Drift协议攻击资金再流入Tornado Cash 欧洲投资者面临合规风险

2026年10月20日，针对Drift Protocol的黑客攻击所得资金再度出现流动迹象。沉寂两个月后，被认定为攻击者控制的钱包向加密货币混币器Tornado Cash转移了大量以太坊。此次资金流向引发关注，尤其对欧洲市场而言，因相关资产进入公开交易环节后，若未明确来源，可能导致账户被冻结。

资金异动规模：两小时内流出25,700枚以太坊

根据区块链分析平台Lookonchain的数据，当日有约6,156万美元的25,700枚以太坊流入Tornado Cash。Onchain Lens早前报告称，标记为“Drift Exploiter 5”的地址在同一天流出13,400枚以太坊，约合3,200万美元。独立安全机构Salus则统计到196笔交易，合计19,600枚以太坊，折合约4,681万美元。

按当日均价估算，一枚以太坊价值约2,436美元（或2,168欧元），因此本次流动总额约为5,570万欧元。

为何数据差异显著？三种观测结果解析

不同机构统计结果存在差异，并非矛盾，而是源于监控范围、时间窗口和汇率标准不一。Onchain Lens率先发布早期报告；Lookonchain随后捕获更多交易；Salus则基于另一组数据进行评估。因此，单一数值仅反映特定视角下的局部快照。忽略最小值会低估规模，依赖最大值则可能误导判断。

混币器是一种通过智能合约将多笔资金合并并重新分配的工具，使原始转账与最终取款难以关联，从而增强匿名性。

技术原理：零知识证明如何实现资金混淆

Tornado Cash采用固定面额机制与零知识证明技术。用户存入后获得一张秘密票据，取款时可验证其曾参与存款，但无法追溯具体哪一笔。当池中参与者增多，单笔资金的“人群掩护”效果越强。Salus观察到的196笔小额交易，正体现了这种分散化操作策略——相比大额转账，更难被归因。

然而，该技术并非完全隐匿。分析公司可通过时间窗口、金额特征及后续行为模式进行追踪。三家机构在同一天独立发现异常，说明此类地址已被持续监控。

剩余资产状况：攻击者仍持有超8万枚以太坊

此次资金流动并未耗尽全部赃款。Arkham Intelligence估计剩余余额约为81,454枚以太坊（约合1.94亿美元）；Lookonchain则估算为81,864枚（约合1.95亿美元）。此前初步估计范围为82,000至94,000枚，最高达2.24亿美元。这意味着当前攻击者仍掌握远超混币器流转量的资金。

沉寂两个月后的集中行动模式

这种先静默后爆发的节奏在类似事件中屡见不鲜。攻击者通常等待公众关注度下降，避开低频监控服务，选择在信息敏感度较低的时间点实施大规模操作。

2026年4月1日：Drift Protocol遭重创

Drift Protocol是建立在Solana链上的衍生品交易平台。2026年4月1日，平台在短短十二分钟内损失巨额客户资金。基金会官方报告称用户资金损失约2.954亿美元，行业媒体普遍引用2.85亿至2.954亿美元区间作为可靠基准。此后，原平台由名为Velocity的新项目接替。

攻击归属争议：朝鲜关联组织指认不一

关于攻击背后的组织，目前尚无统一结论。Drift基金会在2026年6月3日援引Mandiant调查，将责任归于朝鲜威胁行为体UNC6862。而TRM Labs与Chainalysis则指向另一朝鲜背景组织UNC4736（又称Citrine Sleet）。两者均具国家支持特征，但具体实体不同。目前尚未有权威机构发布最终裁定。

参与追踪的还包括Mandiant、zeroShadow与SEAL 911。近期类似案件发生在交易所Bitget，Chainalysis将其3.87亿美元盗窃案也归因于同一源头。

资金追回进展：920万美元被冻结

截至目前，总损失约2.954亿美元中，仅有约920万美元被成功冻结，占比约3%。需注意，“冻结”不等于“追回”，解冻须经执法程序，周期较长。事实上，已有部分资金早在8月通过Tornado Cash完成洗白，因此10月20日的流动并非首次。

受影响用户可通过代号为DFX的赔偿池申请索赔。10月初首批赔付比例略高于用户损失的1%，每代币赔付1美分。此外，基金会联合Bybit设立10%悬赏，奖励成功追回资金的贡献者。

Tornado Cash已脱离美国制裁名单

一个常见误解是：因Tornado Cash于2025年3月21日被从美国制裁名单中移除，其使用即合法。该决定依据《网络相关指定移除；朝鲜指定更新与移除》通知，涉及工具本身而非违法行为。即便如此，所有被盗资金仍属非法所得，无论经过何种路径。

值得注意的是，一名创始人虽因“网络相关指定”被移除，但在朝鲜项目下的其他指定依然保留。因此，认为带有混币历史的资金无风险，实则是混淆了制裁法与反洗钱监管逻辑。

德国交易所可能暂停可疑存款处理

服务于德国客户的平台受《反洗钱法》约束。这些机构必须核查资产来源，向金融情报单元报告可疑活动，并可在未澄清前暂停交易。实践中，它们采用与追踪Drift资金相同的分析工具。一旦资金接近混币器或标记地址，系统将自动触发警报。

对用户而言，这意味着存款可能延迟处理，提现被暂停，且需提供资金来源证明。有效澄清需依赖购买收据、银行对账单及完整的资金路径记录。通过持牌机构购买可确保此类证据留存。

边缘交易成高风险入口

风险不在于在持牌交易所购入，而在于与未知对手方的直接交易、群组兑换报价或陌生人提供的付款服务。接受此类来源的以太坊并在后续存入交易所，举证责任落在用户自身。

自我托管虽能防范密钥泄露，但无法改变资金的历史属性。硬件钱包虽能抵御钓鱼攻击，却不能将被标记的资金转化为“干净”资产。其核心优势在于保护自有持仓，而非清除过往痕迹。

应对提现停滞：证据优于辩解

面对服务商问询，应如实提供日期、交易对方与金额等信息。同时整理可追溯至自身入场点的交易哈希。若不清楚来源，坦诚说明比编造更可信。监管机构更倾向接受信息缺失，而非虚假陈述。

重要提醒：资金流入不等于卖出信号

25,700枚以太坊流入混币器，并不代表即将抛售。资金仍处于合约锁定状态，去向未明。鉴于该规模远小于日常交易量，据此推断对以太坊价格构成即时压力缺乏依据。交易已发生，但意图仍不确定。将此视为市场信号，是对数据的过度解读。

总结与建议

目前仍有三大关键问题待解：攻击实际归属组织、被冻结资金何时释放、剩余约81,500枚以太坊最终流向。

给投资者的建议：

• 检查持仓路径，为每次入场保存购买凭证。
• 未来交易优先通过持牌机构完成。
• 大额资产建议转入自我托管，降低平台风险暴露。
• 避免与陌生方直接交易。如遇存款停滞，以完整证据回应而非异议。

（截至2026年10月20日。本文不构成投资建议。价格与费用结构可能变动，请咨询服务商条款。）