Взлом Drift Protocol: 20 октября в Tornado Cash ушли ещё 25 710 ETH, а 56 568 ETH лежат на одном кошельке

Drift потерял деньги без ошибки в смарт-контрактах. По описанию самого Drift, которое пересказывает Nexus Mutual, атакующие месяцами выдавали себя за торговую фирму, заразили устройства участников команды и получили заранее подписанные одобрения от двух из пяти подписантов Совета безопасности. 1 апреля они внесли созданный ими же токен CVT в список залогов, подняли лимиты вывода и опустошили хранилища: JLP, USDC, cbBTC и мелкие активы, около $285 млн. TRM Labs и Elliptic связывают атаку с северокорейской государственной группой (UNC4736, она же AppleJeus и Citrine Sleet). Это их вывод; блокчейн не может подтвердить, кто стоит за ключом.

23–24 июля PeckShield и Lookonchain сообщили, что кошелёк с меткой «Drift Exploiter» внёс в Tornado Cash 23 095 ETH. Мы прочитали кошельки атакующего в Ethereum 20 октября 2026 года. Ниже — то, что показывает блокчейн.

Украденные USDC перешли из Solana через собственный мост Circle — CCTP: в Ethereum контракт сообщений Circle 0x81D40F21F12A8F0E3252Bccb954D722d4c464B64 выпускал новые USDC прямо на кошельки атакующего. Мы насчитали 186,7 млн USDC, выпущенных так 1–2 апреля на шесть кошельков, в основном 0xFcC47866Bd2BD3066696662dbd1C89c882105643 (64,0 млн), 0xAD383d6b3886b598F48c625437ccB4f8E84dBB48 (65,4 млн) и 0xeF4326F42f2eB656C58fabf8B1D3298DC2Ab80C6 (53,8 млн). Ещё 4,0 млн USDC пришли через Mayan на 0xeC3145C5F138baF26722F1f909f6189Ce81680FB, и около 7 240 ETH пришли через Mayan сразу эфиром на 0xb2C6B5535Cbe45556b4f43Bc2eCAe3d56fb740a9 и 0x3C48A6938998F6cbc0a94f5f580990C554263Fb2.

В отчётах говорится примерно о $232 млн, переведённых в Ethereum. 190,7 млн, которые мы связываем с этими кошельками, оставляют разницу около $41 млн, которую мы не атрибутировали: другие крупные получатели CCTP в тот день могут принадлежать атакующему, но связь доказать не удалось.

Каждый кошелёк за несколько часов продал свои USDC за эфир через CoW Protocol, DODO, Uniswap, Kyber, Magpie и 0x. Потом эфир собрали на трёх кошельках.

0xbDdAE987FEe930910fCC5aa403D5688fB440561B собрал 23 097 ETH 1 апреля и держал их 113 дней. 23 июля за два часа он отправил 23 095 ETH в Tornado Cash через роутер 0xd90e2f925DA726b50C4Ed8D0Fb90Ad053324F31b, почти всё вкладами по 100 ETH. Это та волна, о которой уже писали.

0xAa843eD65C1f061F111B5289169731351c5e57C1 собрал 25 715 ETH 1 апреля, в основном с 0xFcC47866Bd2BD3066696662dbd1C89c882105643, и ждал 202 дня. 20 октября, с 07:08 до 09:21 UTC, он сделал 257 вкладов по 100 ETH и один на 10 ETH: 25 710 ETH. На нём осталось около 4 ETH. Сообщений об этой волне мы не нашли.

0x0FE3b6908318B1F630daa5B31B49a15fC5F6B674 собрал 56 568 ETH 1–2 апреля с 0xAD383d6b3886b598F48c625437ccB4f8E84dBB48, 0xeF4326F42f2eB656C58fabf8B1D3298DC2Ab80C6 и 0xF6fD4dB0C5930A8D0e5F9C850361F7dbe695BdEE и ни разу ничего не отправлял. По сегодняшней цене это около $138 млн — примерно половина украденного.

Если схема повторится, следующим в Tornado пойдёт именно этот кошелёк. Мы за ним следим.

За две волны атакующий внёс 48 805 ETH: 48 700 в пул 100 ETH, 100 в пул 10 ETH и немного в мелкие пулы. Одна только октябрьская волна — это 257 вкладов по 100 ETH за два часа тринадцать минут. Это важно для каждого, кто в ближайшие недели получит вывод на 100 ETH: 48 700 ETH из одной кражи — примерно десятая часть всех вкладов в этот пул за 2026 год.

По данным самого пула вывод нельзя сопоставить с вкладом, и мы не называем ни один вывод выводом атакующего.

Circle внёс 0xeC3145C5F138baF26722F1f909f6189Ce81680FB в чёрный список USDC 15 апреля 2026 года (блок 24 888 079). К тому моменту USDC на кошельке не было: все 3 998 399 были проданы за эфир ещё 1 апреля. Мы проверили баланс в блоке до блокировки и в блоке блокировки: ноль. Украденное в Ethereum с первого же вечера лежит в эфире, который ни один эмитент заморозить не может.

В истории атакующего полно переводов, которые ему не принадлежат: нулевые переводы, пыль в USDT и фальшивые токены «ETH» с адресов, у которых начало и конец совпадают с его настоящими кошельками (0xbdda…561b, 0xaa84…). Это отравление адресов, рассчитанное на того, кто скопирует адрес из этой истории. Эти адреса к краже не относятся, и на этой странице их нет.

Мы внесли все 13 кошельков ниже в свою базу как часть взлома Drift Protocol; у каждого теперь риск 90–100. Проверка адреса показывает их как высокий риск, и риск переходит на кошельки, которые от них получают.

Мы поставили 0x0FE3b6908318B1F630daa5B31B49a15fC5F6B674 и 0xAa843eD65C1f061F111B5289169731351c5e57C1 на наблюдение и обновим страницу, если эфир сдвинется.

Чтобы проверить адрес самостоятельно, воспользуйтесь проверкой адреса.

Она не называет никого по имени, а связь с северокорейской группой — вывод TRM Labs и Elliptic, не наш. Она не утверждает, что Circle, Mayan, CoW Protocol, DODO, Uniswap, Kyber, Magpie или 0x сделали что-то неправильно, и не называет ни один вывод из Tornado Cash выводом атакующего. Об атаке, сумме $285 млн и июльской волне первыми сообщили другие; весь кластер в Ethereum, волна 20 октября, кошелёк-хранилище и пустая блокировка — наши выводы, данные прочитаны 20 октября 2026 года.