Il recupero dei fondi dopo l'hack di Drift incontra ostacoli: $61.5M entrati in Tornado Cash

Un indirizzo legato al furto del protocollo Dr Protocol da 295 milioni di dollari avvenuto ad aprile ha depositato 25.700 Ether (ETH) nel servizio di mixing Tornado Cash martedì, continuando un processo di riciclaggio che gli investigatori hanno tracciato fino a un'organizzazione statale sponsorizzata dalla Corea del Nord. Questo è importante per le migliaia di utenti di Drift che devono ancora essere pagati.

Due ore, 100 ETH alla volta

I depositi sono arrivati nell'arco di circa due ore, per un totale di circa 61,56 milioni di dollari durante il trasferimento, secondo i dati di Arkham Intelligence. Il portafoglio era rimasto inattivo per circa due mesi prima di questo improvviso afflusso.

Secondo i registri dei trasferimenti di Arkham, i depositi sono stati effettuati in importi fissi di 100 ETH (237.800 dollari ciascuno) e in lotti più piccoli di 10 ETH. I depositi fissi corrispondono ai pool di deposito di Tornado Cash, che permettono a un utente di prelevare denaro in una fase successiva da un indirizzo diverso senza rivelare il collegamento tra mittente e destinatario.

Questi movimenti sono stati anche mappati da Chainalysis. In un post X post pubblicato il martedì, la società ha dichiarato che il 1 aprile l'esploitatore aveva trasferito i fondi dai cinque portafogli utilizzati per l'esploitazione a un unico portafoglio di transito in 13 transazioni separate. L'esploitatore ha permesso al portafoglio di rimanere inattivo fino a quando i fondi non sono stati depositati nel mixer in tranche di 100 ETH.

Non si tratta del primo round di pulizia dei fondi. Un indirizzo chiamato Drift Exploiter 4 ha inviato 23.095 ETH (circa 44,4 milioni di dollari) allo stesso mixer il 23 e 24 luglio.

Cosa rimane nei portafogli

Alla luce dei depositi effettuati martedì, Arkham continua a tracciare 81.454 ETH del valore di circa 194 milioni di dollari, secondo TFTC. Circa 198,58 milioni di dollari si trovano negli 71 indirizzi appartenenti all'hacker. Inoltre, questi account contengono circa 561.600 dollari in USDT, USDC, Solana e USDY, nonché un Fartcoin del valore di circa 15 centesimi, secondo la visualizzazione del portafoglio di Arkham.

L'exploiter del Drift Protocol, che ha rubato oltre 270 milioni di dollari, sta spostando $ETH verso #TornadoCash dopo 2 mesi di inattività.

Nelle ultime 2 ore, l'exploiter ha depositato 25.700 $ETH (61,56 milioni di dollari) in #TornadoCash e detiene ancora 81.864 $ETH (195 milioni di dollari).

https://t.co/FRtFrS7rew https://t.co/9ISUIlkHvT

— Lookonchain (@lookonchain) Ottobre 20, 2026

Innanzitutto, l'hack ha colpito un protocollo Solana. Tuttavia, l'hacker ha successivamente utilizzato la tecnologia dei bridge per convertire i fondi in ETH. In conformità con la tabella di distribuzione degli asset di Drift, l'hacker si è portato via token per un valore di 295,7 milioni di dollari, di cui 159,3 milioni sono JLP (Jupiter Liquidity Provider Token) e 71,4 milioni sono USDC.

Come gli attaccanti sono riusciti ad accedere

Secondo il post-mortem scritto da Drift su drift.trade, l'attacco dell'1 aprile non ha sfruttato alcuna vulnerabilità nel codice, ma ha invece utilizzato metodi di ingegneria sociale nell'arco di sei mesi. TFTC, citando la stessa fonte, ha indicato come gli attaccanti si siano spacciati per una società di trading e abbiano bloccato 1 milione di dollari in denaro reale per consolidare la loro credibilità, incontrando anche personalmente i contributori di Drift durante conferenze. Hanno sfruttato una vulnerabilità di esecuzione del codice attraverso strumenti di sviluppo combinati a un'applicazione wallet falsa per drenare il protocollo in meno di 12 minuti.

In un post del 3 giugno dedicato alle attività di recupero, Drift ha dichiarato che, secondo un'indagine forense di Mandiant, l'attacco è stato eseguito da UNC6862, un threat actor proveniente dalla Corea del Nord. Drift ha citato la dichiarazione di Mandiant secondo cui esistono "legami diretti con altri attori sponsorizzati dallo Stato coinvolti in attacchi simili su altre piattaforme."

Una piscina di recupero contro probabilità sfavorevoli

Drift ha aperto le richieste per i suoi token DFX il 1° ottobre. La piscina ammontava a 3,1 milioni di dollari al momento ed era destinata a crescere in base ai profitti degli scambi e ai recuperi. Per quanto riguarda le perdite per 295 milioni di dollari, coloro che hanno presentato richiesta anticipatamente vedevano appena un centesimo per dollaro.

Secondo TFTC, circa 9,2 milioni di dollari sono stati congelati dalle forze dell'ordine, ovvero quasi 3 centesimi per dollaro. Considerando che 194 milioni di dollari sono nelle mani dell'exploiter e una quota crescente di questi fondi è stata depositata su Tornado Cash, il recupero non sembra molto probabile. OFAC ha inserito il mixer nella lista nera nel 2022, ma non vi è alcuna conferma di un eventuale recupero sui depositi effettuati su Tornado Cash da parte di un'entità collegata alla RPC.

L'exploit Drift si classifica come il terzo più grande furto di criptovalute del 2026, secondo il tracker degli exploit DeFi di DeFiLlama, dietro l'exploit Bitget da 387,5 milioni di dollari e l'exploit Liquid Network da 320 milioni di dollari.