Восстановление после взлома Drift сталкивается с препятствиями: $61.5 млн поступили в Tornado Cash

Адрес, связанный с кражей в протоколе Drift на $295 млн в апреле, во вторник внес 25 700 Ether (ETH) в сервис смешивания Tornado Cash, продолжая процесс отмывания, который следователи проследили до организации, спонсируемой государством в Северной Корее. Это важно для тысяч пользователей Drift, которым еще не выплатили средства.

Два часа, по 100 ETH за раз

Депозиты поступали в течение примерно двух часов, и общая сумма перевода составила около 61,56 млн долларов США, согласно данным Arkham Intelligence. До этого внезапного поступления кошелек был неактивен около двух месяцев.

Согласно журналам переводов Arkham, депозиты были внесены фиксированными суммами по 100 ETH (по 237 800 долларов каждый) и меньшими частями по 10 ETH. Фиксированные депозиты соответствуют пулам депозитов Tornado Cash, которые позволяют пользователю вывести средства на более позднем этапе с другого адреса, не раскрывая связь между отправителем и получателем.

Эти перемещения также были отслежены компанией Chainalysis. В опубликованном во вторник посте в X компания заявила, что 1 апреля злоумышленник перевел средства с пяти кошельков, использованных для эксплуатации, на один промежуточный кошелек в рамках 13 отдельных транзакций. Злоумышленник оставил кошелек неактивным до тех пор, пока средства не были депонированы в миксер частями по 100 ETH.

Это не первый раунд отмывания средств. Адрес, названный Drift Exploiter 4, 23 и 24 июля отправил 23 095 ETH (около $44,4 млн) в тот же миксер.

Что осталось в кошельках

В свете депозитов, сделанных во вторник, Arkham продолжает отслеживать 81 454 ETH стоимостью около 194 млн долларов США, согласно TFTC. Примерно 198,58 млн долларов находятся на 71 адресе, принадлежащем хакеру. Кроме того, эти счета содержат около 561 600 долларов США в виде USDT, USDC, Solana и USDY, а также одну монету Fartcoin стоимостью примерно 15 центов, согласно портфельному обзору Arkham.

Эксплуататор протокола Drift, укравший более 270 млн долларов, переводит $ETH в #TornadoCash после двух месяцев бездействия.

За последние 2 часа злоумышленник перевел 25 700 $ETH ($61,56 млн) в #TornadoCash и по-прежнему удерживает 81 864 $ETH ($195 млн).

https://t.co/FRtFrS7rew https://t.co/9ISUIlkHvT

— Lookonchain (@lookonchain) октября 20, 2026

Прежде всего, взлом затронул протокол Solana. Однако позже хакер использовал технологии моста для конвертации средств в ETH. Согласно таблице распределения активов Drift, злоумышленник вывел токены на сумму $295,7 млн, из которых $159,3 млн составили JLP (токен поставщика ликвидности Jupiter) и $71,4 млн — USDC.

Как злоумышленники получили доступ

Согласно отчету о разборе инцидента, опубликованному командой Drift на сайте drift.trade, атака 1 апреля не эксплуатировала никаких уязвимостей в коде, а вместо этого применяла методы социальной инженерии на протяжении шести месяцев. TFTC, ссылаясь на тот же источник, указала, что злоумышленники выдавали себя за торговую компанию, разместили реальные средства на сумму $1 млн для создания доверия, а также лично встречались с участниками проекта Drift на конференциях. Они использовали уязвимость выполнения кода через инструменты разработки в сочетании с поддельным приложением кошелька, чтобы опустошить протокол менее чем за 12 минут.

В публикации от 3 июня, посвящённой усилиям по восстановлению, Drift сообщил, что согласно расследованию Mandiant, атаку совершила хакерская группа UNC6862, связанная с Северной Кореей. Drift сослался на заявление Mandiant о наличии «прямых связей с другими государственно-спонсируемыми акторами, участвовавшими в аналогичных атаках на другие платформы».

Буфер восстановления против заведомо неблагоприятных условий

Drift открыл приём заявок на токены DFX 1 октября. Размер пула составлял 3,1 млн долларов и должен был увеличиваться за счёт прибыли от бирж и возврата средств. В отношении потерь в размере 295 млн долларов те, кто подал заявки раньше других, могли рассчитывать лишь на долю в один цент на доллар.

По данным TFTC, правоохранительные органы заморозили около 9,2 млн долларов, что составляет почти три цента на доллар. Учитывая, что 194 млн долларов находятся у злоумышленника, а всё большая их часть переведена в Tornado Cash, восстановление выглядит маловероятным. OFAC включил миксер в чёрный список в 2022 году, однако подтверждений возврата средств с депозитов, связанных с субъектами КНДР через Tornado Cash, нет.

Взлом Drift занимает третье место среди крупнейших криптоинцидентов 2026 года по данным трекера DeFiLlama, уступая лишь взлому Bitget на сумму $387,5 млн и взлому Liquid Network на $320 млн.