Nordkorea stellte einen gefälschten Token her, um $286M von Drift Protocol zu stehlen – und KI macht diese Angriffe günstiger

Der größte DeFi-Hack dieses Jahres fand letzte Woche am 1. April statt, als Drift Protocol, eine der größten Perp-DEXs im Solana-Netzwerk, einem Exploit zum Opfer fiel, bei dem rund 286 Millionen US-Dollar aus dem Protokoll verschwanden. Der Angriff wurde nordkoreanischen Hackern zugeschrieben und das gesamte Hack-Ereignis dauerte nur 10 Sekunden. Was an diesem Hack jedoch erstaunlich ist, ist die penible Art und Weise. Kein Code wurde gebrochen und kein Smart Contract wies einen Fehler auf. Untersuchungen von Krypto-Forensikfirmen wie Elliptic und TRM Labs deuten vielmehr auf einen viel kalkulierteren Hack hin. 

Nordkoreanische Angreifer haben drei Wochen damit verbracht, einen gefälschten Token namens CarbonVote herzustellen, ihn mit ein paar tausend Dollar zu säen, um ihn echt aussehen zu lassen, und gleichzeitig zwei der fünf Multisig-Security-Council-Signer von Drift durch Social Engineering dazu gebracht, verstechte Autorisierungen vorab zu unterzeichnen, die sie nicht vollständig verstanden. Anschließend nutzten sie eine Solana-Funktion namens „durable nonces“, um diese Signaturen über eine Woche lang in Reserve zu halten und auf den richtigen Moment zu warten. Alles, was es brauchte, war eine einzige Transaktion am 1. April. 

Wie von Elliptic angemerkt, war dieser Angriff der 18. Krypto-Hack im Zusammenhang mit Nordkorea in diesem Jahr, bei dem rund 300 Millionen Dollar aus dem Markt abgezogen wurden. Vier Tage nach dem Hack erklärte der CTO von Ledger öffentlich die alarmierende Natur des Angriffs und wies darauf hin, dass KI die Kosten für solche Angriffe „auf null“ drückt. Diese Aussage ist von großer Bedeutung, da der Drift-Hack ein Fallbeispiel dafür darstellt, wie diese Operationen heute funktionieren. Die Angreifer benötigten keine Zero-Day-Schwachstelle oder einen erstklassigen Kryptographen. Alles, was sie brauchten, war Geduld, eine überzeugende gefälschte Token und zwei Menschen, die sie manipulieren konnten. Der Hack hat tatsächlich strukturelle Schwachstellen im DeFi-Ökosystem so, wie es heute existiert, offengelegt. DeFi baut milliardenschwere Infrastruktur auf, die von kleinen Gruppen von Personen gesichert wird, die getäuscht werden können, während die Gegner darin immer besser werden.

Wie Nordkorea in 10 Sekunden $286 Millionen stahl 

Der Drift-Protocol-Hack war ein ausgeklügelter Angriff, der drei Wochen Vorbereitung erforderte. Bloomberg berichtete erstmals am 1. April über den Vorfall, als das Drift-Protocol bestätigte, dass rund 286 Millionen US-Dollar an Nutzervermögen abgezogen worden waren. Das gesamte Manöver begann jedoch bereits am 11. März, als der Angreifer um 9 Uhr Pjöngjang-Zeit 10 ETH von Tornado Cash abzog und damit die gefälschte Token CarbonVote (CVT) bereitstellte – ein völlig fiktives Asset, das mit einigen tausend Dollar Liquidität ausgestattet und durch Wash-Trading am Leben erhalten wurde.

Im Laufe der folgenden zwei Wochen, zwischen dem 23. und 30. März, eröffnete der Angreifer langlebige Nonce-Konten, eine legitime Funktion im Solana-Netzwerk, die es ermöglicht, Transaktionen vorab zu signieren und unbegrenzt ohne Ablaufdatum zu halten. In diesem Zeitfenster manipulierte der Angreifer zwei der fünf Signatoren des Security Councils von Drift per Social Engineering dazu, Transaktionen zu genehmigen, die normal wirkten, aber wie später von TRM Labs bestätigt wurde, versteckte Autorisierungen für kritische Admin-Rechte enthielten.

Das letzte Puzzleteil fiel am 27. März, als Drift sein Sicherheitsrat auf eine neue Konfiguration mit einer 2/5-Schwelle und null Zeitverzögerung umstellte, wie von BlockSec berichtet wurde; dies beseitigte im Grunde die einzige Verzögerung, die es jemandem ermöglicht hätte, das Kommende zu erkennen. Bis zum 1. April war die Falle bereits seit Tagen vollständig geladen.

Am 1. April nutzte der Angreifer diese vorab signierten Genehmigungen, um CarbonVote als gültige Sicherheit einzustellen, dessen Wert durch manipulierte Oracle-Preise und Governance auf Hunderte von Millionen aufzublähen. Anschließend wurden in wenigen Sekunden 31 Abhebungstransaktionen durchgeführt, die die Vaults von Drift leerten. Allein der größte Teil umfasste über 155 Millionen US-Dollar an JLP-Token sowie weitere Zehnmillionen an USDC, SOL, ETH und anderen liquid-staking-Token. Der Total Value Locked (TVL) im Protokoll brach sofort von rund 550 Millionen auf unter 250 Millionen US-Dollar ein. 

Diese Geschwindigkeit des Hackings ist nur ein Teil der Geschichte. Ein detaillierter Plan, der bis zu drei Wochen dauerte und in einem 10-Sekunden-Hack gipfelte, zeigte, wie leicht Governance – nicht Code – zur schwächsten Stelle in DeFi werden kann. 

Nordkoreas $300 Millionen teurer Krypto-Krieg in 2026 

Dieser Hack, der angeblich von nordkoreanisch verknüpften Angreifern durchgeführt wurde, ist keineswegs ein isoliertes Ereignis. Tatsächlich wird bei einem Blick auf einige der bekanntesten Hacks der letzten Jahre deutlich, dass dies Teil einer viel größeren, staatlich gesteuerten Kampagne ist. Allein in diesem Jahr meldete Elliptic, dass der Drift-Exploit den 18. Kryptodiebstahl mit Ursprung in der DPRK darstellt und die Gesamtsumme der abgezogenen Mittel in diesem Jahr bereits über 300 Millionen US-Dollar liegt. Schaut man über dieses Jahr hinaus, wird das Ausmaß solcher Hacks aus einem einzigen Land kaum noch zu ignorieren sein. Im vergangenen Jahr entwendeten nordkoreanisch verknüpfte Akteure zwischen 1,92 Milliarden US-Dollar laut TRM Labs, während Chainalysis diesen Wert auf 2,02 Milliarden US-Dollar in Kryptowährungen beziffert. Dies markierte einen Anstieg von 51 % gegenüber dem Vorjahr bei von dieser Gruppe durchgeführten Hacks und trieb ihre Gesamtausbeute auf bisher 6,75 Milliarden US-Dollar.

Nordkorea war 2025 für einen Rekordwert von 76 % aller Service-Kompromittierungen verantwortlich, was bedeutet, dass ein einziges Land für die überwältigende Mehrheit der Diebstähle in der Branche verantwortlich ist. Vor diesem Hintergrund fügt sich der Drift-Hack, der nun nach dem Wormhole-Breach von 2022 die zweitgrößte Sicherheitslücke im Solana-Ökosystem darstellt, in ein Muster von Angriffen ein. 

Was dieses Muster definiert, ist die Konsistenz. Der Bybit-Hack im Februar 2025, der größte Kryptodiebstahl in der Geschichte, wies nahezu identische Konstellationen auf, darunter Social Engineering, kompromittierte Zugänge und koordinierte Fondsaustausche. TRM Labs stellt fest, dass DPRK-Betreiber zunehmend auf „chinesische Wäschereien

Der Drift-Angriff zeigt tatsächlich ein System staatlich unterstützter Teams, das mehrwöchige Operationen mit Aufklärung, menschlicher Manipulation und bereits etablierter globaler Geldwäscheinfrastruktur durchführt. 

KI treibt Angriffs kosten „auf null

Vier Tage nach dem Drift-Drain sagte Ledger-CTO Charles Guillemet CoinDesk etwas, das den gesamten Vorfall neu einordnete. „Schwachstellen zu finden und sie auszunutzen, wird wirklich, wirklich einfach“, sagte er. „Die Kosten gehen auf null zurück.“ Guillemet nannte Drift nicht beim Namen, beschrieb aber exakt dessen Funktionsweise. KI hilft Angreifern nicht nur dabei, Code-Bugs schneller zu finden, sondern macht Social Engineering überzeugender, Phishing personalisierter und die Vorbereitungsarbeit, für die nordkoreanische Operatoren drei Wochen in Drift investiert hatten, um eine Größenordnung günstiger und skalierbarer. Er wies zudem auf ein sich verstärkendes Problem auf der Verteidigungsseite hin: Da immer mehr Entwickler auf KI-generierten Code setzen, könnten Schwachstellen sich schneller verbreiten, als menschliche Prüfer sie entdecken können. „Es gibt keinen ‚Sicher machen‘-Button“, sagte er. „Wir werden viel Code produzieren, der von Grund auf unsicher ist.“ Hacks und Exploits verursachten im vergangenen Jahr Verluste von 1,4 Milliarden US-Dollar an Kryptowährungen, und Guillemets Prognose lautet, dass die Kurve steiler, nicht flacher wird.

Der Drift-Hack ist der klarste Beweis für diese Warnung. Die Angreifer haben den Code nie berührt; sie zielten auf die zwei Menschen ab, die die Schlüssel hielten. KI muss einen Smart Contract nicht brechen, wenn sie ein überzeugendes Vorwand generieren kann, um einen Multisig-Signer dazu zu bringen, eine Transaktion zu genehmigen, die er nicht vollständig versteht. Guillemet erwartet, dass sich die Branche spaltet: Kritische Systeme wie Wallets und Kernprotokolle werden stark in Sicherheit investieren und sich anpassen, aber ein Großteil des breiteren Software-Ökosystems wird möglicherweise Schwierigkeiten haben, Schritt zu halten. Seine empfohlenen Lösungen – formale Verifikation mittels mathematischer Beweise und Hardware-Isolation für private Schlüssel – sind strukturell solide, erfordern jedoch ein Maß an institutioneller Disziplin, das die meisten DeFi-Protokolle, einschließlich Drift, noch nicht aufgebaut haben. „Wenn Sie ein dediziertes Gerät haben, das nicht mit dem Internet verbunden ist, ist es von Natur aus sicherer

Was als Nächstes passiert: Drifts Erholung und die Reaktion der Branche

Was als Nächstes für das Drift Protocol passiert, ist alles andere als klar, und die ersten Signale teilen bereits die Branche. Unmittelbar nach dem Vorfall schlug Anatoly Yakovenko einen möglichen Wiederherstellungsweg vor: Die Ausgabe eines IOU-ähnlichen Token-Airdrops an betroffene Nutzer, analog zum Vorgehen von Bitfinex im Jahr 2016 nach dessen Hack über 72 Millionen Dollar. 

Die Idee ist einfach: Verluste jetzt zu verteilen und Nutzern bei einer Erholung des Protokolls später zurückzuzahlen. Der Kontext ist jedoch ein völlig anderer. Das TVL von Drift wurde fast halbiert, Ein- und Auszahlungen bleiben ausgesetzt, und im Gegensatz zu Bitfinex fehlt eine zentrale Umsatzquelle, um diese Verbindlichkeiten abzusichern. Dies hat sofortigen Widerstand ausgelöst: IOU-Token bergen in diesem Fall die Gefahr, rein spekulative Instrumente ohne klaren Weg zur Einlösung zu werden.

Gleichzeitig wecken Onchain-Aktivitäten neue Bedenken. Onchain Lens meldete, dass eine mit dem Drift-Team verknüpfte Wallet kurz nach dem Exploit 56,25 Millionen DRIFT-Token (ca. 2,44 Millionen US-Dollar) auf zentralisierte Börsen wie Bybit und Gate transferierte – ein Schritt, der typischerweise Verkaufsdruck vorausgeht und Spekulationen über Insider-Positionen während dieser Liquiditätskrise befeuert. 

In der Zwischenzeit wurden die Mittel des Angreifers bereits über verschiedene Blockchains, insbesondere nach Ethereum, transferiert, was die Wahrscheinlichkeit einer sinnvollen Rückgewinnung mit jedem Tag weiter verringert. Die weitreichende Konsequenz ist, dass dieser Vorfall nicht bei Drift enden wird. Er dürfte vielmehr die branchenweite Prüfung der DeFi-Governance selbst beschleunigen – von Multisig-Sicherheitsstandards und Timelock-Anforderungen bis hin zum Oracle-Design und Ausführungssteuerungen. Was als Nächstes kommt, hängt von drei Variablen ab: ob Drift einen glaubwürdigen Wiederherstellungsplan vorlegen kann, ob ein Teil der Mittel zurückverfolgt oder eingefroren werden kann und ob dies endlich strukturelle Reformen erzwingt oder lediglich eine weitere kostspielige Lektion darstellt, an der die Branche vorbeizieht.