Eine Wallet, die mit dem 295-Millionen-Dollar-Hack auf das Drift Protocol in Verbindung gebracht wird, hat am 20. Oktober 2026 rund 61 Millionen US-Dollar in Ethereum an Tornado Cash überwiesen und damit eine fast zwei Monate andauernde Inaktivität beendet. Dies erneuerte die Sorgen über die Geldwäsche mit gestohlenen Kryptowährungen.

Daten zur Blockchain-Verfolgung zeigen, dass der Angreifer weiterhin etwa 81.454 ETH im Wert von rund 194 Millionen US-Dollar kontrolliert. Die jüngste Bewegung unterstreicht die Schwierigkeit, mit der Ermittler bei der Rückverfolgung von Geldern konfrontiert sind, die aus dezentralen Finanzplattformen (DeFi) gestohlen wurden.

25.700 ETH in Zwei Stunden an Tornado Cash gesendet

On-Chain-Überwachung erfasste etwa 25.700 ETH, die innerhalb eines zweistündigen Zeitfensters am Dienstag in Tornado Cash flossen. Bei den Transaktionen handelte es sich um Wallets, die mit dem April-Angriff auf das Drift Protocol in Verbindung gebracht werden, eine auf Solana aufgebaute dezentrale Derivatebörse.

Tornado Cash verschleiert Transaktionsverläufe, indem Kryptoeinzahlungen aus mehreren Adressen gebündelt werden. Obwohl Blockchain-Transaktionen öffentlich einsehbar bleiben, erschwert der Dienst die Verbindung von Einzahlungen mit anschließenden Abhebungen erheblich. Der Mixer steht seit langem im Mittelpunkt regulatorischer und strafrechtlicher Verfahren: Das US-Finanzministerium verhängte 2022 Sanktionen gegen ihn, diese wurden jedoch im März 2025 aufgehoben, nachdem ein Bundesberufungsgericht festgestellt hatte, dass die Einstufung die Befugnisse der Behörde überschritten hatte. Ermittler der USA und der Vereinten Nationen haben den Dienst wiederholt als bevorzugten Waschkanal für Hacker mit Verbindungen zu Nordkorea identifiziert.

Der Aktivität am Dienstag ging eine frühere Bewegung von rund 23.100 ETH durch den Mixer im Juli voraus. Auch nach beiden Überweisungen halten die mit dem Angreifer verbundenen Wallets weiterhin erhebliche Kryptoreserven. Eine verlängerte Inaktivität, gefolgt von gestaffelten Überweisungen, ist ein Muster, das Analysten bei Exploits mit hohem Wert häufig beobachtet haben: Die gestohlenen Gelder bleiben zunächst ungenutzt, bevor sie in Chargen an Mixer weitergeleitet werden.

Mandiant bringt den Hack mit nordkoreanischer Gruppe in Verbindung

Der Sicherheitsvorfall ereignete sich am 1. April 2026, als Angreifer das Drift Protocol kompromittierten und etwa 295,4 Millionen US-Dollar an Nutzeranlagen abzogen. Die Ermittler untersuchten anschließend verdächtige Transaktionen, kompromittierte Administratorberechtigungen sowie die Bewegung der gestohlenen Gelder über Blockchain-Netzwerke.

Eine forensische Untersuchung des Cybersecurity-Unternehmens Mandiant schrieb den Angriff der UNC6862 zu, einer nordkoreanischen Bedrohungsgruppe, wie zuvor von CoinDesk berichtet. Die Ergebnisse verstärkten die Besorgnis über ausgeklügelte Cyberkriminalitätsoperationen, die auf DeFi-Infrastruktur abzielen. Mandiant vergibt „UNC“-Bezeichnungen an Aktivitätscluster, die noch nicht formell benannt wurden, und die Zuschreibung fügt sich in ein breiteres Muster ein: Gruppen mit Verbindungen zu Nordkorea wurden in den letzten Jahren mit Kryptodiebstählen in Milliardenhöhe in Verbindung gebracht, deren Erlöse nach Angaben von UN-Forschern dem Waffenprogramm des Landes zugutekommen.

Den Angaben zufolge verbrachten die Angreifer Monate damit, Beziehungen zu Mitwirkenden des Protokolls aufzubauen, bevor sie den Exploit ausführten. Die Operation zeigte, wie Social Engineering und kompromittierte Administrationskontrollen Kryptoplattformen untergraben können, ohne dass herkömmliche Schwachstellen in Smart Contracts ausgenutzt werden müssen.

Rückgewinnungsprogramm läuft weiter, während Gelder bewegt werden

Das Drift Protocol startete am 1. Oktober sein DFX-Rückgewinnungstoken-Programm, um betroffene Nutzer zu entschädigen. Berechtigte Nutzer können Token, die ihre Verluste repräsentieren, beantragen und gegen verfügbare Rückgewinnungsmittel einlösen.

Der Rückgewinnungspool umfasste anfangs rund 3,1 Millionen US-Dollar; weitere Mittel könnten aus Plattformeinnahmen, zurückgewonnenen Vermögenswerten und anderen Beiträgen stammen — ein Bruchteil der etwa 295,4 Millionen US-Dollar, die durch den Angriff verloren gingen, was zeigt, wie selten Opfer großer Krypto-Exploits vollständig entschädigt werden.

Die jüngsten Ethereum-Überweisungen erschweren jedoch die Bemühungen, die restlichen gestohlenen Gelder zurückzuverfolgen und wiederzubeschaffen. Die Ermittler müssen die zugehörigen Wallets weiter überwachen, während der Angreifer Vermögenswerte über datenschutzorientierte Dienste bewegt. On-Chain-Beobachter verfolgen, ob weitere Teile der verbleibenden Reserven am Mixer auftauchen.

Der Vorfall unterstreicht die anhaltenden Sicherheitsrisiken im dezentralen Finanzwesen und verdeutlicht den Bedarf an stärkeren administrativen Schutzmaßnahmen, Transaktionsüberwachung und koordinierten Bemühungen zur Rückgewinnung von Vermögenswerten.

Quelle: CryptoMeter io