与2850万美元Drift协议漏洞攻击相关的钱包在沉寂约三个月后，将23095.1枚以太坊（价值约4440万美元）转入混币器Tornado Cash。链上记录显示，该钱包自4月攻击后基本保持静默，如今突然恢复活动。
交易始于7月23日并持续至24日，钱包地址（Etherscan标记为“Drift Exploiter 4”）处理了数百笔交易。记录显示，其多次向Tornado Cash路由器存入100 ETH、10 ETH和1 ETH的批次，另有4笔总计0.85 ETH的转账进入标记为Bybit存款地址的钱包。
研究员JL（化名0xJaelle）首先发现此次资金移动并@了ZachXBT。ZachXBT回复称，暂时没有进一步追踪这些资金的计划，因为监控九位数规模的朝鲜黑客攻击并尝试冻结资金所需资源超出了一名独立调查员的能力范围。他强调“这对团队来说都很困难，对个人而言不可行”，并表示Drift并非其捐助者或客户。
此次转移仅涉及被盗资产的一部分。Drift在4月的恢复更新中将被盗资产估值定为2.957亿美元，涵盖JLP、USDC、比特币挂钩代币、SOL、WETH等。协议称大部分转换后的价值仍存在于标记的四个以太坊钱包中。
Drift此前宣布与Arkham和Bybit合作推出赏金计划，但尚未公布最终奖励金额、资格规则或支付时间表。目前尚不清楚该计划是否已完全启动，是否覆盖持续的钱包监控，以及独立研究者能否为后续追踪工作申请报酬。
ZachXBT还批评了Circle，称约2.32亿美元被盗USDC在4月攻击期间通过Circle的跨链系统从Solana转移到以太坊，随后攻击者将大部分价值转换为ETH。Drift表示正与执法机构、Mandiant及区块链情报公司合作。
Tornado Cash通过混币池允许后续从不同地址提款，削弱了发送与接收钱包之间的直接公开关联。调查人员仍可借助时间、交易模式及交易所活动进行分析，但需要更多数据和人力。加上ZachXBT的退出，追查路径变得更加困难。截至发稿，Drift和Solana均未对ZachXBT的评论作出公开回应，Bybit也未宣布是否审查了Etherscan上显示的小额存款。