Eine Wallet-Gruppe, die mit dem Exploit des Drift Protocol in Höhe von 285 Millionen Dollar in Verbindung gebracht wird, hat erneut gestohlene Kryptowährung bewegt. Blockchain-Analysten berichten, dass am 20. Oktober etwa 61,56 Millionen Dollar in Ethereum bei Tornado Cash eingezahlt wurden.
Zusammenfassung
- Lookonchain berichtete, dass der Drift-Exploiter am 20. Oktober 25.700 ETH im Wert von etwa 61,56 Millionen Dollar bei Tornado Cash eingezahlt hat.
- Eine frühere Überwachung durch Onchain Lens identifizierte mindestens 13.400 ETH im Wert von rund 32 Millionen Dollar, die an den Mixer gingen.
- Die Transfers folgen auf einen Angriff vom 1. April, der nach Schätzungen von Chainalysis Verluste von 285 Millionen Dollar verursachte.
- Drift erklärte, dass eine anschließende forensische Untersuchung den Angriff einer mit Nordkorea verbundenen Gruppe zuschrieb.
- Das Protokoll eröffnete am 1. Oktober DFX-Recovery-Token-Ansprüche und -Einlösungen für betroffene Nutzer.
Laut dem Blockchain-Überwachungskonto Lookonchain überwies der mutmaßliche Exploiter 25.700 ETH über einen Zeitraum von zwei Stunden an den auf Privatsphäre ausgerichteten Mixing-Dienst und beendete damit rund zwei Monate gemeldeter Inaktivität. Der Tracker schätzte, dass die Wallets noch 81.864 ETH im Wert von etwa 195 Millionen Dollar kontrollierten.
Ein früheres Update von Onchain Lens identifizierte mindestens 13.400 ETH im Wert von rund 32 Millionen Dollar, die in Tornado Cash flossen. Der beigefügte Wallet-Schnappschuss zeigte verbleibende Vermögenswerte von etwa 224,59 Millionen Dollar.
Die unterschiedlichen Zahlen spiegeln Beobachtungen wider, die zu unterschiedlichen Zeitpunkten veröffentlicht wurden, und sollten nicht zu einer einzigen Transfersumme zusammengefasst werden. Die zugrunde liegenden Transaktionen und aktuellen Salden konnten anhand des öffentlich zugänglichen Arkham Wallet-Trackers nicht unabhängig bestätigt werden.
Drift-Exploiter nimmt Tornado-Cash-Transfers wieder auf
Die gemeldete Aktivität stellt eine weitere Phase der Bewegung von Vermögenswerten dar, die von Drift, einer auf Solana basierenden dezentralen Derivateplattform, entwendet wurden.
Tornado Cash bündelt Kryptowährungseinzahlungen und ermöglicht es, Gelder über separate Adressen abzuheben, was die direkte Rückverfolgung von Transaktionen erschwert. Das Senden von ETH an den Dienst belegt nicht, ob die Gelder in Bargeld umgewandelt, an einer Börse verkauft oder von einer anderen Partei wiedererlangt wurden.
Ein separates Überwachungskonto berichtete, dass eine Wallet am 20. Oktober 19.600 ETH im Wert von etwa 46,81 Millionen Dollar über 196 Transaktionen eingezahlt hat. Diese Zahl liegt zwischen den beiden Social-Media-Beobachtungen, wurde jedoch nicht mit einem vollständigen Transaktionsprotokoll abgeglichen.
Dasselbe Konto identifizierte eine Wallet mit der Endung 57c1, die Berichten zufolge seit April gestohlene Vermögenswerte gehalten hatte. Es schätzte, dass die Adresse nach ihren ersten ausgehenden Transaktionen noch 6.114,15 ETH im Wert von nahezu 14,6 Millionen Dollar hielt.
Diese walletspezifischen Zahlen können nicht den gesamten verbleibenden Vermögensbestand des Exploiters belegen, da die Ermittler mehrere Adressen verfolgen und sich die Guthaben im Zuge von Überweisungen ändern.
Der April-Drift-Exploit folgte auf Monate des Social Engineering
Der ursprüngliche Angriff fand am 1. April statt, als Angreifer durch Transaktionsgenehmigungen von Mitgliedern des Security Council die administrative Kontrolle über Drift erlangten.
In einer Untersuchung vom 9. April schätzte Chainalysis die Verluste auf 285 Millionen US-Dollar, was mehr als der Hälfte des gesamten im Protokoll gebundenen Werts entspricht.
Die Angreifer sollen monatelang die Rolle von Vertretern eines Handelsunternehmens gespielt und Beziehungen zu Drift-Mitwirkenden aufgebaut haben. Sie nutzten Solanas Funktion für dauerhafte Nonces (durable nonce) aus, die es vorab signierten Transaktionen ermöglicht, bis zur Ausführung gültig zu bleiben.
Nachdem sie ausreichend Multisignatur-Genehmigungen erhalten hatten, übernahmen die Angreifer die administrative Berechtigungen und genehmigten einen gefälschten Token namens CarbonVote Token, oder CVT, als Sicherheit.
Laut Chainalysis erzeugten die Angreifer Handelsaktivitäten rund um CVT, um eine künstliche Preishistorie zu schaffen. Anschließend nutzten sie den Token als Sicherheit, um echte Vermögenswerte, darunter Stablecoins und Kryptowährungen, abzuheben.
In der Folge veröffentlichte Drift eine detailliertere Aufschlüsselung der Vermögenswerte mit einer Gesamtsumme von etwa 295,7 Millionen US-Dollar an gestohlenen Token. Die Zahl weicht von der ursprünglichen forensischen Schätzung ab, da die Berichte unterschiedliche Bewertungen und Abgrenzungen verwenden.
Die Ermittler verfolgten Teile der Erlöse, die zwischen Solana und Ethereum bewegt wurden, wo der Angreifer ETH vor der zuletzt gemeldeten Mixing-Aktivität anhäufte.
Ermittler brachten den Angriff mit nordkoreanischen Akteuren in Verbindung
Sicherheitsforscher haben den Drift-Diebstahl mit einer mutmaßlichen nordkoreanischen Hacking-Operation in Verbindung gebracht.
In einer Bewertung vom 7. April identifizierte das Blockchain-Analyseunternehmen Elliptic Transaktionsmuster und Geldwäschetechniken, die mit früheren nordkoreabezogenen Angriffen übereinstimmen.
Drift berichtete später, dass eine Untersuchung des Cybersicherheitsunternehmens Mandiant den Vorfall der nordkoreanischen Bedrohungsgruppe UNC6862 zugeordnet hatte.
Die Plattform hatte den Angriff zuvor mit den Akteuren hinter dem Exploit von Radiant Capital im Oktober 2024 in Verbindung gebracht. Radiant erlitt bei diesem Vorfall Verluste von schätzungsweise etwa 50 Millionen US-Dollar.
Der Fall war Teil einer Reihe großer DeFi-Diebstähle im April. Wie crypto.news zuvor berichtete, überstiegen die Verluste durch Exploits im April 600 Millionen US-Dollar in den ersten 18 Tagen des Monats, einschließlich separater Angriffe auf Drift und KelpDAO.
Drift-Erholungsansprüche wurden im Oktober eröffnet
Während die Ermittler weiterhin die gestohlene Kryptowährung verfolgten, richtete Drift ein Programm zur Entschädigung betroffener Nutzer ein.
Am 1. Oktober eröffnete das Projekt Ansprüche und Einlösungen für DFX-Erholungstoken. In seiner Ankündigung erklärte es, dass jeder verifizierte USDT-Verlust einen betroffenen Nutzer zu einem DFX-Token berechtige.
Das Protokoll legte die Gesamtmenge der Token auf etwa 299,5 Millionen fest und erklärte, dass sein Erholungspool zum Start etwa 3,1 Millionen USDT enthielt.
Nutzer können DFX gegen verfügbare Poolmittel einlösen, die Token handeln oder sie behalten, während weitere Mittel angesammelt werden. Der Einlösungsbetrag hängt vom Poolguthaben und der ausstehenden Tokenmenge ab, sodass der Besitz eines DFX-Tokens keine sofortige Rückzahlung zum Nennwert garantiert.
Das Projekt erklärte, dass Erlöse aus seiner neu gestarteten Handelsplattform Velocity zum Erholungspool beitragen würden. Tether hat separat bis zu 127,5 Millionen US-Dollar Unterstützung zugesagt, während andere Partner bis zu 20 Millionen US-Dollar zugesagt haben.
In der Oktober-Ankündigung von Drift heißt es, dass durch Vollstreckungsmaßnahmen, Einfrieren oder andere Erholungsbemühungen zurückgewonnene Mittel dem Pool hinzugefügt werden. DFX-Ansprüche bleiben bis zum 1. Januar 2028 offen.
