Drift 攻击者沉寂两月后转移 6100 万美元 ETH 至 Tornado Cash，仍持有 1.94 亿美元赃款

导语

在沉寂约两个月后，与 Drift Protocol 4 月 1 日攻击事件相关的钱包地址重新出现大额异动。链上分析平台 Lookonchain 披露，该地址于周二在两个小时内向混币器 Tornado Cash 存入 25,700 枚 ETH，按当时价格计算约合 6100 万美元。根据链上情报平台 Arkham 的数据，该攻击者关联地址目前仍持有约 81,454 枚 ETH，价值约 1.94 亿美元。

这起造成约 2.95 亿美元损失的攻击已被网络安全公司 Mandiant 归因于朝鲜威胁组织 UNC6862，并位列 2026 年第三大加密资产黑客事件。资金在沉寂期后重新通过混币器转移，意味着被盗资产的追踪与后续回收难度进一步上升，也让 Drift 仍在进行中的用户赔付计划面临更大不确定性。

攻击者重启资金转移，约四分之一赃款进入混币器

根据 Lookonchain 在 X 平台的披露，与 Drift 攻击相关的钱包在连续两个月没有链上活动后，于周二开始集中转移资金。该地址在约两小时内分笔将 25,700 枚 ETH 存入 Tornado Cash。Tornado Cash 是运行在以太坊上的去中心化混币协议，通过将多笔资金混合后再分发，切断资金来源与去向之间的链上关联，因此长期被执法机构和链上分析公司视为洗钱工具。

按照 Arkham 的持仓统计，该攻击者关联地址在被转移后仍持有约 81,454 枚 ETH，约合 1.94 亿美元。以此计算，进入 Tornado Cash 的 25,700 枚 ETH 约占其已知持仓的四分之一。剩余资金若继续分批混币，追踪链条将被进一步打散；若长期停留不动，则可能成为后续执法协查或链上监控的重点目标。

需要强调的是，链上地址标签主要来自第三方分析平台的归因，攻击者实际身份、资金最终受益人以及地址之间的控制关系，仍需以执法机构或司法程序的认定为准。

2.95 亿美元损失如何发生，责任归因指向朝鲜组织

Drift 是 Solana 生态中规模最大的去中心化永续合约交易所之一。2026 年 4 月 1 日，攻击者利用协议权限控制漏洞，在短时间内转移了大量用户资产。Drift 官方在事后披露，该事件造成约 2.95 亿美元损失。Chainalysis 的复盘显示，攻击始于 UTC 时间 4 月 1 日约 16:05，攻击者获得协议管理权限后逐步抽干金库资金，协议 TVL 从约 5.5 亿美元一度跌至 2.5 亿美元以下，跌幅超过 50%。

事件发生约两个半月后，Drift 在 6 月 3 日的恢复进展公告中披露，其聘请的网络安全公司 Mandiant 完成了独立取证分析，并将攻击归因于 UNC6862。Mandiant 称，该组织是与朝鲜有关联的威胁组织，其战术、技术和程序与此前归因于朝鲜的攻击行动一致。TRM Labs、Elliptic 等链上取证机构也在事发初期指出，链上指标与朝鲜相关攻击行动的特征相符，TRM Labs 当时估计损失约 2.85 亿美元，并称这是 2026 年最大的 DeFi 黑客事件、Solana 生态史上第二大安全事件。

不同机构对攻击者代号的标注并不完全一致：Crowell & Moring 等法律机构的公开材料中曾将该事件与 UNC4736（也被追踪为 AppleJeus 或 Citrine Sleet）相联系。这种代号差异反映了链上归因的复杂性——多家机构可以从行为特征、基础设施复用和资金路径等多个维度得出“朝鲜关联”的一致判断，但具体组织编号仍可能随调查深入而调整。

从规模看，DeFiLlama 的黑客事件统计将 Drift 攻击列为 2026 年第三大加密资产黑客事件。排在其前面的包括约 3.87 亿美元的 Bitget 攻击事件和约 3.2 亿美元的 Liquid Network 攻击事件。若以事发初期的 2.85 亿美元估算，Drift 事件也是 Solana 生态历史上第二大安全事件，仅次于 2022 年 Wormhole 跨链桥约 3.26 亿美元的损失。

Tornado Cash 为何成为赃款“终点站”

Tornado Cash 之所以频繁出现在重大黑客事件资金路径的末端，核心原因在于其混币机制能够显著提高追踪成本。用户将 ETH 存入混币池后，协议会在池中混合多笔资金，并在之后允许用户从池中提取等额但无法直接关联来源的资金。对攻击者而言，这意味着执法机构和链上分析公司难以通过常规交易图谱确定资金最终去向。

监管层面，美国财政部海外资产控制办公室（OFAC）早在 2022 年 8 月就对 Tornado Cash 实施制裁，理由是该平台被用于清洗超过 70 亿美元虚拟资产，其中包括朝鲜 Lazarus Group 窃取的超过 4.55 亿美元。制裁生效后，美国人士被禁止与 Tornado Cash 进行交易，相关地址和智能合约交互受到限制。不过，由于 Tornado Cash 以智能合约形式运行在以太坊上，完全禁止其使用在技术上并不现实，后续仍能看到包括朝鲜相关地址在内的非法资金继续通过该协议转移。

对 Drift 攻击者而言，选择在沉寂两个月后集中使用 Tornado Cash，可能出于几重考虑：一是等待事件热度下降、监控注意力分散；二是通过时间间隔降低地址聚类的可识别度；三是为后续跨链、兑换或通过场外渠道变现做准备。但从公开链上数据看，资金进入混币池并不等于“洗白完成”，提取端地址、时间分布和后续流向仍是可观察的线索。

用户赔付计划仍在推进，资金回收难度加大

在攻击发生后，Drift 逐步公布了用户恢复方案。2026 年 5 月，Drift 提出以恢复代币（DFX）登记用户经核验的损失，并设立由协议收入、合作伙伴支持和追回资金注入的赔付池。6 月的公告进一步明确了平台重启计划，包括引入前 Helium 协议工程负责人 Noah Prince 担任协议负责人，并聘请前 Gauntlet 团队成员参与风险控制与清算引擎重构。Drift 还表示，平台将以基于 USDT 的永续合约交易所形态在 Solana 上重新上线，并获得了 Tether 等合作伙伴的战略支持。

2026 年 10 月 1 日，Drift 开放 DFX 索赔与赎回。根据官方说明，DFX 代表用户对赔付池的索取权，赔付池在启动时规模约 310 万美元，并将持续接收交易所收入及任何追回的资金。这一机制意味着用户的最终回收比例高度依赖平台重启后的收入表现，以及被盗资金能否被执法机构冻结或追回。

此次攻击者将 6100 万美元 ETH 转入 Tornado Cash，直接削弱了这部分资金被完整追回的可能性。一旦混币后的资金被进一步拆分、跨链或通过场外渠道变现，追缴难度将显著上升。对持有 DFX 的用户而言，后续需要重点关注三个变量：Drift 重启后的交易量与收入恢复情况、执法机构是否冻结到与攻击相关的链上地址、以及赔付池是否获得新的合作伙伴注资。

后续观察

• 攻击者剩余约 1.94 亿美元 ETH 持仓的下一步动向，是否继续分批进入 Tornado Cash 或其他混币服务。
• Tornado Cash 提取端地址的资金流向，是否出现跨链桥、中心化交易所或场外交易迹象。
• Drift 平台重启进度、交易量恢复情况，以及 DFX 赔付池规模变化。
• 执法机构是否对与 Drift 攻击相关的地址采取冻结或没收行动，以及 Mandiant 归因是否被官方执法文件进一步确认。