Drift sagt, dass der Ausnutzungsangriff in Höhe von 270 Millionen US-Dollar eine sechsmonatige nordkoreanische Spionageoperation gewesen sei

Ein sechsmonatiger Aufklärungs- und Spionageeinsatz ging dem Exploit in Höhe von 270 Millionen US-Dollar gegen das Drift Protocol voraus und wurde laut einem detaillierten Incident-Update, das das Team am Sonntag zuvor veröffentlicht hatte, von einer nordkoreanischen, staatlich verbundenen Gruppe durchgeführt.

Die Angreifer nahmen erstmals etwa im Herbst 2025 bei einer großen Krypto-Konferenz Kontakt auf und stellten sich dabei als ein quantitativer Trading-Firm dar, das sich in Drift integrieren wolle.

Sie seien technisch versiert gewesen, hätten nachprüfbare berufliche Hintergründe vorweisen können und verstanden, wie das Protokoll funktionierte, sagte Drift. Es wurde eine Telegram-Gruppe eingerichtet, und was folgte waren Monate inhaltsreicher Gespräche über Handelsstrategien und Vault-Integrationen – Interaktionen, die für das Onboarding von Trading-Firmen bei DeFi-Protokollen üblich sind.

Zwischen Dezember 2025 und Januar 2026 schaltete die Gruppe einen Ecosystem Vault auf Drift frei, hielt mehrere Arbeitssitzungen mit Beitragsleistenden ab, hinterlegte über 1 Million US-Dollar an eigenem Kapital und baute eine funktionierende operative Präsenz innerhalb des Ökosystems auf.

Drift-Beitragsleistende trafen Personen aus der Gruppe im Zeitraum zwischen Februar und März bei mehreren großen Branchenkonferenzen in mehreren Ländern persönlich. Bis der Angriff am 1. April startete, bestand die Beziehung bereits seit fast einem halben Jahr.

Die Kompromittierung scheint über zwei Vektoren erfolgt zu sein.

Ein zweiter Vektor bestand darin, dass eine TestFlight-Anwendung heruntergeladen wurde – Apples Plattform zum Verteilen von Pre-Release-Apps, die die App-Store-Sicherheitsprüfung umgeht. Diese Anwendung präsentierte die Gruppe als ihr Wallet-Produkt.

Für den Repository-Vektor wies Drift auf eine bekannte Schwachstelle in VSCode und Cursor hin, zwei der am weitesten verbreiteten Code-Editoren in der Softwareentwicklung. Die Sicherheitscommunity hatte diese Schwachstelle bereits seit Ende 2025 im Blick, bei der allein das Öffnen einer Datei oder eines Ordners im Editor genügte, um still und ohne Eingabeaufforderung oder Warnung beliebigen Code auszuführen.

Nachdem die Geräte kompromittiert waren, hatten die Angreifer das, was sie brauchten, um die beiden Multisig-Zustimmungen einzuholen, die den dauerhaften Nonce-Angriff ermöglichten, den CoinDesk bereits in dieser Woche ausführlich beschrieben hatte. Diese vorab signierten Transaktionen lagen mehr als eine Woche lang ungenutzt, bevor sie am 1. April ausgeführt wurden und innerhalb von weniger als einer Minute 270 Millionen US-Dollar aus den Vaults des Protokolls abfließen ließen.

Die Zuordnung deutet auf UNC4736 hin, eine nordkoreanisch staatlich verbundene Gruppe, die außerdem auch als AppleJeus oder Citrine Sleet geführt wird. Grundlage dafür sind sowohl On-Chain-Geldflüsse, die bis zu den Radiant-Capital-Angreifern zurückverfolgt werden, als auch die operative Überschneidung mit bekannten in DPRK verorteten Personen.

Die Personen, die bei den Konferenzen persönlich erschienen, waren allerdings keine nordkoreanischen Staatsangehörigen. DPRK-Threat-Actoren auf diesem Niveau sind dafür bekannt, Drittparteien als Vermittler einzusetzen, mit vollständig ausgearbeiteten Identitäten, Beschäftigungsverläufen und beruflichen Netzwerken, die darauf ausgelegt sind, einer Due-Diligence-Prüfung standzuhalten.

Drift forderte andere Protokolle auf, Zugriffskontrollen zu auditieren und jedes Gerät, das einen Multisig berührt, als potenzielles Ziel zu behandeln. Die größere Implikation ist für eine Branche, die sich auf Multisig-Governance als primäres Sicherheitsmodell stützt, unangenehm.

Doch wenn Angreifer bereit sind, sechs Monate und eine Million US-Dollar aufzuwenden, um eine legitime Präsenz innerhalb eines Ökosystems aufzubauen, Teams persönlich zu treffen, echtes Kapital beizusteuern und zu warten, stellt sich die Frage: Welches Sicherheitsmodell ist dafür entwickelt, genau das zu erkennen?