Die mit dem Drift-Protocol-Exploit verknüpfte Wallet hat laut dem Blockchain-Sicherheitsunternehmen PeckShield eine weitere Charge gestohlener Gelder eingezahlt und setzt damit ein dokumentiertes Muster schrittweiser Geldbewegungen im Zusammenhang mit dem Vorfall fort. Die jüngste Aktivität signalisiert, dass das On-Chain-Tracking der Bestände des Exploiters für das DeFi-Ökosystem ein weiterhin aktuelles Thema bleibt.

PeckShield meldete die Einzahlung in einem Beitrag auf X über sein Konto @PeckShieldAlert und warnte seine Follower, dass der Drift-Exploiter eine weitere Überweisung gestohlener Assets vorgenommen habe. Warnungen von On-Chain-Sicherheitsunternehmen wie PeckShield und Chainalysis sind häufig der erste öffentliche Hinweis darauf, dass Gelder aus einem bekannten Exploit in Bewegung geraten, da markierte Adressen kontinuierlich überwacht werden können, während neue Transaktionen abgewickelt werden.

PeckShieldAlert: #Drift Exploiter has deposited another batch of stolen funds

— PeckShieldAlert (@PeckShieldAlert) October 2026

Quelle: @PeckShieldAlert auf X

Die Warnung fügt sich in ein dokumentiertes Muster schrittweiser Geldbewegungen von der Adresse ein, das mit Überweisungen in Tranchen statt einer einzigen Bewegung des gesamten Guthabens übereinstimmt, während der Exploiter die gestohlenen Assets weiter auf mehrere Wallets verteilt oder verschleiert. Die Bewegung von Geldern in kleineren Tranchen ist ein bekanntes Muster bei der Geldwäsche nach Exploits, da einzelne Überweisungen weniger wahrscheinlich die Überwachungsschwellen auslösen, die Börsen und Compliance-Teams bei Einzahlungen anwenden, als eine einzelne große Bewegung.

Weitere Einzahlung in einem Muster schrittweiser Bewegungen

Die Formulierung „another batch" in PeckShields Warnung ist bedeutsam: Sie bestätigt, dass dies nicht die erste gemeldete Bewegung gestohlener Gelder von der Adresse ist. Frühere Nachverfolgungen zeigten, dass der Exploiter bereits 23.095 ETH in Tornado Cash bewegt hatte, wobei das Privacy-Protokoll als Standard-Verschleierungsschicht für große illegale Transfers diente. Das Protokoll bündelt Einzahlungen vieler Nutzer und erlaubt Abhebungen von Adressen ohne direkte On-Chain-Verbindung zu den ursprünglichen – weshalb Analysten Überweisungen dorthin als Bruchpunkt im Fund-Tracing behandeln. Die jüngste Einzahlung folgt diesem etablierten operativen Muster.

Chainalysis hatte zuvor eine Zwischenwallet im Geldfluss identifiziert, was zu den Multi-Hop-Routing-Strategien passt, die die On-Chain-Zuordnung erschweren sollen. Die mit dem Dr-Exploiter verknüpfte Adresse kann direkt auf Etherscan abgefragt werden, wo die öffentlich einsehbare Transaktionshistorie die Reihe ausgehender Bewegungen widerspiegelt, die Sicherheitsforscher seit dem ursprünglichen Vorfall überwachen.

Vor dieser neuesten Einzahlung hatte die Wallet des Exploiters mehr als 130.262 ETH angesammelt, nachdem zusätzliche 1.195 ETH am offenen Markt gekauft worden waren – ein ungewöhnlicher Schritt, der darauf hindeutete, dass die Adresse operativ aktiv blieb und nicht ruhte.

Was anhaltende Bewegungen für die Nachverfolgung bedeuten

Jede zusätzliche Einzahlung erschwert die Zuordnung, erzeugt aber auch neue On-Chain-Beweise. Jede Transaktion von der bekannten Adresse des Exploiters erweitert den nachverfolgbaren Graphen, den Blockchain-Analyseunternehmen nutzen, um Geldflüsse über Wallets, Börsen und Mixing-Dienste hinweg abzubilden. Eine frische Einzahlung ist daher sowohl ein Risikoereignis als auch ein Datenpunkt.

Die entscheidende Frage für Ermittler lautet, ob das Ziel dieser jüngsten Charge eine bekannte Börsen-Einzahlungsadresse, eine neu erstellte Zwischenwallet oder ein Privacy-Protokoll ist. Keines dieser Details wurde in der aktuellen Berichterstattung bestätigt. Solange Ziel und Betrag nicht unabhängig anhand von On-Chain-Daten verifiziert wurden, bleibt das Ausmaß dieser spezifischen Bewegung unquantifiziert.

Die wiederaufgenommene Aktivität des Drift-Exploiters nach einer früheren Phase scheinbarer Inaktivität hat bereits die Aufmerksamkeit von Analyseunternehmen erregt. Fortgesetzte Einzahlungen zeigen, dass der Exploiter seine Operationen nicht eingestellt hat – eine Entwicklung, die die Dringlichkeit aktiver Nachverfolgung oder rechtlicher Koordinierung zwischen dem betroffenen Protokoll und den Strafverfolgungsbehörden typischerweise erhöht.

Was noch zu bestätigen bleibt

Zum Zeitpunkt dieser Berichterstattung sind mehrere wesentliche Details offen. Der spezifische Betrag der jüngsten Einzahlung wurde nicht bestätigt. Die Ziel-Wallet oder -Plattform wurde nicht öffentlich identifiziert. Weder das Drift-Protokollteam noch eine relevante Strafverfolgungsbehörde haben im Zusammenhang mit dieser spezifischen Bewegung eine offizielle Erklärung abgegeben.

Eine überprüfbare Bestätigung der Einzahlung würde einen Transaktions-Hash erfordern, der mit der bekannten Exploiter-Adresse verknüpft ist, einen USD-äquivalenten Betrag zum Zeitpunkt der Überweisung sowie die Identifizierung der empfangenden Adresse oder des Vertrags. Diese Details sollten über Etherscan nachvollziehbar sein, sobald die spezifische Transaktion von Sicherheitsforschern identifiziert und öffentlich gemacht wurde. Bis dahin bleiben Folge-Warnungen von PeckShield oder anderen Analyse-Teams das wahrscheinlichste öffentliche Signal dafür, wohin die neu eingezahlten Gelder als Nächstes bewegt werden.

Zukünftige Updates zu dieser Geschichte sollten sich auf überprüfbare On-Chain-Daten oder Erklärungen der direkt an der Incident-Response beteiligten Parteien stützen. Der ursprüngliche Exploit, der dem Drift-Protokoll Verluste von 285 Millionen US-Dollar verursachte, legte die Grundlinie für die gesamte nachfolgende Fund-Verfolgung fest, und jede bestätigte Bewegung verringert den Gesamtbestand an nicht vollständig nachvollziehbaren Geldern, den Ermittler zurückverfolgen wollen.