Drift协议2.85亿美元漏洞后被盗资产转移至Tornado Cash

近期区块链分析揭示，与Drift协议重大安全事件相关的资金流动出现新动向。据权威监控平台报告，约6156万美元的以太坊（ETH）于10月20日被存入隐私保护混币服务Tornado Cash，成为此次事件后续追踪的关键节点。

数据显示，攻击者在当日向该混币器注入25,700枚ETH，价值接近6156万美元。此前，Onchain Lens监测到至少13,400枚ETH（约合3200万美元）已流入同一服务。这一系列操作打破了此前两个月的资金静默状态，表明攻击者开始重新激活被盗资产。

资产追踪与数据差异解析

Lookonchain指出，疑似攻击者的地址在两小时内完成大额转账，标志着其对被盗资产的主动处置。目前估算，这些关联钱包仍控制着约81,864枚ETH，总值约1.95亿美元。

另一份来自Onchain Lens的更新显示，流入Tornado Cash的资产规模达13,400枚以上，对应价值约3200万美元。相关钱包快照还显示剩余资产约为2.2459亿美元。由于不同时间点的数据存在差异，且无法通过公开工具独立验证完整交易链，当前余额仍具不确定性。

另有追踪账号披露，一个特定地址在同一天通过196笔交易存入19,600枚ETH，价值约4681万美元。该数值介于前述两项观察结果之间，尚未与原始链上记录交叉核对。此外，一个以“57c1”结尾的地址自4月以来持续持有部分被盗资产，最新估算仍保留6,114.15枚ETH，市值近1460万美元。

需强调的是，上述数据仅反映部分资产状态，无法代表全部被盗资金的最终流向。由于多地址并行操作及频繁转账，实际掌握情况复杂，需依赖长期链上分析才能逐步厘清。

4月攻击复盘：社会工程与持久非ce利用

此次事件始于4月1日，攻击者通过伪装成合规交易公司代表，成功获取Drift安全委员会成员的信任，并获得多重签名批准。随后，其利用Solana网络中的持久非ce（durable nonce）机制，使预签名交易长期有效，为后续操控铺路。

在取得管理权限后，攻击者引入一种名为CarbonVote Token（CVT）的虚假代币作为抵押品。通过制造虚假交易量构建人为价格曲线，进而将该代币用于提取真实资产，包括稳定币与主流加密货币。

Chainalysis初步评估损失金额为2.85亿美元，占协议总锁定价值的一半以上。而后续发布的详细报告则将总额修正为约2.957亿美元，差异源于估值方法与会计口径的不同。

调查指向朝鲜关联组织

安全机构已将本次攻击与朝鲜黑客活动建立关联。Elliptic在4月7日的报告中识别出与过往朝鲜网络攻击一致的交易模式与洗钱路径。

Drift官方确认，网络安全公司Mandiant的调查结果指向名为UNC6862的朝鲜威胁组织。该组织此前也被牵连至2024年10月Radiant Capital的漏洞事件，后者损失约5000万美元。

此案是4月全球范围内的多起重大DeFi安全事故之一。在该月前18天内，累计因漏洞导致的资产损失超过6亿美元，涵盖Drift、KelpDAO等多个项目。

Drift恢复计划正式启动

面对巨额损失，Drift已推出用户补偿方案。10月1日，项目方开放了DFX恢复代币的索赔通道，用户可凭经核实的USDT损失申请兑换。

根据公告，每1美元损失可兑换1枚DFX代币。项目总供应量设定为约2.995亿枚，初始恢复池包含约310万USDT。用户可选择立即兑换或长期持有，以参与未来收益分配。最终偿还比例取决于池内资金规模与未偿代币数量，因此并非即时等额返还。

平台表示，其新上线的Velocity交易系统产生的收入将纳入恢复池。此外，Tether已承诺提供最高1.275亿美元支持，其他合作方亦提供高达2000万美元援助。

Drift明确指出，任何执法行动冻结或追回的资金都将加入恢复池。目前，索赔通道将持续开放至2028年1月1日，为受害者提供长期追偿机会。