает crypto.news, без полного согласованного списка адресов эти объемы депозитов нельзя складывать или считать взаимоисключающими.

Оценки остатка тоже расходятся. Cointelegraph со ссылкой на Arkham пишет о 81 454 ETH стоимостью около $194 млн. Onchain Lens в промежуточном срезе видел около 93 965 ETH примерно на $224 млн.

Как был взломан Drift Protocol?

Drift - децентрализованный протокол на блокчейне Solana для торговли бессрочными фьючерсами. По реконструкции Chainalysis, злоумышленники заранее подготовили транзакции с механизмом durable nonce и получили под ними настоящие подписи как минимум двух членов Security Council - небольшой группы доверенных лиц, подписывающих транзакции протокола в мультиподписном кошельке.

1 апреля 2026 года в 16:05:18 UTC была отправлена транзакция о передаче административных полномочий, а через секунду ее одобрили и исполнили. Получив контроль, атакующие разрешили принимать в залог токен CarbonVote Token (CVT) с искусственно завышенной ценой. Они внесли 500 млн CVT и под этот залог стали выводить реальные активы. Основную часть средств вывели в первые минуты, а последние подтвержденные выводы Chainalysis датирует 18:31 UTC того же дня.

По оценке Chainalysis, атака показала: уязвимы не только смарт-контракты, но и операционные процессы и люди. Действительные административные подписи позволили обойти стандартные проверки.

Сколько денег похитили у Drift?

Оценки зависят от методики и момента расчета. Chainalysis оценила потери примерно в $285 млн - это больше половины средств, заблокированных в протоколе (TVL). Elliptic называла $286 млн. В официальной разбивке Drift стоимость выведенных активов составляет $295 706 374,93.

Крупнейшие позиции в списке Drift:

• токены JLP - $159,3 млн;
• стейблкоин USDC - $71,4 млн;
• cbBTC - $11,3 млн;
• SOL - $10,4 млн.

Почему атаку на Drift связывают с КНДР?

5 апреля Drift, опираясь на расследование SEAL 911, заявила, что атаку со средне-высокой степенью уверенности провели те же люди, что взломали Radiant Capital в октябре 2024 года. Тот взлом Mandiant приписала группе UNC4736. 9 апреля Chainalysis писала, что предварительные ончейн-признаки соответствуют прежним операциям КНДР, но формальной атрибуции еще нет.

Elliptic отдельно обнаружила сходство с прошлыми северокорейскими операциями: в поведении в блокчейне, в способах перемещения средств и в сетевых признаках.

В обновлении от 4 июня Drift заявила, что привлеченная ею компания Mandiant завершила расследование:

«Расследование Mandiant окончательно атрибутировало атаку UNC6862 - северокорейской группе угроз, имеющей прямые связи с другими спонсируемыми государством субъектами, участвовавшими в похожих атаках».

Самостоятельный публичный отчет Mandiant с доказательствами найти не удалось, поэтому вывод известен только в изложении Drift, то есть пострадавшей стороны. Как связаны обозначения UNC4736 и UNC6862, публично не объяснялось. Связь с КНДР остается выводом частных аналитиков, а не установленным судом фактом. Об обвинениях, задержаниях или комментариях властей КНДР по этому эпизоду не сообщалось.

Что перевод в Tornado Cash значит для пострадавших пользователей?

Tornado Cash - миксер: он затрудняет сопоставление внесенных средств с последующими выводами. Однако сам факт депозита не доказывает, что эфир уже продан, обналичен, отправлен на биржу или передан кому-то еще. Данных о выводе этих средств из миксера и об их возврате Drift пока нет.

С 1 октября 2026 года Drift проводит программу компенсаций через токены DFX: каждый токен соответствует одному подтвержденному USDT потерь. Всего выпущено 299 500 810,998 DFX.

«Каждый DFX представляет один подтвержденно потерянный USDT», - говорится в объявлении Drift. На старте программы Recovery Pool содержал около 3,1 млн USDT.

Это деньги пула для погашения требований, а не уже выплаченные компенсации. Пул пополняется частью чистой выручки Velocity, возвращенными похищенными активами и средствами партнеров. Tether пообещала до 127,5 млн USDT на перезапуск протокола и восстановление пользователей, другие партнеры - до 20 млн USDT. Это заявленные лимиты поддержки, а не разовые выплаты. Требования принимаются до 00:00 UTC 1 января 2028 года, невостребованные DFX после этого сожгут.