Sechs Monate nach Drift-Hack: Millionen eingefroren, Großteil der Beute weiter verschwunden

Gut ein halbes Jahr nach dem schweren Hackerangriff auf Drift Protocol fehlt vom Großteil der gestohlenen Kryptowährungen weiterhin jede Spur. Die Drift Foundation arbeitet mit Sicherheitsunternehmen und Ermittlungsbehörden daran, Vermögenswerte im Umfang von mehreren Hundert Millionen Dollar zurückzuholen.

Ein erster Teil der Beute wurde inzwischen eingefroren. Der weitaus größte Teil bleibt jedoch außerhalb des Zugriffs der Ermittler. Sämtliche zurückgeholten Gelder sollen in den DFX-Entschädigungspool fließen, um betroffene Nutzer zu entschädigen.

Hinweise auf nordkoreanische Hacker beim Drift-Angriff

Der Angriff ereignete sich am 1. April 2026 und verursachte bei den Nutzern Verluste von rund 295 Millionen Dollar. Dabei wurde etwa die Hälfte des bei Drift Protocol gebundenen Kryptovermögens entwendet, des sogenannten Total Value Locked.

Kurz nach dem Angriff fanden die Sicherheitsunternehmen TRM Labs und Mandiant Hinweise auf eine Verbindung zu Nordkorea. Zunächst wurde der Angriff der Hackergruppe UNC4736 zugeschrieben, die nach Erkenntnissen der Forscher Verbindungen zum nordkoreanischen Staat hat.

Nach weiteren Untersuchungen ordnete Mandiant den Angriff UNC6862 zu, einer anderen nordkoreanischen Hackergruppe. Die Drift Foundation beauftragte zudem zeroShadow und SEAL 911 damit, die Geldflüsse zu verfolgen und die gestohlenen Kryptowährungen aufzuspüren.

Die Ermittler von zeroShadow stellten fest, dass rund 130.259 Ethereum (ETH) über eine Bridge in das Ethereum-Netzwerk transferiert wurden. Anschließend wurden die Coins auf vier Wallets verteilt.

Drei dieser Wallets enthalten zusammen rund 107.165 ETH. Nach den jüngsten Erkenntnissen wurden diese Coins seitdem nicht mehr bewegt. Aus der vierten Wallet wurden am 23. Juli rund 23.094 ETH an Tornado Cash überwiesen. Der Dienst vermischt Transaktionen verschiedener Nutzer und erschwert damit die Rückverfolgung von Herkunft und Ziel der Kryptowährungen.

Millionen aus Drift-Hack eingefroren

Die Suche hat inzwischen einen ersten Erfolg gebracht. Nach Angaben der Drift Foundation wurden gestohlene Kryptowährungen im Wert von rund 9,2 Millionen Dollar eingefroren. Der Angreifer soll diese Gelder im August über Tornado Cash transferiert haben.

Die Geschädigten erhalten ihr Geld damit allerdings noch nicht unmittelbar zurück. Dafür ist die Mitwirkung der Ermittlungsbehörden erforderlich. Möglicherweise müssen zunächst auch rechtliche Verfahren abgeschlossen werden, bevor die Guthaben in den DFX-Entschädigungspool übertragen werden können.

Dieser Prozess kann nach Angaben der Stiftung viel Zeit in Anspruch nehmen. Das gestohlene Vermögen ist über verschiedene Blockchains und Rechtsräume verteilt. Deshalb muss in jedem Einzelfall geklärt werden, welche Behörden zuständig und welche rechtlichen Schritte erforderlich sind.

Sämtliche Kryptowährungen, die noch sichergestellt werden, sollen letztlich in den Entschädigungspool fließen. Nach Angaben der Stiftung spielt es dabei keine Rolle, ob die Gelder aus eingefrorenen Guthaben, durch Belohnungen oder durch Maßnahmen der Ermittlungsbehörden zurückgewonnen werden.

zeroShadow verfolgt unterdessen weiterhin Transaktionen und Auszahlungen, die mit dem Angriff zusammenhängen könnten. Verdächtige Adressen werden gekennzeichnet und Untersuchungsergebnisse an die Behörden weitergegeben.

Drift-Angriff offenbar gezielt vorbereitet

Nach Einschätzung von Sicherheitsforschern war der Angriff auf Drift Protocol kein einfacher Hack. Die Angreifer sollen sich nicht allein auf eine einzelne Schwachstelle in einem Smart Contract konzentriert haben.

Vielmehr deuten die Erkenntnisse der Forscher auf eine über längere Zeit vorbereitete, koordinierte Operation hin, bei der mehrere Angriffsmethoden kombiniert wurden. Dazu sollen unter anderem Wirtschaftsspionage und die Manipulation von Aktivitäten auf der Blockchain gehört haben.

Das erschwert die Rückgewinnung der Beute. Ein großer Teil der gestohlenen ETH liegt nach den jüngsten Erkenntnissen weiterhin in denselben Wallets. Forscher und Behörden überwachen diese Adressen, um neue Transaktionen schnell zu erkennen und möglicherweise weitere Teile des gestohlenen Vermögens sicherzustellen.