Drift Protocol 攻击事件之后，核心攻击者地址一度像被“按下暂停键”，在记录在案的长时间观望里几乎没有大额资金处置动作。直到 10 月 20 日，这个地址突然放大音量，据监测方称这是约两个月后的首次显著链上行为：攻击者一次性向以太坊混币协议 Tornado Cash 转入至少 1.34 万枚 ETH，据 Onchain Lens 单一来源数据估算，按当时市价约合 3200 万美元。本次转出规模虽然可观，却只占其已知 ETH 仓位的约 14%，被追踪钱包内仍残留约 93965 枚 ETH 以及约 47.7375 万枚 USD 计价资产，总体规模在 2.2459 亿至 2.25 亿美元区间，所有量化数据目前均来自同一链上监测方且尚未经多源交叉验证。在传统黑客叙事里，大额资金流入 Tornado Cash 往往被视作疑似洗钱路径的启动，增加后续追踪难度，但在缺乏更多证据前，我们只能把这次动作视为攻击者开始分批处置、而非终结持仓的信号，剩余数亿美元资产继续悬而未决，风险演化仍将长期压在整个事件之上。
沉寂两月后出手：1.34万枚ETH占比
据公开材料转述，据 Onchain Lens 监测，10 月 20 日这笔流入 Tornado Cash 的 1.34 万枚 ETH，是攻击者地址在近两个月几乎没有大额链上处置动作后，首次重新出现的显著行为。此前资金被集中在同一钱包中，记录在案却保持“静默”，这种从长时间按兵不动到突然推送一笔中等规模资金的节奏变化，本身就构成了新的风险信号，意味着攻击者开始从纯持有状态切换到主动处置阶段。
按同一监测口径，该钱包目前约持有 93965 枚 ETH，本次转出的 1.34 万枚约占已知 ETH 仓位的 14% 左右，且地址仍留存约 2.25 亿美元规模资产未动。比例上的“只动一成多”，明显不是一次性清空筹码，更像是在整体仓位中切出一个试探性头寸：一方面足够大，可以检验当前链上追踪、舆论与合规压力的强度；另一方面又保留了绝大部分筹码，为后续是否继续分批、加快处置节奏预留空间。在缺乏更多链上路径和执法动态的前提下，这一步更像是攻击者对外部环境做的第一次压力测试，而不是对被盗 ETH 仓位的终局处理。
Tornado Cash再被点名的混币出口
这一步选择的出口同样熟悉。据 Onchain Lens 监测，攻击者在重新激活后，将至少 1.34 万枚 ETH 直接送入 Tornado Cash 相关合约地址，在单一监测来源数据下，这笔约合 3200 万美元的筹码，被推入以太坊上最知名的混币协议之一。Tornado Cash 长期承载的是一种“技术中立”的隐私叙事：它为普通用户提供链上匿名性，却也在历次攻击事件中反复被黑客用作处理涉案或敏感资产的出口，这使其始终处在监管与合规的显微镜下，而本次事件只是最新一次将它拉回聚光灯中心的案例。
从链上追踪角度看，资金一旦进入混币服务，路径分析就进入更高难度模式。混币通过在统一池子中打散资金来源、改变输出节奏，显著削弱了外界对单一地址、单一路径的确定性判断，上游“这是谁的钱”变成下游“这笔钱属于谁”的概率题。对于攻击者而言，这可能是一次测试隐私工具实际防护效果的动作，但在动机仍然只能用“疑似”“可能”描述的前提下，更清晰的结论是：隐私权与合规要求之间的拉扯再次被摆上台面，而链上分析所能触及的边界也被这 1.34 万枚 ETH 的流向重新划出了一条更模糊的线。
钱包仍握约2.25亿美元的未知去向
据 Onchain Lens 监测，被追踪钱包在将 1.34 万枚 ETH 打入 Tornado Cash 的同时，地址上仍残留约 93965 枚 ETH 以及约 47.7375 万枚 USD 计价资产，按单一来源估算总规模约在 2.2459 亿至 2.25 亿美元之间。换句话说，这次动作只是把其中约 14% 的 ETH 头寸推入混币流程，其余绝大部分 ETH 与整块 USD 计价资产至今都没有出现同等体量的链上迁移迹象，这让账户呈现出一种“部分苏醒、主体沉睡”的状态。
从过往黑客案例的共性来看，分批、多路径处置资产是降低单笔暴露风险、拉长处置周期的常见策略，本次仅动用少量 ETH 更像是这一模式的开端而非终点。剩余约 2.25 亿美元规模的资产未来可能被拆分成更小的片段，沿着不同协议和路径逐步消化，也可能在相当一段时间里继续静置观望，等待监管与舆论的注意力转移。对 Drift 用户和更广泛的市场参与者而言，真正的不确定性不在已进入混币池的 1.34 万枚 ETH，而在那一整块尚未选择走向的大额剩余资产，它意味着事件风险并未封存，只是被延缓并重新包装成一场时间尺度更长的悬而未决。
追踪方与攻击者的链上猫鼠博弈
10 月 20 日这笔 1.34 万枚 ETH 的出逃，并不是悄无声息的“技术操作”，而是立即在公开链上被捕捉。据公开信息显示，此次异常大额转账由 Onchain Lens 首先标记并披露，随即被多家加密媒体转述，使得这条原本埋在区块数据里的记录，被迅速放大为新的舆论焦点。攻击者地址在沉寂近两个月后突然启动处置动作，监测方与叙事方几乎同步响应，这种实时围观本身就形塑出一种新的压力场——攻击者每一次点击“发送”，都在与公开链数据和舆论监控展开一场试图甩脱视线的博弈。
资金进入 Tornado Cash 后，故事进入更隐蔽的章节。按这一混币协议的基本工作方式，存入的 ETH 往往会被拆分成更小的片段，与其他存入者的资产共同混合，随后从不同出口地址缓慢流出，这在技术上显著提高了事后溯源的门槛。但链上并不存在真正意义上的“消失”：起点地址已被广泛标记，进入混币池的时间、批次、金额都仍被记录，只是需要更长时间、更复杂模型才能在碎片化的流出模式中重新拼接出可信路径。更需要强调的是，目前围绕这批资金的全部量化数据和路径判断，均源自 Onchain Lens 单一监测视角，尚未获得独立链上验证或多源交叉确认，关于“洗钱意图”“风险外溢”的推测都必须停留在审慎的假说层面，而不是被写死成已经发生的因果链条。
接下来要看的不是下一笔而是节奏
1.34 万枚 ETH 被送入 Tornado Cash，本次动作真正释放的信号，是洗钱路径正式被开启而非接近尾声：据 Onchain Lens 数据显示，攻击者钱包仍集中持有约 2.25 亿美元规模资产，这意味着之后随时可能继续出现新的链上处置，而风险演化更像一条长线过程。接下来需要看的，不只是“有没有下一笔”，而是节奏是否加快、分批转移是否常态化、是否出现跨链操作乃至尝试套现的复杂路径，同时也要留意项目方、执法机构是否在后续给出更细致的公开回应。在目前公开信息下，攻击者身份与司法辖区均未披露，围绕这批资金的量化数据也仅来自单一监测视角，市场在解读这次链上动作时，更合理的态度是把它视作风险曲线被重新激活的一点，而不是简单认定风险已经被消化或新的趋势已经确定。
加入我们的社区，一起来讨论，一起变得更强吧！
AiCoin专属Hyperliquid福利：https://app.hyperliquid.xyz/join/AICOIN88
AiCoin专属Aster福利：https://www.asterdex.com/zh-CN/referral/9C50e2
链上电报（Telegram）社群：https://t.me/AiCoinWhaleData
链上社区：https://www.aicoin.com/link/chat?cid=N6OVMor5g
AiCoin链上推特：https://x.com/aicoinwhaledata
免责声明：本文章仅代表作者个人观点，不代表本平台的立场和观点。本文章仅供信息分享，不构成对任何人的任何投资建议。用户与作者之间的任何争议，与本平台无关。如网页中刊载的文章或图片涉及侵权，请提供相关的权利证明和身份证明发送邮件到[email protected]，本平台相关工作人员将会进行核查。
