Drift黑客资金重启流动，朝鲜关联线索浮现

核心提要：Drift Protocol遭黑客攻击后沉寂数月的资金近日重新流动，涉约2.85亿美元被盗资产通过Tornado Cash及Bybit转移，调查指向朝鲜支持的网络犯罪组织。

Drift被盗资产重启洗钱链条，跨链转移引监管关注

被Etherscan标记为“Drift Exploiter 4”的以太坊地址近期启动资金转移，涉及与今年四月发生的2.85亿美元黑客攻击相关资产。据PeckShield监测，该地址已向Tornado Cash注入约23,095.1枚ETH（估值约4440万美元），另向Bybit转账0.85枚ETH，标志着被盗资金在数月沉默后首次大规模活动。

多笔分拆转账暴露洗钱路径，关联钱包群组浮出水面

该钱包地址0xbDdAE987FEe930910fCC5aa403D5688fB440561B的交易记录显示，其对Tornado Cash的存款被拆分为多个小额操作，以规避实时监控。该地址已被Arkham Intelligence归入“Drift Protocol Exploiter”名单，包含近二十个疑似参与此次攻击的钱包，形成明确的攻击者集群。

洗钱模式重现：朝鲜关联团伙惯用策略再度显现

此次资金流转行为与朝鲜国家支持黑客组织过往手法高度一致。根据Chainalysis《2026年加密货币犯罪报告》，此类团伙常在盗取资产后保持静默数周，再通过跨链桥、隐私工具和混币服务完成转移，显著增加追查难度。尽管Tornado Cash自2022年起受美国制裁，但其仍被广泛用于切断资金来源与去向之间的逻辑关联。

社会工程攻破核心防线，非代码漏洞致巨额失窃

调查显示，此次攻击并非源于智能合约缺陷，而是长达六个月的社会工程渗透。攻击者伪装成量化交易公司代表，通过行业会议建立信任关系，并向协议存入超百万美元以获取权限。最终利用Solana的持久性nonce机制，获取两名安全理事会成员的预签名授权，进而实施快速提款。

多层技术手段协同作案，协议架构暴露系统性风险

攻击者创建名为CarbonVote Token（CVT）的低价值代币，通过刷量交易抬高其价格并作为抵押品提升借贷额度，随后在12分钟内完成31次提款，清空协议资金。这一系列操作揭示了去中心化金融项目在身份验证与治理流程上的潜在脆弱点。

连锁反应持续扩散，多个生态项目陷入停滞

Drift事件不仅冲击自身，还波及至少20个依赖其保险库结构的Solana生态项目，导致收益机制中断。该事件进一步削弱了Solana DeFi生态的活跃度，引发市场对链上治理安全性的普遍担忧。

追踪仍在进行，分析机构构建反洗钱网络

尽管资金已进入混币环节，但Chainalysis、Elliptic与Merkle Science等机构正通过钱包聚类、时间序列比对及跨链足迹分析持续追踪。虽然混币器增加了溯源复杂度，但已有案例证明，部分被盗资产可通过司法协作或交易所冻结机制被成功回收。最新交易表明，本次洗钱活动已正式重启。