Украденная крипта редко исчезает за один ход. Она ждёт, а потом движется волнами. Во вторник, 20 октября 2026, кошельки, которые ончейн-аналитики связывают с апрельским взломом Drift Protocol, проснулись примерно через два месяца и начали загонять эфир в Tornado Cash — от $32 до $61,6 млн в зависимости от того, кто считал.
Важнее другая цифра — остаток: около 81 500 ETH, или почти $195 млн, всё ещё у атакующего.
Главное
- 20 октября 2026 кошельки, связанные с атакующим Drift, после примерно двух месяцев бездействия отправили эфир в Tornado Cash.
- Lookonchain насчитал 25 700 ETH (около $61,56 млн) за два часа; Salus — 19 600 ETH (около $46,81 млн) в 196 транзакциях; Onchain Lens сначала сообщил о 13 400 ETH (около $32 млн).
- Arkham оценивает остаток у атакующего примерно в 81 454 ETH (около $194 млн), Lookonchain — в 81 864 ETH.
- По данным Drift Foundation, при атаке 1 апреля 2026 у пользователей забрали около $295,4 млн.
- Заморожено около $9,2 млн — примерно 3% от общей суммы; разморозка идёт через правоохранительные органы.
- Mandiant приписывает атаку северокорейской группе UNC6862, TRM Labs и Chainalysis — UNC4736 (Citrine Sleet), тоже связанной с КНДР.
Что произошло со средствами из взлома Drift 20 октября?
Примерно после двух месяцев без активности адреса, связанные с атакующим Drift, начали отправлять эфир в Tornado Cash. Lookonchain насчитал 25 700 ETH за два часа — около $61,56 млн по цене дня примерно $2 436. Другие трекеры видели меньшие суммы, потому что следили за разными наборами адресов.
Компания Salus насчитала 19 600 ETH в 196 отдельных транзакциях, а Onchain Lens сначала сообщил о 13 400 ETH с адреса, который он помечает как «Drift Exploiter 5». Разброс оценок нормален: каждая фирма по-своему кластеризует кошельки, а депозиты в миксер идут фиксированными порциями, которые легко пропустить.
Где сейчас дело Drift
Drift был деривативной площадкой на Solana. Атака 1 апреля 2026 вывела у пользователей около $295,4 млн, сообщает отчёт Drift Foundation о возврате средств. С тех пор платформа перезапустилась под названием Velocity. Компенсационный пул под тикером DFX принимает заявки; первые выплаты в начале октября составили чуть больше 1% потерь пользователей.
Взлом — это один день. Отмывание — это календарь.
Кто стоит за взломом Drift Protocol?
Атрибуция указывает на КНДР, но не на одну согласованную группу. В отчёте от 3 июня Drift Foundation передал, что Mandiant приписывает атаку группе UNC6862. TRM Labs и Chainalysis указывают на UNC4736, известную как Citrine Sleet. Окончательного публичного заключения ни один госорган не опубликовал.
Отслеживанием средств занимаются Mandiant, zeroShadow и SEAL 911. Вместе с Bybit объявлено публичное вознаграждение — 10% от возвращённых средств. Деньги Drift уже проходили через Tornado Cash в августе 2026.
Tornado Cash всё ещё под санкциями?
Нет. Минфин США исключил Tornado Cash из санкционного списка 21 марта 2025 после решения Апелляционного суда пятого округа в деле Van Loon v. Department of the Treasury в ноябре 2024. Уведомление OFAC называется «Cyber-related Designation Removal; North Korea Designation Update and Removal». Пользоваться миксером само по себе не санкционное нарушение, но отмывание украденного через него остаётся преступлением.
Tornado Cash использует фиксированные номиналы и доказательства с нулевым разглашением, поэтому вывод нельзя однозначно связать с конкретным депозитом. Именно поэтому биржи и свап-провайдеры проверяют средства после миксеров: депозит с такой историей могут задержать до выяснения происхождения.
Что это значит для тех, кто делает свапы
Когда двигаются крупные украденные суммы, комплаенс по всей индустрии ужесточает проверки. Провайдеры, через которых идут свапы, — включая лицензированные сервисы, которые агрегирует SwapZilla, — проводят свои AML-проверки и могут приостановить транзакцию, если входящие средства ведут к помеченным адресам. Как это устроено, описано в нашей AML-политике, а что происходит, если провайдер отклонил депозит, — в гайде по адресу возврата.
Обычному пользователю совет простой: принимай монеты только из понятных источников и храни записи. Инструменты приватности вроде Monero существуют по легитимным причинам — что делает и чего не делает наш вариант через Monero, объясняет страница приватного маршрута, — но никакой приватный маршрут не обходит проверку провайдером украденных средств.
Финальная мысль
Через полгода после атаки заморожено лишь около 3% потерь Drift, а у атакующего по-прежнему около $195 млн в ETH. Волна 20 октября не последняя. Остальное, скорее всего, будет двигаться так же: тихо, порциями, когда внимание ослабнет.