Drift-Hack von $285 Millionen entpuppt sich als monatelange Infiltration

Ein groß angelegter Hack bei Drift Protocol entpuppt sich nicht als schneller Angriff, sondern als Ergebnis monatelanger Vorbereitung. Neue Untersuchungen zeigen, dass sich die Täter als legitimes Handelsunternehmen ausgaben und sich schrittweise Zugang zum Ökosystem verschafften. Der Angriff, bei dem rund $285 Millionen erbeutet wurden, sorgt erneut für Besorgnis über die Sicherheit im Kryptosektor und unterstreicht die Bedeutung von Schutzmaßnahmen gegen Krypto-Betrug.

Infiltration begann bereits 2025

Laut Drift begann die Operation bereits im Herbst 2025. Eine Gruppe von Angreifern kontaktierte Teammitglieder auf internationalen Krypto-Events und gab sich als professionelles quantitatives Handelsunternehmen aus. Was als scheinbar normale Zusammenarbeit begann, entwickelte sich zu einer langfristigen Beziehung, in der die Angreifer gezielt Vertrauen aufbauten.

Sie führten Gespräche über Telegram, nahmen an Meetings teil und investierten sogar mehr als $1 Million in die Plattform. Dadurch wirkten sie vollkommen legitim. Gleichzeitig trafen sie weiterhin Drift-Mitarbeiter auf Konferenzen weltweit, was ihre Glaubwürdigkeit zusätzlich stärkte.

Schadsoftware über Tools und Apps

Der eigentliche Angriff wurde offenbar über mehrere Wege ausgeführt. So lud ein Mitarbeiter ein manipuliertes Code-Repository herunter, das für eine Frontend-Integration gedacht war. In Wirklichkeit enthielt diese Software versteckten Code, der Zugang zu internen Systemen ermöglichte.

Ein weiterer Angriffsweg verlief über eine TestFlight-App, die als Wallet-Produkt präsentiert wurde. Auch hier stellte sich im Nachhinein heraus, dass es sich um Malware handelte. Laut Untersuchung konnte bereits das Öffnen bestimmter Dateien ausreichen, um Systeme zu kompromittieren – ohne Warnhinweise oder zusätzliche Aktionen.

Unmittelbar nach dem Angriff verschwanden sämtliche Spuren. Chats wurden gelöscht und genutzte Tools unzugänglich gemacht, was auf eine hochgradig organisierte Operation hindeutet.

Mögliche Verbindung zu nordkoreanischen Hackern

Der Angriff weist starke Ähnlichkeiten mit früheren Hacks in der Branche auf. Drift vermutet, dass dieselbe Gruppe verantwortlich ist wie bei dem Angriff auf Radiant Capital im Jahr 2024. Diese Gruppe wird mit nordkoreanischen Cyberakteuren in Verbindung gebracht, die für komplexe und langfristige Infiltrationen bekannt sind, wie auch in diesem Bericht über die mögliche Beteiligung nordkoreanischer Hacker beschrieben.

Auffällig ist, dass die Personen, die physisch auf Events anwesend waren, vermutlich nicht selbst aus Nordkorea stammten. Stattdessen könnten Vermittler eingesetzt worden sein, um Vertrauen aufzubauen und direkten Kontakt zu Zielpersonen herzustellen.

Die Untersuchung läuft noch, doch die bisherigen Erkenntnisse zeigen, wie raffiniert und geduldig dieser Angriff geplant wurde. Drift arbeitet inzwischen mit Sicherheitsfirmen und Behörden zusammen, um das gesamte Ausmaß zu erfassen und weiteren Schaden zu begrenzen.

Der Fall macht deutlich, dass selbst langfristige Kooperationen und persönliche Begegnungen keine Garantie für Sicherheit im Kryptobereich darstellen.

Auf X ansehen