Drift-Hack: Wiederherstellung der Gelder erschwert, da 61.5 Millionen Dollar in Tornado Cash fließen

Eine mit dem April-Angriff auf das Drift Protocol über 295 Millionen US-Dollar verbundene Adresse hat am Dienstag 25.700 Ether (ETH) in den Tornado Cash-Mixingdienst eingezahlt und damit einen Wäscheprozess fortgesetzt, den Ermittler bis zu einer staatlich unterstützten Organisation in Nordkorea zurückverfolgen konnten. Dies ist wichtig für die Tausenden von Drift-Nutzern, die noch nicht bezahlt wurden.

Zwei Stunden, jeweils 100 ETH

Die Einzahlungen trafen im Laufe von etwa zwei Stunden ein, wobei sich die Summe während des Transfers auf rund 61,56 Millionen US-Dollar belief, laut Daten von Arkham Intelligence. Die Wallet war vor diesem plötzlichen Zufluss für etwa zwei Monate inaktiv gewesen.

Laut den Überweisungsprotokollen von Arkham erfolgten die Einzahlungen in festen Beträgen von 100 ETH (jeweils 237.800 US-Dollar) sowie in kleineren Tranchen von 10 ETH. Die festen Einzahlungen entsprechen den Einzahlungspools von Tornado Cash, die es einem Nutzer ermöglichen, zu einem späteren Zeitpunkt Geld von einer anderen Adresse abzuheben, ohne die Verbindung zwischen Absender und Empfänger preiszugeben.

Diese Bewegungen wurden ebenfalls von Chainalysis nachverfolgt. In einem am Dienstag veröffentlichten X-Post gab das Unternehmen bekannt, dass der Angreifer am 1. April die Mittel aus den fünf für die Ausnutzung genutzten Wallets in 13 separaten Transaktionen auf ein einzelnes Zwischen-Wallet überführt hatte. Der Angreifer ließ das Wallet inaktiv, bis die Mittel in 100-ETH-Tranchen in den Mixer eingezahlt wurden.

Dies ist nicht die erste Säuberungsrunde der Gelder. Eine als Drift Exploiter 4 bezeichnete Adresse sandte am 23. und 24. Juli 23.095 ETH (ca. 44,4 Millionen US-Dollar) an denselben Mixer.

Was noch in den Wallets übrig ist

Angesichts der Einzahlungen am Dienstag verfolgt Arkham weiterhin 81.454 ETH im Wert von rund 194 Millionen US-Dollar, laut TFTC. Rund 198,58 Millionen US-Dollar befinden sich in den 71 Adressen, die dem Hacker gehören. Darüber hinaus enthalten diese Konten rund 561.600 US-Dollar an USDT, USDC, Solana und USDY sowie eine Fartcoin im Wert von etwa 15 Cent, laut der Portfolioansicht von Arkham.

Der Ausnutzer des Drift Protocol, der mehr als 270 Millionen US-Dollar gestohlen hat, überweist $ETH nach #TornadoCash, nachdem er zwei Monate lang inaktiv war.

In den letzten 2 Stunden hat der Angreifer 25.700 $ETH (61,56 Mio. USD) auf #TornadoCash eingezahlt und hält weiterhin 81.864 $ETH (195 Mio. USD).

https://t.co/FRtFrS7rew https://t.co/9ISUIlkHvT

— Lookonchain (@lookonchain) Oktober 20, 2026

Zunächst wurde ein Solana-Protokoll gehackt. Der Hacker nutzte später jedoch Bridge-Technologie, um die Mittel in ETH umzuwandeln. Laut der Vermögensverteilungstabelle von Drift entwendete der Angreifer Token im Wert von 295,7 Millionen US-Dollar, davon 159,3 Millionen US-Dollar in JLP (Jupiter Liquidity Provider Token) und 71,4 Millionen US-Dollar in USDC.

Wie die Angreifer Zugang erhielten

Laut dem von Drift unter drift.trade veröffentlichten Post-Mortem-Bericht wurde bei dem Angriff am 1. April keine Schwachstelle im Code ausgenutzt, sondern stattdessen über einen Zeitraum von sechs Monaten Social Engineering eingesetzt. TFTC, zitiert dieselbe Quelle, gab an, dass sich die Angreifer als Handelsunternehmen ausgegeben und 1 Million US-Dollar echtes Geld platziert haben, um sich zu legitimieren, sowie Drift-Mitarbeiter persönlich auf Konferenzen getroffen haben. Sie nutzten eine Sicherheitslücke in der Code-Ausführung über Entwickler-Tools in Kombination mit einer gefälschten Wallet-Anwendung, um das Protokoll innerhalb von weniger als 12 Minuten zu leeren.

In einem Beitrag vom 3. Juni zu ihren Wiederherstellungsmaßnahmen erklärte Drift, dass laut einer forensischen Untersuchung von Mandiant der Angriff von UNC6862, einem Bedrohungsakteur aus Nordkorea, durchgeführt wurde. Drift verwies auf die Aussage von Mandiant, es gebe „direkte Verbindungen zu anderen staatlich unterstützten Akteuren, die an ähnlichen Angriffen auf andere Plattformen beteiligt sind.“

Ein Recovery-Pool gegen lange Odds

Drift eröffnete am 1. Oktober Ansprüche für seine DFX-Token. Der Pool verfügte damals über 3,1 Millionen US-Dollar und sollte sich basierend auf allen Börsengewinnen und Rückforderungen erhöhen. Von den Verlusten in Höhe von 295 Millionen US-Dollar sahen diejenigen, die frühzeitig Ansprüche geltend machten, nur einen Cent pro Dollar.

Laut TFTC wurden rund 9,2 Millionen US-Dollar von den Strafverfolgungsbehörden eingefroren, was fast drei Cent pro Dollar entspricht. Da 194 Millionen US-Dollar in den Händen des Angreifers sind und ein zunehmender Teil davon in Tornado Cash eingezahlt wurde, scheint eine Rückgewinnung nicht sehr wahrscheinlich. OFAC setzte den Mixer im Jahr 2022 auf die schwarze Liste, doch es gibt keine Bestätigung dafür, dass eine Einzahlung eines mit der DVRK verbundenen Entitäts in Tornado Cash rückgängig gemacht wurde.

Der Drift-Exploit ist nach dem DeFiLlama-Crypto-Exploit-Tracker der drittgrößte Krypto-Hack im Jahr 2026, hinter dem Bitget-Exploit über 387,5 Millionen US-Dollar und dem Liquid-Network-Exploit über 320 Millionen US-Dollar.