Nordkoreanische Hacker stecken wahrscheinlich hinter dem Drift-Protokoll-Exploit im Wert von 286 Millionen US-Dollar: Elliptic
Elliptic sagte am Donnerstag, dass der 285 Millionen US-Dollar schwere Exploit des Drift-Protokolls, der größte in diesem Jahr, „mehrere Indikatoren“ für die Beteiligung der staatlich geförderten nordkoreanischen Hackergruppe Nordkorea liefere.
Das Forschungsunternehmen wies insbesondere auf On-Chain-Verhalten, Geldwäschemethoden und Signale auf Netzwerkebene hin, die alle mit früheren staatsbezogenen Angriffen übereinstimmen.
Drift Protocol, dessen Token seit dem Hack um über 40 % auf etwa 0,06 US-Dollar gefallen ist, ist die größte dezentrale Perpetual-Futures-Börse auf der Solana-Blockchain.
„Wenn sich dieser Vorfall bestätigt, wäre dieser Vorfall der achtzehnte Akt der DVRK, den Elliptic in diesem Jahr verfolgt hat, wobei bisher über 300 Millionen US-Dollar gestohlen wurden“, heißt es in dem Bericht.
„Es ist eine Fortsetzung der anhaltenden Kampagne der Demokratischen Volksrepublik Korea zum groß angelegten Krypto-Asset-Diebstahl, den die US-Regierung mit der Finanzierung ihrer Waffenprogramme in Verbindung gebracht hat. Es wird angenommen, dass mit der DVRK verbundene Akteure in den letzten Jahren für den Krypto-Asset-Diebstahl in Milliardenhöhe verantwortlich sind“, fügte Elliptic hinzu.
Stunden zuvor zeigten Arkham-Daten, dass über 250 Millionen US-Dollar von Drift auf eine vorläufige Wallet und dann an verschiedene andere Adressen übertragen wurden.
Im Dezember enthüllte ein Chainalysis-Bericht, dass Hacker aus der DVRK im Jahr 2025 Kryptowährungen im Rekordwert von 2 Milliarden US-Dollar gestohlen haben, einschließlich des 1,4 Milliarden US-Dollar schweren Bybit-Verstoßes, was einem Anstieg von 51 % gegenüber dem Vorjahr entspricht. Das US-Finanzministerium erklärte letzten Monat, Nordkorea verwende die gestohlenen Vermögenswerte, um das Massenvernichtungswaffenprogramm des Landes zu finanzieren.
Anstatt sich auf den Exploit selbst zu konzentrieren, zeigt die Analyse von Elliptic ein bekanntes Betriebsmuster auf. Die Aktivität scheint „vorsätzlich und sorgfältig inszeniert“ zu sein, mit frühen Testtransaktionen und vorpositionierten Wallets vor dem Hauptereignis.
Der Bericht erklärt, dass die Gelder nach ihrer Ausführung schnell konsolidiert und ausgetauscht, über Ketten hinweg überbrückt und in liquidere Vermögenswerte umgewandelt wurden, was einen strukturierten, wiederholbaren Geldwäschefluss widerspiegelt, der darauf abzielt, die Herkunft zu verschleiern und gleichzeitig die Kontrolle zu behalten.
Eine zentrale Herausforderung ist laut Elliptic das Kontomodell von Solana. Da jeder Vermögenswert in einem separaten Token-Konto gehalten wird, können Aktivitäten, die an einen einzelnen Akteur gebunden sind, über mehrere Adressen hinweg fragmentiert erscheinen. Ohne diese zu verknüpfen, riskieren die Ermittler, „Fragmente der Aktivitäten des Angreifers zu sehen, nicht das vollständige Bild“.
An dieser Stelle hebt der Bericht von Elliptic den Clustering-Ansatz hervor, der Token-Konten wieder mit einer einzigen Entität verbindet und so die Identifizierung von Gefährdungen ermöglicht, unabhängig davon, welche Adresse überprüft wird. Bei einem Vorfall, an dem mehr als ein Dutzend Asset-Typen beteiligt sind, ist diese Ansicht auf Entitätsebene von entscheidender Bedeutung.
Der Fall unterstreicht auch, wie Elliptic in seinem Bericht hinzufügt, wie Geldwäsche von Natur aus kettenübergreifend geworden ist. Gelder wurden von Solana nach Ethereum und darüber hinaus verschoben, was die Notwendigkeit dessen verdeutlicht, was Elliptic als „ganzheitliche kettenübergreifende Rückverfolgungsfunktionen“ bezeichnet.