Eine Adresse, die mit dem Raub von 295 Millionen US-Dollar beim Drift Protocol im April in Verbindung gebracht wird, zahlte am Dienstag 25.700 Ether (ETH) in den Mixer Tornado Cash ein und setzte damit einen Geldwäschevorgang fort, den Ermittler auf eine staatlich unterstützte Organisation in Nordkorea zurückgeführt haben. Dies ist für die Tausenden Drift-Nutzer von Bedeutung, die noch nicht entschädigt wurden.

Zwei Stunden Überweisungen in 100-ETH-Tranchen

Die Einzahlungen erfolgten über etwa zwei Stunden und beliefen sich zum Zeitpunkt der Übertragung auf rund 61,56 Millionen US-Dollar, so Daten von Arkham Intelligence. Die Wallet hatte vor der plötzlichen Aktivität rund zwei Monate lang geruht.

Arkams Transferprotokolle zeigen Einzahlungen in festen Beträgen von 100 ETH im Wert von jeweils etwa 237.800 US-Dollar sowie kleinere Transaktionen über 10 ETH. Die 100-ETH-Überweisungen entsprechen den Einzahlungspools von Tornado Cash. Der Dienst ermöglicht es Nutzern, Mittel später von einer anderen Adresse abzuheben und so die Verbindung zwischen Sender und Empfänger zu verschleiern. Genau diese Entkopplung von Einzahlung und Auszahlung macht den Mixer zu einem hartnäckigen Hindernis für Nachverfolgungs- und Einfungsmaßnahmen.

Auch Chainalysis hat die Bewegung der Mittel nachgezeichnet. In einem am Dienstag veröffentlichten X-Beitrag teilte das Unternehmen mit, dass der Angreifer am 1. April die Gelder von den fünf für den Angriff verwendeten Wallets in 13 einzelnen Transaktionen zu einer einzigen Zwischenwallet verlagerte. Diese Wallet blieb anschließend inaktiv, bis die Gelder in 100-ETH-Tranchen in Tornado Cash bewegt wurden.

Die Übertragung war nicht der erste Versuch, die gestohlenen Vermögenswerte durch den Mixer zu schleusen. Eine als Drift Exploiter 4 identifizierte Adresse sandte am 23. und 24. Juli 23.095 ETH im damaligen Wert von etwa 44,4 Millionen US-Dollar an Tornado Cash.

Verbleibende Vermögenswerte in den Angreifer-Wallets

Nach den Einzahlungen am Dienstag verfolgt Arkham weiterhin 81.454 ETH im Wert von etwa 194 Millionen US-Dollar, so TFTC. Die 71 identifizierten Adressen des Hackers enthielten insgesamt rund 198,58 Millionen US-Dollar. Arkams Portfolioansicht wies außerdem etwa 561.600 US-Dollar in USDT, USDC, Solana und USDY sowie einen Fartcoin im Wert von rund 15 Cent aus. Die Höhe dieses verbleibenden Saldos ist die entscheidende Variable für die Wiederherstellung: Mittel, die sich noch in nachverfolgbaren Wallets befinden, bleiben Frost- und Rückholmaßnahmen ausgesetzt, während alles, was in den Mixer gelangt, deutlich schwerer erreichbar wird.

Das On-Chain-Analyse-Konto Lookonchain meldete die Übertragung auf X:

The Drift Protocol exploiter, who stole over $270M, is moving $ETH to #TornadoCash after 2 months of inactivity. Over the past 2 hours, the exploiter has deposited 25,700 $ETH ($61.56M) into #TornadoCash and still holds 81,864 $ETH ($195M). — Lookonchain (@lookonchain) October 20, 2026

Der Angriff richtete sich ursprünglich gegen ein Solana-basiertes Protokoll, doch der Angreifer nutzte später Bridging-Technologie, um die Vermögenswerte in ETH umzuwandeln. Laut Drifts Vermögensverteilungstabelle erbeutete der Angreifer Token im Wert von 295,7 Millionen US-Dollar, darunter 159,3 Millionen US-Dollar in JLP, dem Jupiter Liquidity Provider Token, und 71,4 Millionen US-Dollar in USDC. Dieser Cross-Chain-Sprung zwang die Ermittler, den Geldern zwei separate Ledgers zu folgen, was die Spur schon lange vor dem Einsatz des Mixers verlängerte.

Social Engineering ging dem Angriff voraus

Drifts Post-Mortem-Analyse auf drift.trade zufolge exploitete der Angriff am 1. April keine Schwachstelle im Code des Protokolls. Stattdessen beruhte er auf Social Engineering über einen Zeitraum von sechs Monaten.

TFTC berichtete unter Berufung auf dieselbe Analyse, dass sich die Angreifer als Handelsunternehmen ausgaben und 1 Million US-Dollar in echten Mitteln einzahlten, um Glaubwürdigkeit aufzubauen. Zudem trafen sie Drift-Mitarbeiter persönlich auf Konferenzen. Anschließend nutzten die Angreifer eine Code-Ausführungsschwachstelle in Entwicklertools in Kombination mit einer gefälschten Wallet-Anwendung, um das Protokoll in weniger als 12 Minuten zu leeren. Der Vorfall zeigt, dass Sicherheit im dezentralen Finanzwesen über den On-Chain-Code hinausgeht und auch die Menschen und Tools rund um ein Protokoll umfasst.

In einem Beitrag vom 3. Juni zu seinen Wiederherstellungsbemühungen teilte Drift mit, dass eine forensische Untersuchung von Mandiant den nordkoreanischen Bedrohungsakteur UNC6862 als Verantwortlichen identifiziert habe. Drift zitierte Mandiant mit der Aussage, es gebe „direkte Verbindungen zu anderen staatlich unterstützten Akteuren, die an ähnlichen Angriffen auf andere Plattformen beteiligt sind.“

Rückzahlungspool bleibt im Verhältnis zu den Verlusten klein

Drift öffnete am 1. Oktober die Antragsstellung für DFX-Token. Der Wiederherstellungspool umfasste zu diesem Zeitpunkt 3,1 Millionen US-Dollar und sollte durch Börsengewinne und Rückforderungen wachsen. Gemessen an den gemeldeten Verlusten von 295 Millionen US-Dollar konnten frühe Antragsteller nur etwa einen Cent pro verlorenem Dollar zurückerhalten.

Die Strafverfolgungsbehörden haben etwa 9,2 Millionen US-Dollar eingefroren, so TFTC, was knapp drei Cent pro Dollar entspricht. Da sich weiterhin etwa 194 Millionen US-Dollar in der Hand des Angreifers befinden und ein wachsender Anteil in Tornado Cash überwiesen wird, sind die Wiederherstellungsaussichten begrenzt. Das US-Office of Foreign Assets Control setzte Tornado Cash 2022 auf die Schwarze Liste, doch es gibt keine Bestätigung dafür, dass eine Einzahlung einer mit der DPRK verbundenen Einheit je zurückgeholt wurde. Wie es weitergeht, wird sich an drei Stellen zeigen: am Tempo weiterer Tornado-Cash-Einzahlungen aus den verbleibenden Wallets, an neuen Ein frostungen oder Rückforderungen und am Wachstum des DFX-Wiederherstellungspools.

Der Drift-Exploit ist laut dem DeFiLlama-Tracker für Krypto-Exploits der drittgrößte Krypto-Hack des Jahres 2026. Er liegt hinter dem Bitget-Exploit über 387,5 Millionen US-Dollar und dem Liquid-Network-Exploit 320 Millionen US-Dollar.

Originalbericht: https://www.cryptopolitan.com/drift-hack-recovery-61-5m-tornado-cash/