Driftプロトコル攻撃者が13,400 Ethereum(ETH)をTornado Cashへ送金

更新 20:12 UTC：攻撃者に関連するアドレスは93,965 イーサリアム (ETH)(約2億2,404万ドル)を保有し、これに加えて約54万8,980ドル相当のOndo US Dollar Yieldトークン477,375個と残存する1.33 SOLがあり、追跡対象の合計は2億2,459万ドルに達する。

Drift Exploiter 5が13,400 ETHをTornado Cashへ送金

昨春のDrift Protocol略取事件に関わるウォレットが、約2か月の沈黙を破り動きを再開した。オンチェーン追跡のOnchain LensとLookonchainが、攻撃者を示すArkhamのエンティティダッシュボードに基づき、直近1日以内の新たなミキサー預け入れを確認した。アナリストが「Drift Exploiter 5」と呼ぶアドレスは13,400 ETH(約3,200万ドル)を、入出金を混合して送金者と受取人の結び付きを台帳上断ち切るミキシングプロトコルTornado Cashのコントラクトへ送った。このアドレスはここ2か月間静止していた。同じダッシュボードには約1億9,525万ドルの残高が表示され、その大半はEthereum(ETH)で保持されている。複数の分析プラットフォームは、関連ウォレット全体の1日の移動総額を最大25,700 ETH(約6,150万ドル)と、さらに高い水準で捉えている。

預け入れには計画的なパターンがある。各送金は正確に100 ETH単位で、追跡側はこの分割サイズを、Ethereumの価格への急激な影響を避け、最終的な売却地点から注意を逸らすために選んだと分析する。一律の分割は、公開台帳上の送金者から受取人への直接的な結び付き、すなわち自動トレーシングツールが依存する手掛かりをも弱める。ミキサーはより広いEthereumのプライバシー技術の一種であり、Aztec Networkのようなゼロ知識構成は、プール型の預け入れではなく証明によって同様の目的に迫る。今回が攻撃者にとって2回目の大規模な資金洗浄となる。7月には同じウォレット群が類似の分割手法で約4,400万ドルをミキサー経由で引き出した。未回収の本体はさらに大きい。オンチェーンデータでは攻撃者の残高が依然82,000から94,000 イーサリアム (ETH)(最大2億2,400万ドル)に及ぶ。8月に捜査当局が凍結できたのは約920万ドルにとどまり、ミキサーを通過する資金が増えるほど、押収は技術的にも法的にも困難になる。

Onchain Lensの記録に含まれる内訳は、残る略取資金の内訳を示している。攻撃者に関連するアドレスは93,965 ETH(約2億2,404万ドル)を保有し、これに加えて約54万8,980ドル相当のOndo US Dollar Yieldトークン477,375個と残存する1.33 SOLがあり、追跡対象の合計は2億2,459万ドルに達する。残高のほぼすべてがイーサであるため、これらのアドレスからの追加の動きはETHの形で現れることになる。同プラットフォームは、この集計が追跡対象のアドレスのみを対象とし、攻撃者が別途管理している可能性のあるウォレットや、既に過去の送金を通じて移された資金はこの数字の外にあると注記している。

6か月の準備、12分で2億8,500万ドルを流出

ミキサーに溶けるように送られているイーサは、2026年4月1日に窃取されたものだ。Solana上のLayer 1ブロックチェーンで自動マーケットメーカー方式を運用する分散型取引所Drift Protocolはこの日、12分間で2億8,500万ドルを失った。今年最大級のハッキングであり、調査結果が明らかにした準備の綿密さから、サイバーセキュリティ業界では事例研究として扱われている。TRM LabsやChainalysisなどのブロックチェーンインテリジェンス企業は、攻撃の主体を北朝鮮の国家支援グループUNC4736(別名Citrine Sleet)としている。作戦の準備期間は6か月に及び、グループはこの時間を使ってカバーストーリー、人脳、信頼を積み上げた。正規のベンチャーファンドを装い、国際カンファレンスでDriftの開発者と直接面会し、自ら100万ドルをプラットフォームのプールに預けて清潔な実績を作った。最終段階は、プラットフォームチームが日々触れるソフトウェアを経由した。CursorとVSCodeに仕込まれた隠し脆弱性により、攻撃者は取引所のセキュリティカウンシルメンバーの端末を侵害し、管理者鍵を傍受した。CursorとVSCodeはソフトウェア業界で広く使われるコードエディタである。次に偽のCarbonVoteトークンが、あたかも財務を裏付ける担保として提示され、実際の準備資産がそれを担保に引き出された。この一連の流れにより、鍵を確保した時点で攻撃者は12分で資金を汲み上げた。

損失の規模に比べ、Driftの対応は現時点では限定的だ。DFXトークンを基盤とする補償プログラムが10月1日(木曜日)に開始され、Tetherの支援を得て買い戻し基金が組まれた。現段階で基金が賄うのは利用者の純損失の約1%にとどまり、チームは今後のプラットフォーム収入でプールを拡大する方針を示す一方、盗まれた資金は公開市場で持ち主を変え続けている。全額返済への期日は公表されていない。

Lookonchainの更新版の集計では、当日のミキサー流入総額は初報より大きく、火曜の2時間にウォレットは25,700 イーサリアム (ETH)(約6,100万ドル)をTornado Cashへ預け入れ、Arkhamは関連アドレスの保有を81,454 ETH(約1億9,400万ドル)と表示している。Drift自身のインシデント告知では損失を約2億9,500万ドルとし、従来引用の2億8,500万ドルを上回る。同取引所によると、Mandiantのフォレンジック調査は攻撃者を北朝鮮系の脅威グループUNC6862と特定した。DFXの返還プールは10月1日に約310万ドルで開設され、取引所収入と回収資金が原資となる。DefiLlamaの評価では本件は2026年のハッキングとして3番目の規模で、3億8,700万ドルのBitget侵害と3億2,000万ドルのLiquid Network侵害に次ぐ。

2億2,400万ドルの売り圧リスク

今回のミキサー送金は、現物市場への即時の圧力より回収の見通しを左右する。略取資金の大半がTornado Cashに入った後、8月に凍結された920万ドルがほぼ唯一の押収実績であり、残りの残高は予測できない時間帯にイーサとして表面化しうる供給のオーバーハングとなる。Ethereumの時価総額規模の資産にとって、この点滴式の供給は無視できない。当デスクが追跡するフロー、例えば直近のHyperliquidへの2,000万ドルのUSDC大型移動と重なり、しかも市場の見方は割れている。Dan Gambardelloは直近の月間13%下落を正常な調整と位置付ける。セキュリティ側の整備も並行して進み、Mastercardのステーブルコインのセキュリティリスクツールは2027年の展開が予定される。Drift利用者の現実はもっと薄い。これまでの返還は1%で、盗まれたイーサは公開市場で持ち主を変え続けている。