Drift Protocolのハッキングで流出したイーサリアム（ETH）が再び動き出した。ハッカーが管理するウォレットから、少なくとも約3200万ドル（約48億円）相当のETHが暗号資産ミキサー「Tornado Cash」に送られ、資金洗浄の進展に伴って追跡や回収がさらに難しくなるとの見方が強まっている。

ブロックチェーンメディアのU.Todayによると、20日までの24時間に、ハッカー側のウォレットからTornado Cashへ1万3400ETHが送金された。当時のレートで約3200万ドルに相当する。

Onchain LensとLookonchainは、Arkhamのデータを基に関連取引を確認した。アナリストが「Drift Exploiter 5」と分類したアドレスから、ミキサーのコントラクトへ資金が送られたという。

一方、MistTrackなど一部の分析プラットフォームは、関連ウォレット全体では24時間で最大2万5700ETH、約6150万ドル（約92億円）規模が動いた可能性があるとみている。

注目されるのは、約2カ月にわたり大きな動きがなかったハッカー側ウォレットが再び活性化した点だ。資金は複数回に分けてTornado Cashへ送られており、100ETH単位の送金も確認された。

Tornado Cashは、複数の入出金フローを混在させることで、資金の出所や移動経路を追いにくくするミキサーサービスだ。こうしたサービスを経由すると、公開ブロックチェーン上の記録だけで最終的な受取先を特定するのは一段と難しくなる。

今回の動きは、流出資金を巡る2回目の大規模な資金洗浄の試みとみられている。7月にもハッカーは同様の手法で、約4400万ドル（約66億円）をミキサー経由で移動させていた。

もっとも、ミキサーに資金が流入したからといって、その全額がすでに換金・売却されたと断定することはできない。

ハッカー側ウォレットには依然として多額のETHが残る。追跡プラットフォームによって推計には差があるものの、残高は約8万2000〜9万4000ETHとされ、最大で約2億2400万ドル（約336億円）規模に上る可能性がある。

今後も追加の移動が続けば、流出資金の追跡と回収はさらに難しくなる公算が大きい。

発端は4月1日に発生したDrift Protocolへのハッキングだ。Solanaベースの分散型取引プラットフォームである同プロトコルは当時攻撃を受け、約12分間で約2億8500万ドル（約427億円）相当の資産が流出した。

ブロックチェーン分析企業のTRM LabsとChainalysisは、この攻撃の背後に北朝鮮系の組織UNC4736がいると指摘している。同組織は「Citrine Sleet」の名称でも知られる。

攻撃は数カ月をかけて準備されたとみられる。ハッカーは正規のベンチャー投資家を装って国際カンファレンスで開発者に接触し、取引所の流動性プールに100万ドル（約1億5000万円）の自己資金を預け入れて信用を得たとされる。

その後、CursorとVS Codeの潜在的な脆弱性を悪用し、プラットフォームのセキュリティ委員会メンバーの端末を侵害して管理者キーを奪取したという。

さらに、偽のCarbonBotトークンを担保のように見せかけ、実際の準備金を引き出す手口も使われた。信頼関係の構築を通じて内部権限を確保し、資産を持ち出す手法で、単純なスマートコントラクトの脆弱性を突く攻撃を超えた長期浸透型の作戦だったとの分析が出ている。

流出資金の移動は、被害者への資産返還にも重荷となっている。8月には法執行機関が約920万ドル（約13億8000万円）の凍結に成功したが、被害総額に対しては一部にとどまる。

資金がミキサーを通じて複数のアドレスに分散すればするほど、追加の凍結や回収に必要な追跡作業は複雑になる。

Drift Protocolは補償に向けた後続対応も進めている。10月1日にはDFXトークンを活用した補償プログラムを開始し、Tetherの支援で組成したバイバックファンドも稼働させた。

ただ、現時点で確保できている原資は、ユーザーの純損失の約1％を補填する水準にとどまるとされる。

同プロトコルは今後の収益を活用して補償原資を拡充する方針だ。一方で、ハッカーが流出資金の移動を継続すれば、追跡と回収の難度はさらに高まる可能性がある。

被害の復旧が長期化する懸念が強まるなか、残る資金がさらに動くかどうかが、今後の回収可能性を左右する焦点となっている。