Drift-hackdossier beweegt weer: $50 miljoen aan ETH naar Tornado Cash
Na ongeveer twee maanden stilte beweegt opnieuw een groot bedrag uit het Drift-hackdossier.
Een aan de aanvaller gekoppeld adres stuurde volgens PeckShield ongeveer 21.300 ETH, ter waarde van circa $50 miljoen, naar Tornado Cash. De beweging vond op 20 oktober plaats.
Dat is geen nieuwe aanval op Drift.
Het is ook geen extra $50 miljoen schade. Het gaat om crypto die onderzoekers al aan het bestaande dossier koppelen en die nu opnieuw wordt verplaatst.
PeckShield ziet 21.300 ETH bewegen
Blockchainbeveiliger PeckShield meldde de nieuwe activiteit op 20 oktober.
Volgens het bedrijf was het betrokken adres ongeveer twee maanden niet actief geweest.
Daarna werd circa 21.300 ETH naar Tornado Cash gestuurd.
PeckShield waardeerde die ether op ongeveer $50 miljoen op het moment van de melding.
Die dollarwaarde beweegt mee met de ETH-koers. De hoeveelheid van 21.300 ETH is daarom de duidelijkere maat voor wat daadwerkelijk is verplaatst.
Het gaat om een oud hackdossier
Drift werd op 1 april getroffen door een grote aanval.
Blockchainonderzoeker Elliptic schatte de totale gestolen waarde destijds op ongeveer $286 miljoen.
De buit bestond niet simpelweg uit ether.
Na de aanval werden verschillende gestolen bezittingen omgewisseld. Waarde werd vervolgens van Solana naar Ethereum verplaatst.
Daardoor kunnen maanden later grote hoeveelheden ETH opduiken in een zaak die oorspronkelijk rond een Solana-protocol begon.
$50 miljoen mag niet bij de oude schade worden opgeteld
Hier ontstaat makkelijk een verkeerde lezing.
De oorspronkelijke aanval veroorzaakte volgens Elliptic ongeveer $286 miljoen aan schade.
De huidige $50 miljoen beschrijft de marktwaarde van een deel van de crypto dat later opnieuw beweegt.
Het is dus niet:
$286 miljoen + nog eens $50 miljoen nieuwe schade.
Het gaat om dezelfde bredere geldstroom die onderzoekers sinds april proberen te volgen.
Een gehackt bedrag kan onderweg meerdere keren worden omgewisseld, overbrugd en verplaatst zonder dat iedere transactie nieuwe schade veroorzaakt.
Tornado Cash maakt de volgende stap moeilijker te volgen
Tornado Cash is een privacyprotocol op Ethereum.
Het systeem is ontworpen om de directe openbare koppeling tussen een storting en een latere opname te bemoeilijken.
Op een gewone blockchaintransactie is vaak rechtstreeks zichtbaar welk adres geld naar welk volgend adres stuurt.
Een privacyprotocol probeert die eenvoudige lijn te doorbreken.
Dat verklaart waarom gestolen crypto regelmatig richting zulke diensten beweegt.
Voor onderzoekers wordt de vervolgstroom lastiger te reconstrueren.
Lastiger betekent alleen niet hetzelfde als onmogelijk.
Een storting is nog geen bewezen uitbetaling
Ook hier is taal belangrijk.
21.300 ETH naar Tornado Cash sturen bewijst niet dat de aanvaller vervolgens $50 miljoen aan dollars of euro's heeft ontvangen.
Het bewijst evenmin dat de volledige waarde succesvol buiten bereik van onderzoekers is gebracht.
De blockchain laat de storting zien.
Wat daarna met iedere uiteindelijke opname gebeurt, vraagt nieuw onderzoek.
Fondsen kunnen later bijvoorbeeld opnieuw terechtkomen bij exchanges, brokers of andere diensten waar aanvullende gegevens beschikbaar kunnen zijn.
Een beweging naar Tornado Cash is daarom een fase in de route.
Geen bewijs van een geslaagde eindbestemming.
Het label identificeert ook geen persoon
PeckShield koppelt het adres aan de Drift-aanvaller.
Zo'n blockchainlabel is een onderzoeksbevinding op basis van transactieroutes en eerdere analyses.
Het is niet hetzelfde als een publiek bewezen identiteit van een natuurlijke persoon.
Dat onderscheid is extra relevant bij dit dossier.
Elliptic meldde eerder aanwijzingen die volgens het bedrijf overeenkomen met werkwijzen uit Noord-Korea-gerelateerde operaties.
Een dergelijke blockchainattributie blijft iets anders dan juridisch vaststellen welke individuele persoon een bepaalde transactie uitvoerde.
De huidige PeckShield-melding voegt daar geen nieuwe persoonsidentificatie aan toe.
Twee maanden stilte zei weinig
De periode zonder zichtbare beweging laat nog iets anders zien.
Gestolen crypto hoeft niet direct na een aanval te worden verplaatst.
Een wallet kan weken of maanden vrijwel stil blijven.
Dat maakt zo'n dossier niet afgerond.
Voor een aanvaller kan wachten juist aantrekkelijk zijn wanneer de eerste aandacht na een hack afneemt.
Voor onderzoekers betekent het dat monitoring veel langer moet doorgaan dan de eerste uren of dagen na het incident.
Een adres dat in augustus stilvalt, kan in oktober weer relevant worden.
Oude buit kan van vorm blijven veranderen
De Drift-zaak laat ook zien waarom alleen naar het oorspronkelijke token kijken weinig zin heeft.
Gestolen SOL, stablecoins of andere tokens kunnen worden geruild.
Waarde kan via bridges naar een andere blockchain bewegen.
Daarna kan de aanvaller maandenlang ETH aanhouden voordat opnieuw iets gebeurt.
Het economische spoor blijft dan onderdeel van hetzelfde dossier, ook wanneer het oorspronkelijke activum en netwerk allang zijn veranderd.
Dat is precies wat hier zichtbaar wordt.
Een aanval op Solana leidt maanden later tot een grote Ethereum-transactie.
Geen melding van nieuwe schade bij Drift
De huidige melding bevat geen aanwijzing dat Drift opnieuw is aangevallen.
Er is ook geen nieuw verlies van $50 miljoen bij gebruikers gemeld.
PeckShield rapporteert een verplaatsing vanaf een eerder gelabeld adres.
Dat verschil is meer dan semantiek.
“Drift verliest opnieuw $50 miljoen” zou suggereren dat er nieuw geld uit het protocol is verdwenen.
Daar is op basis van deze melding geen bewijs voor.
De juiste lezing is dat een deel van de eerder gestolen waarde opnieuw in beweging is gekomen.
Terughalen is evenmin bevestigd
De andere kant moet ook worden afgebakend.
Het volgen van de 21.300 ETH betekent niet dat de fondsen zijn teruggehaald.
Er is geen bevestiging dat de huidige $50 miljoen aan Drift of getroffen gebruikers kan worden terugbetaald.
Blockchainanalyse kan laten zien waar waarde heen beweegt.
Daadwerkelijk bevriezen, terugvorderen of restitueren vraagt andere stappen en hangt af van waar het geld uiteindelijk terechtkomt.
Vooralsnog vertelt de melding alleen wat er op de blockchain gebeurde.
De hack is maanden later nog steeds actief als geldspoor
De aanval zelf vond op 1 april plaats.
Ruim een half jaar later levert hetzelfde dossier nog nieuwe transacties op.
Dat is kenmerkend voor grote cryptodiefstallen.
De aanval kan binnen minuten voorbij zijn.
Het volgen van de buit kan maanden of jaren duren.
Bij Drift is nu ongeveer 21.300 ETH opnieuw zichtbaar geworden in dat proces.
De $50 miljoen is geen nieuwe hack en geen bewezen cash-out.
Het is vooral bewijs dat het geldspoor nog leeft.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
