Ethereum bị đánh cắp trong vụ hack Drift Protocol đã bắt đầu được luân chuyển trở lại. Trong vòng 24 giờ, khoảng 13.400 ETH, tương đương 32 triệu USD, đã được chuyển từ các ví của hacker vào Tornado Cash, làm dấy lên lo ngại số tài sản này đang bước vào giai đoạn rửa tiền và có thể được bán ra sau đó.

Theo U.Today ngày 20/10 (giờ địa phương), các giao dịch nói trên được ghi nhận trong 24 giờ gần nhất. Dựa trên mức giá tại thời điểm chuyển tiền, tổng giá trị số ETH được đưa vào Tornado Cash vào khoảng 32 triệu USD.

Onchain Lens và Lookonchain phát hiện các giao dịch này từ dữ liệu của Arkham. Một địa chỉ ví được các nhà phân tích gắn nhãn “Drift Exploiter 5” đã được xác nhận gửi tiền vào hợp đồng mixer. Trong khi đó, một số nền tảng phân tích khác, trong đó có MistTrack, ước tính tổng lượng ETH được dịch chuyển trong ngày từ toàn bộ các ví liên quan có thể lên tới 25.700 ETH, tương đương khoảng 61,5 triệu USD.

Đáng chú ý, các ví của hacker đã gần như im ắng suốt khoảng hai tháng trước khi hoạt động trở lại. Số tiền hiện được chia nhỏ để đưa vào Tornado Cash, bao gồm cả các lệnh chuyển theo từng lô 100 ETH.

Tornado Cash là một dịch vụ trộn tiền mã hóa, giúp xáo trộn dòng nạp và rút để che giấu nguồn gốc giao dịch. Khi tài sản đi qua các dịch vụ dạng này, việc lần theo người nhận cuối cùng chỉ từ dữ liệu blockchain công khai sẽ trở nên khó khăn hơn đáng kể.

Đây được xem là đợt rửa tiền quy mô lớn thứ hai liên quan đến số tài sản bị đánh cắp trong vụ việc. Trước đó vào tháng 7, hacker cũng từng chuyển khoảng 44 triệu USD qua mixer theo cách tương tự. Tuy nhiên, việc dòng tiền đi vào mixer không có nghĩa toàn bộ số tài sản này đã được bán ra hoặc quy đổi.

Theo dữ liệu từ các nền tảng theo dõi, hacker vẫn nắm giữ lượng ETH rất lớn. Tùy từng nguồn, số dư còn lại được ước tính vào khoảng 82.000-94.000 ETH, tương đương tối đa khoảng 224 triệu USD. Nếu xuất hiện thêm các đợt dịch chuyển mới, quá trình truy vết và thu hồi tài sản có thể sẽ còn khó khăn hơn.

Vụ việc bắt nguồn từ cuộc tấn công nhằm vào Drift Protocol ngày 1/4. Nền tảng giao dịch phi tập trung trên Solana này đã bị rút khoảng 285 triệu USD tài sản chỉ trong vòng 12 phút.

TRM Labs và Chainalysis cho biết tổ chức UNC4736, bị nghi có liên hệ với Triều Tiên, đứng sau vụ tấn công. Nhóm này cũng được biết đến với tên gọi Citrine Sleet.

Theo kết quả điều tra, chiến dịch đã được chuẩn bị trong nhiều tháng. Hacker giả danh nhà đầu tư mạo hiểm để tiếp cận các nhà phát triển tại một hội nghị quốc tế, đồng thời được cho là đã đưa 1 triệu USD vào pool thanh khoản của nền tảng nhằm tạo dựng lòng tin. Sau đó, nhóm này bị cáo buộc lợi dụng lỗ hổng ẩn trong Cursor và VS Code để xâm nhập thiết bị của một thành viên hội đồng an ninh của nền tảng và đánh cắp khóa quản trị.

Trong quá trình tấn công, nhóm này cũng bị cho là đã sử dụng token Carbonbot giả làm tài sản thế chấp để rút tài sản dự trữ thực. Các nhà điều tra đánh giá đây là một chiến dịch xâm nhập dài hạn, không đơn thuần là khai thác lỗ hổng hợp đồng thông minh, mà còn dựa trên việc xây dựng quan hệ tin cậy, chiếm quyền truy cập nội bộ rồi chiếm đoạt tài sản.

Việc dòng tiền tiếp tục được luân chuyển đang làm triển vọng thu hồi tài sản của nạn nhân thêm ảm đạm. Hồi tháng 8, cơ quan thực thi pháp luật đã phong tỏa được khoảng 9,2 triệu USD, nhưng con số này chỉ chiếm một phần nhỏ trong tổng thiệt hại. Khi tài sản đi qua mixer và tiếp tục phân tán sang nhiều địa chỉ, công tác truy vết để phong tỏa và thu hồi sẽ trở nên phức tạp hơn.

Drift Protocol hiện cũng đang triển khai các biện pháp khắc phục để bồi thường thiệt hại. Ngày 1/10, nền tảng khởi động chương trình bồi thường bằng token DFX và kích hoạt quỹ mua lại với sự hỗ trợ của Tether. Dù vậy, nguồn lực huy động đến nay được cho là mới chỉ bù đắp khoảng 1% khoản lỗ ròng của người dùng.

Nền tảng này cho biết sẽ tiếp tục dùng doanh thu trong tương lai để bổ sung nguồn bồi thường. Tuy nhiên, khi hacker vẫn tiếp tục dịch chuyển số tài sản bị đánh cắp, rủi ro đối với quá trình truy vết và thu hồi cũng ngày càng lớn hơn. Trong bối cảnh quá trình khắc phục có thể kéo dài, khả năng số tiền còn lại tiếp tục được luân chuyển đang trở thành biến số then chốt đối với triển vọng thu hồi tài sản.