Хакер Drift снова в Tornado Cash: за два часа через миксер прошло 25 700 ETH, а у атакующего остаётся около $195 млн

Хакер Drift проснулся после двух месяцев тишины: 20 октября кошельки, связанные с апрельским взломом Drift Protocol, за два часа отправили в миксер Tornado Cash 25 700 ETH — около $61,56 млн по подсчётам Lookonchain. По трекерам, под контролем атакующего остаётся ещё порядка $195–199 млн в эфире, а пострадавшие пока получают по компенсационной программе копейки с доллара.

Что произошло

Взлом Drift случился 1 апреля 2026 года: атакующий получил админские права, завёл поддельный токен в качестве залога и меньше чем за 12 минут занял под него реальную ликвидность. Сама Drift оценивает украденное в $295,7 млн, из них $159,3 млн — токены JLP (ликвидность Jupiter) и $71,4 млн — USDC. Большую часть потом обменяли и перегнали мостами в Ethereum.

Во вторник, 20 октября, деньги снова пошли в дело. Первыми движение заметили Onchain Lens (13 400 ETH, около $32 млн) и Salus (19 600 ETH в 196 транзакциях), а итог за два часа подвела Lookonchain: 25 700 ETH. Разница в цифрах — не противоречие, а разные моменты замера, поясняет Coinlive. CryptoSlate уточняет, что это были первые исходящие транзакции адреса Drift Exploiter 5 в Ethereum, и после них на нём осталось около 3,98 ETH.

Это уже второй заход. 23–24 июля адрес Drift Exploiter 4 отправил в тот же миксер 23 095 ETH, тогда около $44,4 млн.

Хакер Drift и Северная Корея

Подготовка к атаке, по версии Drift, заняла полгода. Люди под видом торговой фирмы знакомились с контрибьюторами на конференциях, вели общий чат, завели в протокол около $1 млн собственных денег ради доверия, а затем через инструменты разработчиков — упоминаются Cursor и Visual Studio Code — добрались до админских ключей.

Атрибуция расходится. Drift в июне сообщила, что Mandiant связывает атаку с группой UNC6862, а TRM Labs и Chainalysis указывают на UNC4736, она же Citrine Sleet. Обе — северокорейские. Эту разницу пока никто публично не свёл к одному ответу.

Tornado Cash не стирает историю: по времени, суммам и дальнейшим движениям средства всё ещё можно отслеживать, хотя прямую связь депозита и вывода миксер рвёт.

Важная оговорка: сам по себе перевод в миксер не доказывает, что эфир уже продан или обналичен. Это подготовка к следующему шагу, а не финал.

Что с компенсациями

Drift перезапустила биржу под названием Velocity и с 1 октября раздаёт пострадавшим токены DFX — по одному за каждый доллар подтверждённого убытка, всего около 299,5 млн. Каждый DFX — это доля в пуле восстановления. На старте в пуле было около $3,1 млн USDT, то есть примерно $0,0104 на токен, или около цента с доллара.

Пул должен расти: туда идёт от 60% до 90% ежедневной чистой выручки Velocity, Tether обещала до $127,5 млн, стратегические партнёры — до $20 млн, плюс всё, что удастся вернуть. Пока власти заморозили около $9,2 млн, связанных со взломом. На фоне почти $200 млн, которые остаются у атакующего, это немного. Подробно механику клейма мы разбирали в материале клейм DFX от Drift.

Что это значит для тебя

Если у тебя есть DFX, новость скорее плохая: каждый эфир, ушедший в миксер, — это минус к шансам вернуть деньги через заморозки. Реальный источник выплат сейчас — выручка Velocity и обещанные взносы Tether, а не возврат украденного.

Для всех остальных урок другой. Drift сломали не через баг в смарт-контракте, а через людей: полгода социальной инженерии, «партнёры» с реальными деньгами, общие репозитории и инструменты. Схема с миксером после долгой паузы тоже не новая — так же вёл себя хакер Aztec Connect, который проснулся через 127 дней.

Что делать

1. Держатель DFX — следи за официальным аккаунтом Drift Foundation и балансом пула, а не за слухами в чатах о «досрочном выкупе».
2. Не покупай DFX у случайных людей в личке: проверяй адрес токена только по официальным каналам.
3. Если ты разработчик, не запускай чужие репозитории и «инструменты для интеграции» на машине с доступом к ключам.
4. Не держи все средства в одном DeFi-протоколе: даже крупный проект можно опустошить за 12 минут.

FAQ

Сколько отмыл хакер Drift 20 октября? По Lookonchain — 25 700 ETH, около $61,56 млн за два часа. CryptoSlate по данным Etherscan насчитала 25 710 ETH в 258 депозитах.

Сколько осталось у атакующего? По Arkham — около 81 454 ETH (~$198,6 млн) и ещё около $561,6 тыс. в других активах; по Lookonchain — 81 864 ETH (~$195 млн).

Вернут ли пострадавшим деньги? Частично, через пул DFX. На старте он покрывал около цента на доллар убытка; дальше всё зависит от выручки Velocity, взносов Tether и возможных заморозок.

Кто стоит за атакой? Разные компании называют разные северокорейские группы: Mandiant — UNC6862, TRM Labs и Chainalysis — UNC4736 (Citrine Sleet).

Итог: хакер Drift не торопится, но и не останавливается. Пока эфир уходит в миксер партиями по 100 ETH, шанс вернуть украденное тает, и держателям DFX стоит считать на выручку Velocity, а не на поимку злоумышленника.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.