Drei Monate Funkstille endeten abrupt, als eine mit dem Drift-Protocol-Exploit verbundene Wallet wieder begann, Gelder zu bewegen – und das Ziel war Tornado Cash. Am 23. und 24. Juli überwies die Adresse 23.095,1 ETH im Wert von rund 44,4 Millionen US-Dollar in den Ethereum-Mixer, in Schnellfeuer-Transaktionen zu 100 ETH, 10 ETH und 1 ETH. Für Ermittler, die ohnehin bereits stark ausgelastet sind, hätte das Timing kaum ungünstiger sein können.
Summary
Wichtigste Erkenntnisse
- Der Drift-Exploiter transferierte 23.095,1 ETH (~44,4 Millionen US-Dollar) in Tornado Cash, nachdem die Wallet etwa drei Monate lang inaktiv gewesen war.
- Dieselbe Adresse schickte laut Etherscan-Daten während der Transfers 0,85 ETH an Wallets, die als Bybit-Einzahlungsadressen gekennzeichnet sind.
- Der unabhängige Ermittler ZachXBT erklärte, er habe keine Pläne, die Gelder weiter zu verfolgen, und verwies auf den Ressourcenaufwand für die Überwachung eines neunstelligen, mit Nordkorea in Verbindung stehenden Diebstahls.
- Mandiant schrieb den ursprünglichen Angriff UNC6862 zu, einer nordkoreanischen Bedrohungsgruppe, die Social Engineering statt einer Smart-Contract-Schwachstelle nutzte.
- Drifts Recovery-Framework bündelt alle zurückgewonnenen Gelder für Nutzeransprüche und sieht die Ausgabe von Recovery-Token vor, wobei der aktuelle Status des Bounty-Programms unklar bleibt.
Wiederaufnahme der Geldbewegungen durch den Drift-Exploiter
Forscher JL, on-chain bekannt als 0xJaelle, entdeckte die Bewegung zuerst und markierte ZachXBT zur Kenntnisnahme. On-Chain-Daten zeigen, dass die als „Drift Exploiter 4“ gekennzeichnete Adresse über zwei Tage hinweg Hunderte von Transaktionen abwickelte. Das Tempo war bemerkenswert – Onchain Lens berichtete, dass der Angreifer mehrmals pro Minute 100-ETH-Chargen an den Tornado-Cash-Router schickte.
In diese Transfers waren vier kleinere Zahlungen eingewoben. Dieselbe Adresse schickte 0,85 ETH an Wallets, die als Bybit-Einzahlungsadressen gekennzeichnet sind, wie Etherscan-Daten und von PeckShield zugeschriebene Überwachung zeigen. Ob diese Einzahlungen den Versuch darstellen, Compliance-Systeme auf Börsenseite zu testen, oder lediglich betriebliches Rauschen waren, ist unbekannt, und Bybit hatte zum Zeitpunkt der Veröffentlichung noch keine öffentliche Stellungnahme abgegeben.
Die Bewegung deckt nur einen Teil des Gesamtdiebstahls ab. Drifts Recovery-Update vom April bezifferte die insgesamt gestohlenen Vermögenswerte auf 295,7 Millionen US-Dollar über JLP, USDC, Bitcoin-gebundene Token, SOL, WETH und andere Assets hinweg, wobei ein Großteil des umgewandelten Werts weiterhin auf vier markierte Ethereum-Wallets verteilt ist. 44,4 Millionen US-Dollar durch Tornado Cash zu schleusen bedeutet nicht, dass diese Gelder verschwunden sind – Einzahlungen in den Mixer bleiben on-chain sichtbar –, aber es verkompliziert die nächsten Schritte erheblich.
Wie Tornado Cash die Ermittlungen verändert
Tornado Cash bündelt Einzahlungen und ermöglicht spätere Auszahlungen über völlig andere Adressen. Die direkte Wallet-zu-Wallet-Verbindung, auf die sich Ermittler stützen, verschwindet. Zeitliche Analysen, Musterabgleiche von Transaktionen und die Überwachung von Aktivitäten auf Börsen können weiterhin Hinweise liefern, doch jede dieser Methoden erfordert mehr Daten, mehr Zeit und mehr Personal, als einfach einer Wallet-Spur zu folgen.
Diese technische Realität macht die Ermittlungsbeschränkungen, die auf die Transfers folgten, umso folgenreicher.
Ermittlungsherausforderungen und ZachXBTs Entscheidung, sich zurückzuziehen
ZachXBTs Reaktion war unverblümt: „Sorry, ich habe derzeit keine Pläne, diese Gelder weiter zu verfolgen.“ Er beschrieb die Aufgabe als „selbst für ein Team schwierig und für eine einzelne Person nicht machbar“ und fügte hinzu, dass die Überwachung eines neunstelligen, mit Nordkorea verbundenen Exploits bei gleichzeitigen Bemühungen um mögliche Einfrierungen von Vermögenswerten Ressourcen erfordern würde, die weit über das hinausgehen, was ein einzelner unabhängiger Forscher leisten kann. Er bestätigte außerdem, dass Drift weder Spender noch Kunde sei.
Die Erklärung erregte auf X erhebliche Aufmerksamkeit, auch weil sie etwas offenlegte, das die Krypto-Sicherheitscommunity seit Langem weiß, aber selten so deutlich ausspricht: Die informelle Schicht unabhängiger Forscher, die hochvolumige Diebstähle überwacht, arbeitet ohne garantierte Vergütung – und irgendwann werden diese Grenzen sichtbar. Wenn sich ein Fall über mehr als drei Monate hinzieht und der Angreifer aktiv beginnt, Gelder zu verschleiern, wird die Ökonomie einer fortgesetzten Untersuchung ohne institutionelle Unterstützung schwer zu rechtfertigen.
ZachXBT kritisierte außerdem Circle, nachdem rund 232 Millionen US-Dollar an gestohlenem USDC während des Angriffs im April über Circles Cross-Chain-System von Solana nach Ethereum transferiert und anschließend in ETH umgewandelt worden waren. Diese Kritik hat bislang keine öffentliche Reaktion von Circle hervorgerufen.
Drift Protocols Recovery-Bemühungen und Partnerschaftsprogramme
Drift kündigte im April ein Recovery-Bounty-Programm gemeinsam mit Arkham und Bybit an, auch wenn die Details vage blieben. Am 16. April erklärte das Protokoll, es arbeite an der Ausgestaltung des Programms, doch das Update enthielt weder eine endgültige Belohnungshöhe noch Teilnahmebedingungen oder einen Auszahlungsplan. Ob das Programm vollständig aktiviert wurde – oder ob es die laufende Wallet-Überwachung durch unabhängige Forscher abdecken würde – ist weiterhin unklar.
Unabhängig davon schlug Tether bis zu 127,5 Millionen US-Dollar an Unterstützung für die Nutzerentschädigung vor. Drifts umfassenderes Recovery-Framework sieht vor, dass alle zurückgewonnenen Gelder in einen Nutzer-Recovery-Pool fließen. Das Protokoll plant außerdem, Drift-Recovery-Token auszugeben und Rückzahlungen durch verbleibende Vermögenswerte, Partnerkapital und zukünftige Börsenerlöse zu finanzieren. Der praktische Zeitplan für diese Rückzahlungen wurde bislang nicht öffentlich bestätigt.
Attribution und die weiterreichenden Auswirkungen des Exploits
Drifts Untersuchungsupdate vom Juni bestätigte, dass das Forensikunternehmen Mandiant den Angriff UNC6862 zuschrieb, einer nordkoreanischen Bedrohungsgruppe. Die Angreifer nutzten keine Smart-Contract-Schwachstelle – stattdessen führten sie eine Social-Engineering-Kampagne durch und kompromittierten operative Zugänge, wodurch sie letztlich innerhalb von etwa 12 Minuten zentrale Tresore leerräumten. Drift erklärte, man arbeite in der laufenden Untersuchung mit Strafverfolgungsbehörden, Mandiant und Blockchain-Intelligence-Firmen zusammen.
Die Zuordnung zu Nordkorea hat über das Technische hinausgehende Implikationen. Die Beteiligung von UNC6862 verortet den Diebstahl in einem geopolitischen Rahmen, in dem traditionelle Instrumente zur Wiedererlangung von Vermögenswerten – rechtliche Einfrierungen, Compliance auf Börsenebene, Zusammenarbeit mit Strafverfolgungsbehörden – erheblichen jurisdiktionellen Beschränkungen unterliegen. Gestohlene Gelder, die mit staatlich unterstützten Akteuren in Verbindung stehen, haben sich historisch als sehr schwer rückführbar erwiesen, und der Einsatz eines Mixers wie Tornado Cash verschärft dieses Problem zusätzlich.
Folgewirkungen im gesamten Solana-Ökosystem
Der Drift-Protocol-Exploit betraf nicht nur eine Plattform. Carrot, eine renditeorientierte Plattform auf Solana-Basis, entschied sich für eine vollständige Schließung, nachdem Verluste im Zusammenhang mit Drift den Großteil ihres eingezahlten Werts ausgelöscht hatten. Dieser Kollateralschaden verdeutlicht, wie eng integrierte DeFi-Protokolle einen einzelnen Angriff über ein gesamtes Ökosystem hinweg verstärken können.
Für Drift selbst besteht der weitere Weg darin, die Plattform wieder aufzubauen, die Signaturkontrollen für kritische Transaktionen zu stärken und weiterhin Nutzeransprüche zu finanzieren. Die Einzahlungen in Tornado Cash belegen nicht, dass der Angreifer das ETH in nutzbares Bargeld umgewandelt hat – die Einzahlungen sind öffentlich, und Ermittler könnten spätere Auszahlungsmuster noch identifizieren. Aber sie markieren einen bedeutenden Übergang in dem Fall: von einer ruhenden Wallet, die beobachtet werden konnte, zu einer aktiven, die den lesbarsten Teil ihrer Spur bewusst durchtrennt hat. Die nächste Phase jeder Recovery-Bemühung wird erheblich schwieriger durchzuführen sein.
FAQ
Welche jüngste Aktivität wurde bei der Wallet des Drift-Protocol-Exploiter festgestellt?
Nach etwa drei Monaten Inaktivität bewegte der Exploiter 23.095,1 ETH im Wert von rund 44,4 Millionen US-Dollar in Tornado Cash und schickte 0,85 ETH an als Bybit-Einzahlungsadressen gekennzeichnete Wallets, wobei die Transfers am 23. und 24. Juli stattfanden.
Warum hat der unabhängige Forscher ZachXBT aufgehört, die gestohlenen Gelder zu verfolgen?
ZachXBT verwies auf den hohen Ressourcenbedarf und das Fehlen institutioneller Unterstützung. Er erklärte, dass die Überwachung eines neunstelligen, mit Nordkorea verbundenen Diebstahls bei gleichzeitigen Bemühungen um mögliche Einfrierungen von Vermögenswerten für eine einzelne Person nicht machbar sei und dass Drift weder Spender noch Kunde sei.
Was ist der Plan von Drift Protocol zur Wiedererlangung der gestohlenen Gelder?
Drift kündigte im April ein Recovery-Bounty-Programm mit Arkham und Bybit an, dessen vollständiger Aktivierungsstatus jedoch unklar ist. Das Recovery-Framework des Protokolls bündelt alle zurückgewonnenen Gelder für Nutzeransprüche und sieht die Ausgabe von Recovery-Token vor, wobei Tether zudem bis zu 127,5 Millionen US-Dollar an Unterstützung vorgeschlagen hat.
Wem wird die Verantwortung für den Angriff auf Drift Protocol zugeschrieben?
Mandiant schrieb den Angriff UNC6862 zu, einer nordkoreanischen Bedrohungsgruppe, die Social Engineering und die Kompromittierung operativer Zugänge nutzte – nicht eine Smart-Contract-Schwachstelle –, um zentrale Tresore in etwa 12 Minuten zu leeren.
Artikel unter Verwendung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
