הפורץ של Drift הזרים 61 עד 63 מיליון דולר באת'ר ל-Tornado Cash ועדיין מחזיק כ-198 מיליון
ארנק שמקושר לפריצה ל-Drift, שיוחסה לקבוצה צפון קוריאנית, שלח כ-25,700 ETH למיקסר בתוך כשעתיים. בינתיים, נפגעים שפדו מוקדם קיבלו כסנט על כל דולר שאבד.
ארנק שמקושר לפריצה לפרוטוקול Drift הזרים ביום שלישי, 20 באוקטובר, כ-25,700 ETH למיקסר Tornado Cash בתוך כשעתיים. התוקף, שחוקרים מייחסים לקבוצה צפון קוריאנית, עדיין שולט לפי Arkham בכ-81,454 ETH בשווי של כ-198 מיליון דולר. לפי Decrypt שווי ההעברה היה כ-61.56 מיליון דולר, ולפי CryptoSlate כ-63.1 מיליון. CryptoSlate חישב לפי מחיר ממוצע של 2,450 דולר לאת'ר.
ההעברה הגיעה אחרי כחודשיים של שקט בארנקים, ויותר משישה חודשים אחרי הפריצה עצמה ב-1 באפריל. נפגעים שפדו מוקדם את טוקני השיקום שלהם קיבלו כסנט על כל דולר, וכל מנה שנכנסת למיקסר מקשה עוד יותר על איתור הכסף והחזרתו.
258 הפקדות בשעתיים ו-13 דקות
הארנק שאתר Etherscan מסמן כ-Drift Exploiter 5 ביצע 258 הפקדות מוצלחות לנתב של Tornado Cash: 257 הפקדות של 100 ETH כל אחת והפקדה אחרונה של 10 ETH, ובסך הכול 25,710 ETH. ההפקדה הראשונה אושרה ב-07:08:35 לפי שעון UTC בבלוק 26,232,203, והאחרונה ב-09:21:35 בבלוק 26,232,865. אלה היו העסקאות היוצאות הראשונות של הארנק ברשת את'ריום, ובסופן נשארו בו כ-3.98 ETH.
הגדלים העגולים תואמים לבריכות ההפקדה של המיקסר. מיקסר הוא שירות שמערבב כספים של משתמשים רבים, ו-Tornado Cash עובד עם בריכות הפקדה בגודל קבוע. המשתמש מפקיד סכום סטנדרטי ומושך אותו מאוחר יותר לכתובת חדשה, בלי קשר גלוי בין השולח למקבל. לפי נתוני Arkham שהביא Decrypt, כל מנה של 100 ETH הייתה שווה כ-237,800 דולר.
זה כבר הסבב השני. ב-23 וב-24 ביולי שלח ארנק שמסומן Drift Exploiter 4 כ-23,095 ETH, אז בשווי של כ-44.4 מיליון דולר, לאותו מיקסר. בשני הסבבים יחד עברו כ-48,800 ETH. גם לגבי היתרה יש פער בין הגופים העוקבים: Arkham סופרת 81,454 ETH ב-71 כתובות, ועוד כ-561.6 אלף דולר ב-USDT, USDC, סולאנה ו-USDY, בעוד Lookonchain מדווחת על 81,864 ETH בארנקים שהיא עוקבת אחריהם.
איך נלקחו כמעט 300 מיליון דולר בלי באג בקוד
Drift הפעילה פרוטוקול מסחר מבוזר מסוג DeFi על רשת סולאנה. ב-1 באפריל השיג התוקף סמכויות ניהול, הכניס טוקן מזויף והשתמש בו כדי ללוות נזילות אמיתית מהכספות. לפי Drift, הוא השתלט על הסמכויות של ה-Security Council, הגוף המנהלי של הפרוטוקול, בעזרת חשבונות durable nonce. זה מנגנון בסולאנה שמאפשר לחתום על עסקה מראש ולהשהות את ביצועה, וכך נאספו מבעוד מועד אישורים שלא הורשו או שהוצגו באופן מטעה. באותו שלב אמרה Drift שהחקירה שלה לא מצאה באג בתוכנות או בחוזים החכמים שלה.
בהודעה מ-2 באפריל, שפורסמה דרך Velocity, העריכה Drift שנמשכו כ-280 מיליון דולר. פירוט הנכסים שפרסמה בהמשך מגיע ל-295.7 מיליון, מתוכם 159.3 מיליון ב-JLP (טוקן ספקי הנזילות של Jupiter) ו-71.4 מיליון ב-USDC. לפי Decrypt, רוב הנכסים הוחלפו בהמשך והועברו בגשר לאת'ריום. לפי Drift נלקחו גם 4.1 מיליון דולר ב-Fartcoin, ובתיק של התוקף ב-Arkham נשאר מטבע Fartcoin אחד בשווי של כ-15 סנט.
Drift תיארה מבצע שנמשך שישה חודשים. הקבוצה התחזתה לחברת מסחר כמותי, נפגשה פנים אל פנים עם תורמים לפרויקט והפקידה מיליון דולר מכספה כדי לבנות אמון. ב-4 ביוני הודיעה Drift שחברת Mandiant, שאותה שכרה לחקירה, ייחסה את המתקפה ל-UNC6862, קבוצת תקיפה צפון קוריאנית.
DFX: כמה מקבל נפגע על כל דולר שאבד
ב-1 באוקטובר פתחה Drift, שהבורסה המחודשת שלה פועלת היום בשם Velocity, את התביעות לטוקן השיקום DFX. כל נפגע מקבל DFX אחד על כל USDT של הפסד מאומת, ובסך הכול הונפקו כ-299.5 מיליון טוקנים. מי שרוצה מזומן פודה DFX תמורת USDT, סטייבלקוין צמוד לדולר, לפי הציטוט של אותו רגע, והטוקנים נשרפים באותה עסקה. מי שמחזיק שומר על זכותו לחלק בכספים שייכנסו לבריכה בהמשך.
בפתיחה היו בבריכה כ-3.1 מיליון USDT. מחלקים 3.1 מיליון ב-299.5 מיליון ומקבלים כ-0.0104 USDT לטוקן, הציטוט שדווח. נפגע שאיבד 10,000 דולר ופודה את כל ה-DFX שלו לפי הציטוט הזה יקבל כ-104 דולר, ויוותר על כל מה שיגיע לבריכה אחר כך. מי שפודה חצי מקבל כ-52 דולר ומשאיר את 5,000 הטוקנים האחרים פתוחים להפקדות עתידיות.
| מקור מימון לבריכה | היקף לפי המקורות |
|---|---|
| הכנסות Velocity | 60% עד 90% מההכנסה הנקייה היומית, עולה ככל שההכנסה גדלה |
| Tether | עד 127.5 מיליון USDT להשקה מחדש ולשיקום |
| שותפים אחרים | עד 20 מיליון דולר, לפי ההצעה מ-16 באפריל |
| כספים שיוחזרו | הקפאות, באונטי ורשויות אכיפה |
ההצעה מ-16 באפריל כללה מסגרת אשראי שנפרעת מהכנסות, מענק לאקוסיסטם והלוואות לעושי שוק. אם כל 198 מיליון הדולר שנותרו אצל התוקף היו מוחזרים, הם היו מכסים כשני שלישים מ-299.5 מיליון הדולר של התביעות. CryptoSlate מציין שהשאלה כמה כסף גנוב יחזור בסופו של דבר לבריכה נותרה פתוחה.
מה לבדוק אם אתם מחזיקים מטבעות ב-DeFi או ממירים לשקלים
אם אתם מחזיקים מטבעות בפרוטוקולי DeFi, הפרשה של Drift מראה שהסיכון יושב גם אצל מי שמחזיק בסמכויות הניהול. כדאי לבדוק מי יכול לשנות את הגדרות הפרוטוקול, כמה חותמים נדרשים ואם יש עיכוב זמן לפני ביצוע שינויים. ארנק קר מגן על המטבעות שבו, אבל ברגע שהפקדתם אותם לכספת של פרוטוקול, הם תלויים באבטחה שלו.
בצד הבנקאי, חוזר 2862 של בנק ישראל מגדיר שימוש במיקסרים כגורם שמעלה את רמת הסיכון בבדיקת מקור הכספים, במסגרת המעבר לבדיקה מבוססת סיכון שנכנסת לתוקף ב-1 במאי 2027 (הפירוט המלא כאן). עד אז חל עדיין הכלל הישן, שמחייב בדיקת מקור כספים ומסלול מטבעות מעל 100 אלף שקל בשנה. מי שמקבל ETH מכתובת לא מוכרת ומתכנן להמיר לשקלים צריך לצפות לשאלות מהבנק על מקור הכספים ועל מסלול המטבעות.
לגבי מס, רווחי קריפטו של יחיד בישראל ממוסים כרווח הון בשיעור 25%. הפסדי הון ממומשים מקוזזים מול רווחי הון באותה שנה, כולל רווחים מניירות ערך, ויתרה שלא נוצלה עוברת לשנים הבאות. השאלה אם ומתי הפסד מפריצה, או פדיון חלקי של DFX, נחשבים מימוש היא שאלה לרואה חשבון או ליועץ מס לפני הגשת הדוח (המדריך למיסוי קריפטו).
הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.
אהבתם את הכתבה? שתפו אותה
שלחו לחבר שמתעניין בקריפטו, בקבוצת הוואטסאפ או בטלגרם.
