Dopo mesi di silenzio, i fondi trafugati dal massiccio exploit Drift Protocol sono tornati a muoversi, evidenziando le sfide persistenti nel tracciare e recuperare centinaia di milioni in criptovalute rubate. Un wallet legato all’attacco ha spostato oltre 23.000 Ether, per un valore di circa 44,4 milioni di dollari, nel mixer Tornado Cash, complicando ulteriormente le indagini proprio mentre i ricercatori indipendenti segnalano la necessità di maggiori risorse.

Ripresa dei movimenti dei fondi dall’exploit Drift

L’indirizzo Ethereum etichettato come “Drift Exploiter 4” ha ripreso attività frenetiche il 23 e 24 luglio, dopo circa tre mesi di inattività. In centinaia di transazioni, l’attaccante ha depositato ripetutamente lotti di 100, 10 e 1 Ether nel router del mixer Tornado Cash, per un totale di 23.095,1 ETH. Nel corso delle stesse operazioni, lo stesso wallet ha inviato anche quattro trasferimenti più piccoli, per un totale di 0,85 ETH, verso indirizzi etichettati come depositi dell’exchange Bybit.

Trasferimento consistente di Ethereum nel mixer Tornado Cash

Il movimento di fondi rappresenta solo una parte del bottino originale. L’aggiornamento di Drift dell’aprile scorso valutava gli asset rubati in 295,7 milioni di dollari, sparsi tra JLP, USDC, token legati a Bitcoin, SOL e WETH, con gran parte del valore convertito ancora distribuito su quattro wallet Ethereum sotto sorveglianza. L’uso di Tornado Cash, che consente di mescolare depositi e prelievi attraverso indirizzi diversi, indebolisce il collegamento pubblico diretto tra mittente e destinatario, rendendo la fase successiva del tracciato più complessa.

Piccoli depositi ETH inviati agli indirizzi di deposito Bybit

I piccoli trasferimenti verso indirizzi associati a Bybit, osservati nei registri di Etherscan, potrebbero servire come test per verificare la reattività degli exchange o sondare possibili vie di liquidazione. Questi movimenti, seppur di valore marginale, indicano una fase operativa attiva da parte degli sfruttatori.

Sfide investigative e posizione del ricercatore indipendente

Di fronte a questa ripresa dell’attività, il noto ricercatore indipendente ZachXBT ha dichiarato pubblicamente di non avere piani per continuare a tracciare questi fondi. La sua decisione getta luce sui limiti pratici dell’investigazione blockchain quando si tratta di furti di portata istituzionale.

Decisione di ZachXBT di interrompere il tracciamento per mancanza di risorse

ZachXBT ha spiegato che monitorare un exploit a nove cifre legato alla Corea del Nord e lavorare per possibili congelamenti richiederebbe risorse che vanno oltre le capacità di un singolo investigatore indipendente. Ha descritto il compito come “difficile per un team e non fattibile per una singola persona”, specificando che Drift non è un suo donatore o cliente. La sua presa di posizione sottolinea il costo elevato e lo sforzo prolungato richiesti da indagini di questo calibro.

Implicazioni dell’uso di Tornado Cash per il rintraccio dei fondi rubati

I depositi in Tornado Cash non significano che gli Ether siano già stati convertiti in liquidità utilizzabile. Le transazioni rimangono pubbliche sulla blockchain e gli investigatori, inclusi quelli di aziende di intelligence blockchain e forze dell’ordine con cui Drift collabora, potrebbero ancora identificare i prelievi successivi. Tuttavia, questa mossa rompe il semplice tracciato wallet-to-wallet, imponendo un livello di analisi più sofisticato che richiede tempo e personale specializzato.

Sforzi di recupero di Drift Protocol e programmi di collaborazione

Mentre i fondi si muovono, Drift Protocol prosegue il suo percorso di recupero, che combina iniziative investigative con un quadro di risarcimento per gli utenti colpiti.

Annuncio di un programma bounty per il recupero con Arkham e Bybit

Il 16 aprile, il protocollo aveva annunciato di stare sviluppando un programma di bounty per il recupero con il supporto della piattaforma di intelligence Arkham e dell’exchange Bybit. Tuttavia, quell’annuncio iniziale non forniva un importo finale della ricompensa, regole di eleggibilità o un calendario di pagamento, lasciando incertezze sull’attivazione effettiva del programma e sulla sua copertura per il monitoraggio continuo dei wallet.

Quadro di recupero utenti e emissione di token di recupero

Parallelamente, Drift ha definito un quadro di recupero separato per gli utenti. Il piano prevede che i fondi recuperati confluiscano in un pool dedicato. Il protocollo intende inoltre emettere token di recupero e finanziare i riscatti attraverso le attività rimanenti, capitali di partner e future entrate da exchange. Tether aveva proposto un supporto fino a 127,5 milioni di dollari per questa iniziativa.

Attribuzione e impatto più ampio dell’exploit

L’entità e la sofisticazione dell’attacco a Drift hanno avuto ripercussioni oltre il singolo protocollo, con un’attribuzione chiara da parte di esperti di cybersicurezza.

Attribuzione a UNC6862, gruppo di minaccia nordcoreano, da parte di Mandiant

Un aggiornamento investigativo di Drift di giugno ha rivelato che la società di cybersicurezza Mandiant ha attribuito l’attacco a UNC6862, un gruppo di minaccia legato alla Corea del Nord. Secondo il protocollo, gli aggressori hanno utilizzato tecniche di social engineering e hanno compromesso l’accesso operativo, piuttosto che sfruttare una vulnerabilità degli smart contract, svuotando i vault chiave in circa 12 minuti.

Impatto su altri progetti Solana come Carrot

L’exploit di aprile ha avuto effetti a catena sull’ecosistema Solana. La piattaforma di yield Carrot, ad esempio, ha deciso di chiudere dopo che le perdite collegate a Drift hanno eraso la maggior parte del valore depositato al suo interno, dimostrando come un singolo attacco possa minare la stabilità di progetti interconnessi.

FAQ

Quale attività recente è stata rilevata dal wallet dello sfruttatore di Drift Protocol?

Dopo circa tre mesi di inattività, lo sfruttatore ha spostato 23.095,1 ETH (circa 44,4 milioni di dollari) in Tornado Cash e ha inviato 0,85 ETH a wallet etichettati come depositi Bybit.

Perché il ricercatore indipendente ZachXBT ha smesso di tracciare i fondi rubati?

ZachXBT ha citato le elevate richieste di risorse e la mancanza di supporto istituzionale per continuare a monitorare un furto di grandi dimensioni legato alla Corea del Nord, affermando che non era fattibile per una sola persona.

Qual è il piano di Drift Protocol per recuperare i fondi rubati?

Drift ha annunciato un programma di bounty per il recupero con Arkham e Bybit ad aprile e ha un quadro di recupero utenti che accumula i fondi recuperati e prevede di emettere token di recupero per il risarcimento.

A chi è stato attribuito l’attacco a Drift Protocol?

Mandiant ha attribuito l’attacco a UNC6862, un gruppo di minaccia nordcoreano che ha utilizzato social engineering e compromissione dell’accesso operativo.

Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.