В апреле этого года с Solana-биржи деривативов Drift украли около 296 млн долларов. За последние два дня хакеры перевели крупную сумму в эфире в миксер Tornado Cash. Адрес, который обозреватель блокчейна Etherscan пометил как «Drift Exploiter 1», с 07:00 до 08:56 UTC 21 октября (с 15:00 до 16:56 по тайваньскому времени) отправил в Tornado Cash 24 885 ETH в рамках 262 транзакций. По текущей цене около 2 456 долларов за ETH это составляет примерно 61 млн долларов. Днём ранее другой адрес перевёл туда около 25 700 ETH. За два дня в общей сложности было отправлено более 50 000 ETH.

Оба адреса получили средства в день взлома, 1 апреля

Партия от 20 октября поступила с другого адреса: с 07:08 до 09:21 UTC было совершено 258 переводов на общую сумму 25 710 ETH. Decrypt со ссылкой на данные Arkham сообщает, что эта сумма стоимостью около 61,56 млн долларов стала первым движением средств с этого адреса примерно за два месяца. В основном средства вносились фиксированными суммами по 100 ETH, иногда по 10 ETH, что соответствует пулам с фиксированными номиналами Tornado Cash.

Согласно данным блокчейна, крупные суммы ETH поступили на оба адреса 1 апреля, в день взлома Drift: примерно 25 712 и 24 882 ETH соответственно. Сегодня в 06:55 UTC адрес, с которого был сделан перевод накануне, отправил оставшиеся примерно 3,98 ETH на адрес Drift Exploiter 1. Через пять минут начался второй раунд депозитов. Когда компания по кибербезопасности PeckShield предупредила об этом в X, в ходе этого раунда уже было переведено около 18 800 ETH.

Это не первый случай, когда хакеры используют Tornado Cash. Как сообщает Decrypt, 23–24 июля адрес с меткой Drift Exploiter 4 перевёл в тот же миксер около 23 095 ETH (на тот момент примерно 44,4 млн долларов). По данным Arkham, после перевода 20 октября на 71 связанном с хакерами адресе по-прежнему хранилось 81 454 ETH.

Mandiant связала атаку с северокорейской группировкой; при открытии фонда возмещения Drift в нём было лишь 3,1 млн USDT

Согласно опубликованной Drift 16 апреля ведомости активов, общая стоимость похищенных средств составляла около 295,7 млн долларов, из них примерно 159,3 млн долларов приходилось на JLP. В июне Drift сообщила, что по итогам расследования, проведённого компанией по кибербезопасности Mandiant, атаку приписали северокорейской группировке UNC6862.

После возобновления работы Drift стала функционировать под управлением Velocity. 1 октября началась выдача компенсационных токенов DFX: за каждый подтверждённый убыток в размере 1 USDT полагался 1 токен, всего было выпущено около 299,5 млн токенов. Согласно сообщению Drift, на момент открытия фонда возмещения в нём было около 3,1 млн USDT. Тогда за каждый токен при погашении можно было получить примерно 0,0104 USDT. Ежедневно в фонд направляется от 60% до 90% чистого дохода протокола Velocity; доля увеличивается по мере роста дохода. В фонд также поступят возвращённые похищенные средства. Tether обязалась предоставить до 127,5 млн USDT на поддержку возобновления работы и компенсации пользователям.

Статья «Северокорейские хакеры за два дня перевели 50 000 ETH в миксер; средства связаны с кражей у Drift» впервые опубликована на сайте Chain News ABMedia.