Uma carteira associada ao exploit de abril do Drift Protocol — um dos maiores roubos em DeFi deste ano — retomou a atividade, movimentando 23.095,1 ETH (cerca de US$ 44,4 milhões) para o mixer do Tornado Cash após aproximadamente três meses de inatividade. Os registros on-chain mostram que as transferências começaram em 23 de julho e continuaram até 24 de julho. O que aconteceu — O endereço rotulado “Drift Exploiter 4” no Etherscan processou centenas de transações durante o surto de atividade, fazendo depósitos repetidos em lotes de 100 ETH, 10 ETH e 1 ETH no roteador do Tornado Cash. O Onchain Lens informou que o atacante enviou lotes de 100 ETH várias vezes por minuto. — A mesma carteira também enviou quatro pequenas transferências, totalizando 0,85 ETH, para endereços sinalizados como endereços de depósito da Bybit. — O movimento foi identificado pelo pesquisador JL (0xJaelle) e divulgado no X (antigo Twitter), com o alerta também marcando o conhecido investigador de blockchain ZachXBT. A atribuição de monitoramento inclui os rótulos da PeckShield e do Etherscan. Por que o Tornado Cash importa Os pools do Tornado Cash recebem depósitos e permitem retiradas de endereços diferentes, obscurecendo um rastro público direto entre remetente e destinatário. Isso dificulta a simples rastreabilidade de carteira para carteira e eleva o nível de exigência para investigadores, que podem precisar de análise de timing, heurísticas de padrões de transação e cooperação de exchanges para seguir os fundos saindo do mixer. Investigadores e respostas — ZachXBT respondeu publicamente que “não tem planos de rastrear esses fundos” sem apoio institucional, argumentando que perseguir um exploit de nove dígitos ligado a um Estado-nação exige recursos além de um investigador solo. Ele também observou que o Drift não é um doador nem um cliente, destacando o custo e a necessidade de mão de obra para um trabalho prolongado de rastreamento. — O Drift disse que está trabalhando com as forças de segurança, a Mandiant e empresas de inteligência blockchain; o Etherscan continua rotulando o endereço do explorador; exchanges podem revisar depósitos ligados a carteiras sinalizadas. No momento do relato, nem o Drift nem a Solana haviam respondido publicamente aos comentários de ZachXBT, e a Bybit não havia confirmado se revisou os pequenos depósitos mostrados no Etherscan. Contexto do ataque de abril e dos esforços de recuperação — A atualização de abril do Drift estimou o total de ativos roubados em cerca de US$ 295,7 milhões, incluindo JLP, USDC, tokens ligados ao Bitcoin, SOL, WETH e outros ativos. Grande parte do valor convertido permaneceu em quatro carteiras de Ethereum sinalizadas. — A Mandiant atribuiu o ataque ao UNC6862, um grupo de ameaças norte-coreano, e afirmou que os atacantes usaram engenharia social e acesso operacional comprometido, em vez de explorar um bug em contrato inteligente. Segundo relatos, os atacantes esvaziaram cofres-chave em cerca de 12 minutos. — O Drift anunciou planos para um programa de bounty de recuperação em 16 de abril com apoio da Arkham e da Bybit, mas não publicou os termos finais do prêmio, regras de elegibilidade ou cronograma de pagamento. Não está claro se essa recompensa chegou a ficar plenamente ativa ou se ela cobriu o trabalho contínuo de monitoramento de carteiras. — Separadamente, o Drift descreveu um plano de recuperação para usuários apoiado, em parte, por um pacote proposto de suporte da Tether de até US$ 127,5 milhões, e disse que emitiria tokens de recuperação e financiaria resgates usando ativos restantes, capital de parceiros e receita futura de exchanges. O Drift diz que os fundos recuperados fluirão para um pool de recuperação de usuários e que o protocolo implementará controles de assinatura mais robustos para transações críticas. Repercussões mais amplas e questões em aberto — O exploit de abril também afetou outros projetos da Solana — por exemplo, a plataforma de yield Carrot foi encerrada após perdas ligadas ao Drift terem apagado a maior parte de seus depósitos. — Depositar ETH no Tornado Cash não prova que o atacante tenha convertido as detenções em dinheiro fiduciário ou outros ativos utilizáveis; os depósitos permanecem públicos e investigadores ainda podem rastrear retiradas posteriores. Porém, o mixer remove um rastro público simples e torna o rastreamento subsequente e a recuperação de ativos mais desafiadores. — O status dos fundos restantes roubados e os detalhes ou a ativação do programa de bounty de recuperação permanecem sem solução. Leia mais notícias geradas por IA em: undefined/news