Drift漏洞利用者两月后向Tornado Cash存入超1亿美元ETH

链上分析师Lookonchain披露，与4月1日Solana永续合约协议Drift遭黑客攻击相关的钱包集群，在沉默近两个月后，于10月20日重启活动。在短短两小时内，该地址群组向隐私混币器Tornado Cash注入25,700枚ETH，价值约6,156万美元。

据追踪机构Onchain Lens后续更新，10月20日和21日两天内，共计44,510枚ETH（约合1.0915亿美元）被转入Tornado Cash。其中首日流入25,710枚，次日为18,800枚。相关地址包括0xAa843eD65C1f061F111B5289169731351c5e57C1与0xD3FEEd5DA83D8e8c449d6CB96ff1eb06ED1cF6C7。由于估值时点不同，各机构对美元金额估算存在差异，但代币数量一致。

攻击者持续活跃：从静默到集中转移

自8月以来长期未动的攻击者钱包在10月20日突然启动大额转账，采用与夏季前两次操作相同的策略——通过混币器进行资产清洗。这种行为模式表明其仍在试图掩盖资金流向，同时规避监管追踪。

损失账目清晰：逾2.9亿美元资产被窃

Drift官方报告指出，此次攻击共导致19种资产流失，总金额达2.957亿美元。其中最大单项损失为Jupiter的JLP流动性代币，达1.593亿美元；其次是7,141万美元的USDC、1,132万美元的cbBTC及1,042万美元的SOL。其余包括USDT、WETH、WBTC、Fartcoin等在内的15种资产合计约5,800万美元。

协议方已将攻击归因于一个与朝鲜有关的黑客团体，并正联合执法机构与区块链法医团队展开追查。Chainalysis独立评估损失约为2.85亿美元。目前，所有追回资金将纳入恢复池，用于未来赔偿。

恢复机制有限：池子规模远低于损失

Drift推出的恢复代币DFX，按每1美元经核实损失发行1枚的比例发放，上限为2.995亿枚。然而截至10月1日，用于赎回的恢复池中仅存约310万美元的USDT。据此计算，实际可返还比例仅为约1.05%。

值得注意的是，攻击者在两天内转移的资金总额（1.0915亿美元）相当于恢复池规模的35倍。单是10月20日一天的存入金额（6,156万美元），就占全部被盗资金的21%以上，凸显追回难度。

恢复池每日由Velocity协议收入注资，前3万美元部分注入60%，接下来7万美元注入70%，超过10万美元部分注入90%。索赔通道将于2028年1月1日关闭，未领取的DFX将被销毁。

受害者面临三种选择：兑换、出售或持有

持有者可选择将DFX按当前赎回率（约0.0104 USDT/枚）兑换为稳定币；在二级市场如Raydium出售；或长期持有以期待池子增长。由于赎回会燃烧代币并减少总量，剩余代币的分配基数缩小，因此未来存款不会稀释现有持有者的收益。

这一设计本质是时间换确定性的权衡，但并未设定明确还款周期，使得恢复进程高度不确定。

混币器存款不等于资金用途

向Tornado Cash存入ETH仅表示资金进入匿名化流程，并不能证明其已被变现、转至交易所或兑换为法币。链上观察仅反映交易路径，无法揭示最终去向。

不同机构对攻击者剩余余额的统计存在出入：Lookonchain称其仍持约81,864枚ETH，而Arkham平台显示约为56,569枚。这反映出链上数据的复杂性与多源差异。

真正实现冻结或追回，依赖中心化交易所或托管方采取行动。以太坊网络本身不具备阻止特定地址的能力，因此追赃必须依靠外部合作与法律程序。

截至目前，尚无确凿证据表明执法部门已锁定资金流向，或能将这些链上活动与朝鲜关联实体建立直接联系。所有判断仍基于推测，1.09亿美元的数据也仅为链上估算，非最终清算结果。