Seis meses después del ataque a Drift: millones congelados y la mayor parte aún sin localizar

Más de medio año después del gran ataque a Drift Protocol, la mayor parte de las criptomonedas robadas sigue sin recuperarse. La Drift Foundation colabora con empresas de ciberseguridad y las autoridades para recuperar cientos de millones de dólares.

Una primera parte de los fondos robados ya ha sido congelada, pero la gran mayoría sigue fuera de alcance. Todos los fondos que se recuperen deberán destinarse al fondo de recuperación DFX para compensar a los usuarios afectados.

Vinculan el ataque a Drift con piratas informáticos norcoreanos

El ataque tuvo lugar el 1 de abril de 2026 y provocó pérdidas de unos 295 millones de dólares a los usuarios. Durante el ataque desapareció aproximadamente la mitad del valor total bloqueado en Drift Protocol, es decir, el valor de todas las criptomonedas que los usuarios habían depositado en el protocolo.

Poco después del ataque, las empresas de ciberseguridad TRM Labs y Mandiant apuntaron a Corea del Norte. Inicialmente, el ataque se vinculó a UNC4736, un grupo de piratas informáticos que, según los investigadores, mantiene vínculos con el Estado norcoreano.

Tras ampliar la investigación, Mandiant atribuyó el ataque a UNC6862, otro grupo norcoreano de ciberatacantes. La Drift Foundation también ha recurrido a zeroShadow y SEAL 911 para rastrear los movimientos de fondos y localizar las criptomonedas robadas.

Los investigadores de zeroShadow descubrieron que unos 130.259 Ethereum (ETH) se transfirieron a la red Ethereum a través de un puente entre cadenas. Después, las monedas se repartieron entre cuatro monederos.

Tres de ellos contienen en conjunto unos 107.165 ETH. Según los últimos hallazgos, esas monedas no han vuelto a moverse. Desde el cuarto monedero se enviaron unos 23.094 ETH a Tornado Cash el 23 de julio. Este servicio dificulta el rastreo del origen y el destino de las criptomonedas al mezclar transacciones de distintos usuarios.

Congelan millones de dólares robados en el ataque a Drift

Las pesquisas ya han dado un primer resultado. Según la Drift Foundation, se han congelado criptomonedas robadas por valor de unos 9,2 millones de dólares. El atacante habría transferido esos fondos a través de Tornado Cash en agosto.

Eso no significa que las víctimas vayan a recuperar su dinero de inmediato. Para ello se necesita la colaboración de las autoridades y puede ser necesario completar primero ciertos procedimientos judiciales antes de transferir los fondos al fondo de recuperación DFX.

Según la fundación, el proceso puede llevar mucho tiempo. Los activos robados están repartidos entre distintas cadenas de bloques y jurisdicciones, por lo que hay que determinar en cada caso qué autoridades son competentes y qué pasos legales deben seguirse.

Todas las criptomonedas que se logren recuperar deberán acabar en el fondo de recuperación. Según la fundación, esto se aplica tanto a los fondos recuperados mediante la congelación de activos como a los obtenidos a través de recompensas o de la intervención de las autoridades.

Mientras tanto, zeroShadow sigue rastreando transacciones y retiradas que podrían estar relacionadas con el ataque. La empresa identifica las direcciones sospechosas y comparte los resultados de la investigación con las autoridades.

El ataque a Drift apunta a una operación cuidadosamente preparada

Según los investigadores de ciberseguridad, el ataque a Drift Protocol no parece haber sido una intrusión sencilla. Los atacantes no se habrían limitado a explotar una única vulnerabilidad en un contrato inteligente.

Los investigadores apuntan, en cambio, a una operación coordinada y preparada durante un periodo prolongado, en la que se combinaron distintos métodos de ataque. Entre ellos figurarían el espionaje empresarial y la manipulación de la actividad en la cadena de bloques.

Todo ello dificulta la recuperación de los fondos robados. Según los últimos hallazgos, buena parte de los ETH sustraídos permanece en los mismos monederos. Los investigadores y las autoridades siguen vigilando esas direcciones para detectar rápidamente nuevas transacciones e intentar recuperar más activos.