Drift sagt, dass der $270 Millionen Exploit eine sechsmonatige nordkoreanische Spionageoperation war

Eine sechsmonatige Spionageoperation ging dem Exploit in Höhe von 270 Millionen US-Dollar gegen das Drift-Protokoll voraus und wurde laut einem detaillierten Lageupdate, das das Team früher am Sonntag veröffentlicht hat, von einer mit Nordkorea verbundenen staatlichen Gruppe durchgeführt.

Die Angreifer nahmen zuerst etwa im Herbst 2025 auf einem großen Krypto-Kongress Kontakt auf und stellten sich dabei als quantitatives Handelsunternehmen vor, das sich in Drift integrieren wolle.

Sie waren technisch versiert, verfügten über überprüfbare berufliche Hintergründe und verstanden, wie das Protokoll funktioniert, sagte Drift. Eine Telegram-Gruppe wurde eingerichtet und was folgte, waren Monate inhaltlicher Gespräche über Handelsstrategien und Vault-Integrationen – Interaktionen, die für das Onboarding von Handelsfirmen bei DeFi-Protokollen üblich sind.

Zwischen Dezember 2025 und Januar 2026 onboardete die Gruppe einen Ecosystem Vault in Drift, hielt mehrere Arbeitssitzungen mit Mitwirkenden ab, zahlte über 1 Million US-Dollar eigenes Kapital ein und baute eine funktionierende operative Präsenz innerhalb des Ökosystems auf.

Drift-Mitwirkende trafen die Personen aus der Gruppe im Februar und März bei mehreren großen Branchenkonferenzen in mehreren Ländern persönlich. Bis der Angriff am 1. April startete, bestand die Beziehung bereits seit fast einem halben Jahr.

Die Kompromittierung scheint über zwei Vektoren erfolgt zu sein.

Ein zweiter lud eine TestFlight-Anwendung herunter, Apples Plattform zur Verteilung von Vorab-Apps, die die Sicherheitsprüfung des App Store umgeht, die die Gruppe als ihr Wallet-Produkt darstellte.

Beim Repository-Vektor verwies Drift auf eine bekannte Schwachstelle in VSCode und Cursor, zwei der am weitesten verbreiteten Code-Editoren in der Softwareentwicklung, auf die die Sicherheits-Community seit Ende 2025 aufmerksam machte: Schon das bloße Öffnen einer Datei oder eines Ordners im Editor reichte aus, um still und ohne Aufforderung oder Warnung beliebigen Code auszuführen.

Sobald die Geräte kompromittiert waren, hatten die Angreifer, was sie brauchten, um die zwei Multisig-Freigaben zu erhalten, die den dauerhaften Nonce-Angriff ermöglichten, den CoinDesk bereits diese Woche im Detail beschrieben hat. Diese vorab signierten Transaktionen lagen mehr als eine Woche lang ungenutzt, bevor sie am 1. April ausgeführt wurden und in weniger als einer Minute 270 Millionen US-Dollar aus den Vaults des Protokolls abflossen.

Die Zuordnung deutet auf UNC4736 hin, eine ebenfalls mit dem nordkoreanischen Staat verbundene Gruppe, die auch als AppleJeus oder Citrine Sleet geführt wird. Grundlage sind sowohl On-Chain-Geldflüsse, die bis zu den Angreifern von Radiant Capital zurückverfolgt werden können, als auch die operative Überschneidung mit bekannten, mit DPRK verknüpften Persona.

Die Personen, die auf den Konferenzen persönlich anwesend waren, waren jedoch keine Staatsangehörigen Nordkoreas. Bedrohungsakteure aus DPRK-Dimensionen auf diesem Niveau sind dafür bekannt, Drittparteien als Vermittler einzusetzen, mit vollständig konstruierten Identitäten, Beschäftigungshistorien und professionellen Netzwerken, die darauf ausgelegt sind, Due-Diligence-Prüfungen standzuhalten.

Drift forderte andere Protokolle auf, Zugriffskontrollen zu auditieren und jedes Gerät, das einen Multisig berührt, als potenzielles Ziel zu behandeln. Die größere Konsequenz ist unbequem für eine Branche, die sich auf Multisig-Governance als primäres Sicherheitsmodell verlässt.

Doch wenn Angreifer bereit sind, sechs Monate und eine Million US-Dollar aufzuwenden, um sich eine legitime Präsenz innerhalb eines Ökosystems aufzubauen, Teams persönlich zu treffen, echtes Kapital beizusteuern und zu warten – stellt sich die Frage, welches Sicherheitsmodell dafür ausgelegt ist, das zu erkennen.