Peretas Drift Kirim ETH $122 Juta ke Tornado Cash, Rekor Terbesar dalam 2 Tahun

Apa yang terjadi

Drift Protocol, bursa terdesentralisasi berbasis Solana, diretas pada 1 April 2026 dengan kerugian sekitar $295 juta. Enam bulan kemudian, dana curian itu kembali bergerak.

Pada 20 Oktober 2026, wallet yang dikaitkan dengan pelaku mengirim 25.700 ETH (sekitar $61 juta) ke Tornado Cash dalam waktu sekitar dua jam, setelah alamat-alamat itu tidak aktif selama kurang lebih dua bulan. Data Arkham menunjukkan deposit dilakukan dalam batch 100 ETH dan 10 ETH, pola yang cocok dengan ukuran deposit tetap di pool mixer tersebut.

Sehari kemudian, pada 21 Oktober, gelombang kedua menyusul: 18.800 ETH (sekitar $46 juta) masuk ke mixer yang sama. Total dua hari: 44.510 ETH atau sekitar $109 juta, sekitar 37 persen dari total dana hasil peretasan.

Catatan soal angka: estimasi tiap pelacak sedikit berbeda. Arkham menghitung $122,3 juta dari 520 transfer beruntun dan menyebutnya sebagai deposit terbesar yang pernah dilakukan peretas ke Tornado Cash dalam hampir dua tahun terakhir. Perbedaan angka wajar terjadi karena fluktuasi harga ETH saat transfer dan metode penghitungan yang berbeda.

Siapa di balik serangan ini

Dalam laporan investigasinya pada Juni 2026, konsultan keamanan Mandiant mengaitkan peretasan Drift dengan UNC6862, kelompok ancaman yang terafiliasi dengan Korea Utara. Ini adalah atribusi dari pihak investigator, bukan identifikasi individu pelaku, jadi perlakukan sebagai klaim sepihak yang sudah melalui proses forensik, bukan fakta pengadilan.

Yang bisa diverifikasi secara on-chain hanyalah pergerakan dananya: wallet-wallet berlabel pelaku exploiter tetap terlacak, dan aktivitas mixernya tercatat publik. Identitas manusia di balik keyboardnya tetap belum terungkap.

Nasib korban: token pemulihan DFX

Sejak 1 Oktober 2026, Drift membuka klaim token pemulihan DFX untuk korban: setiap $1 kerugian terverifikasi dikonversi jadi 1 DFX. Masalahnya, pool pemulihan baru terisi sekitar $3,1 juta dari total kerugian ratusan juta dolar, sehingga nilai tukar awalnya hanya sekitar satu sen per dolar kerugian. Drift berjanji mengisi pool dari pendapatan protokol dan dana yang berhasil dipulihkan, tapi dengan $138 juta masih di tangan pelaku dan sebagian dana sudah masuk mixer, jalan pemulihannya panjang.

Kenapa ini penting buat kamu

Selama dana curian duduk diam di wallet yang terlacak, tim proyek dan penegak hukum masih punya daya tawar: negosiasi pengembalian, bounty, atau pembekuan lewat kerja sama exchange. Begitu dana masuk mixer seperti Tornado Cash, jejak on-chain terputus dan daya tawar itu hilang. Itulah kenapa setiap gelombang transfer ke mixer adalah kabar buruk buat korban.

Pelajaran praktisnya: sebelum menaruh dana di platform DeFi apa pun, cek rekam jejak keamanannya, dan jangan pernah percaya tawaran “jasa pemulihan dana” yang menghubungi duluan lewat DM. FBI sudah berulang kali memperingatkan bahwa jasa semacam itu hampir selalu penipuan kedua yang menargetkan korban hack.