Drift-hyökkääjä heräsi kolmen kuukauden tauon jälkeen – 44 miljoonaa dollaria Tornado Cashiin
- Drift Exploiter 4 -osoite siirsi 23 095,1 ETH eli noin 44,4 miljoonaa dollaria Tornado Cashiin 23.–24. heinäkuuta.
- Tutkija ZachXBT kertoi, ettei jatka Pohjois-Koreaan kytkettyjen varojen seurantaa ilman institutionaalista tukea.
- Huhtikuun Drift-hyökkäyksen saalis oli protokollan oman arvion mukaan 295,7 miljoonaa dollaria.
- Mandiant yhdisti iskun Pohjois-Korean UNC6862-ryhmään, ja keskeiset holvit tyhjennettiin noin 12 minuutissa.
Tunnettu riippumaton ketjututkija ZachXBT ilmoitti, ettei jatka Pohjois-Koreaan kytkettyjen varojen seurantaa ilman institutionaalista tukea. Varkauksien jälkiseuranta on resurssipeli, jossa aika pelaa rahanpesijän pussiin.
Mitä tekee hyökkääjä, jolla on aikaa? Odottaa. Etherscanissa nimellä "Drift Exploiter 4" merkitty osoite pysyi kolme kuukautta täysin hiljaa ja siirsi sitten 23.–24. heinäkuuta yhteensä 23 095,1 ETH eli noin 44,4 miljoonaa dollaria Tornado Cash -sekoituspalveluun.
Siirrot tehtiin 100:n, 10:n ja 1 ETH:n erissä, ajoittain useita minuutissa. Lisäksi 0,85 ETH päätyi Bybitin talletusosoitteiksi merkittyihin lompakoihin, käy ilmi Etherscanin merkinnöistä sekä PeckShieldin ja Onchain Lensin seurannasta.
Liikkeen nosti ensimmäisenä esiin tutkija JL, joka tunnetaan verkossa nimimerkillä 0xJaelle. Hän merkitsi viestiinsä ZachXBT:n, kryptomaailman tunnetuimman riippumattoman on-chain-tutkijan.
The drift exploiter moving funds finally. Something @zachxbt and @tayvano_ may want to keep an eye out.
– JL (@0xJaelle) July 24, 2026
Vastaus tuli nopeasti, mutta se ei ollut sitä mitä moni odotti.
– Valitettavasti en tällä hetkellä aio seurata näitä varoja pidemmälle, ZachXBT vastasi.
Hän kuvasi yhdeksännumeroisen, Pohjois-Koreaan kytketyn varkauden seurantaa työnä, joka olisi vaikea kokonaiselle tiimillekin eikä oikeastaan mahdollista yhdelle ihmiselle. Tutkija huomautti myös, ettei Drift ole hänen asiakkaansa eikä tukijansa.
Huhtikuun jättivarkaus jäi puolitiehen
Taustalla on huhtikuinen Drift Protocol -hyökkäys, jonka saaliin protokolla itse arvioi 295,7 miljoonaksi dollariksi. Varastettu omaisuus koostui muun muassa JLP-tokeneista, USDC:stä, SOL:sta ja WETH:stä.
Tietoturvayhtiö Mandiant yhdisti iskun kesäkuussa Pohjois-Korean UNC6862-ryhmään. Kyse ei ollut älysopimusvirheestä vaan henkilöihin kohdistuneesta manipuloinnista ja operatiivisten käyttöoikeuksien kaappauksesta. Keskeiset holvit tyhjennettiin noin 12 minuutissa.
Noin 232 miljoonaa dollaria USDC:tä siirtyi Solanasta Ethereumiin Circlen siltajärjestelmän kautta. ZachXBT arvosteli Circleä jo tuolloin hitaasta reagoinnista.
Drift kertoi 16. huhtikuuta valmistelevansa palkkio-ohjelmaa Arkhamin ja Bybitin tuella, mutta ehtoja ei ole julkistettu. Käyttäjilleen protokolla suunnittelee erillisiä recovery-tokeneita, joilla menetyksiä on tarkoitus lunastaa takaisin jäljellä olevista varoista, kumppanien pääomasta ja pörssitoiminnan tulevista tuotoista. Tether on esittänyt jopa 127,5 miljoonan dollarin tukea.
Sekoituspalvelu (mixer)
Tornado Cash yhdistää käyttäjien talletukset yhteen pooliin ja sallii nostot eri osoitteisiin. Suora julkinen linkki lähettäjän ja vastaanottajan välillä katkeaa. Jäljittäminen ei muutu mahdottomaksi, mutta se vaatii ajoitus- ja kuvioanalyysiä, dataa ja henkilöresursseja.
Rikollinen voittaa odottamalla
Miksi hyökkääjä heräsi juuri nyt? Kolmen kuukauden tauko on rahanpesussa varsin tavallinen taktiikka. Kun akuutti huomio hiipuu, seuranta ohenee ja varojen liikuttelu käy turvallisemmaksi.
Sekoituksen jälkeen jäljittäminen on ennen kaikkea resurssikysymys. Tarvitaan dataa, aikaa ja ihmisiä, jotka jaksavat tuijottaa lompakoita kuukausikaupalla, ja juuri siitä ZachXBT:n vetäytymisessä on kyse.
Kokonaan vaille katseita osoitteet tuskin silti jäävät. Drift kertoo tekevänsä yhteistyötä viranomaisten, Mandiantin ja lohkoketjuanalyysiyhtiöiden kanssa. Pörssit voivat tarkastaa merkittyihin osoitteisiin kytkeytyvät talletukset. Tätä artikkelia kirjoitettaessa Drift ei ollut kommentoinut ZachXBT:n vetäytymistä julkisesti.
Valtaosa huhtikuun saaliista on yhä siirtämättä. Kuka niitä siirtoja silloin seuraa, jää nähtäväksi.
