Drift-Hacker-Vorfall Erste Untersuchung: Verdacht auf von nordkoreanischen Gruppen geplante halbjährige Infiltrationsaktion

BlockBeats Nachricht, 5. April, laut offiziellen Angaben erklärte Drift, dass das Unternehmen mit Strafverfolgungsbehörden, forensischen Aufklärungs-Partnern und dem Ökosystem-Team zusammenarbeitet, um den Hackerangriff zu untersuchen, der am 1. April 2026 stattgefunden hat. Derzeit sind alle Protokollfunktionen pausiert, die betroffenen Wallets wurden aus dem Multi-Sig entfernt und die Angreiferadresse wurde auf der Handelsplattform sowie in der Cross-Chain-Brücke markiert. Das Sicherheitsunternehmen Mandiant ist bereits in die Untersuchung eingestiegen. Erste Ergebnisse zeigen, dass es sich bei dem Angriff nicht um ein kurzfristiges Verhalten handelt, sondern um eine über etwa 6 Monate andauernde Informations- und Spionageinfiltrationsaktion mit organisiertem Hintergrund und ausreichenden Ressourcen zur Unterstützung. Bereits im Herbst 2025 hatten eine Gruppe von Personen, die sich als Mitarbeiter quantitativer Handelsunternehmen ausgaben, Drift-Teammitglieder auf mehreren internationalen Krypto-Konferenzen kontaktiert und danach in den folgenden Monaten fortlaufend Beziehungen aufgebaut, Kooperationen aufgenommen und sogar mehr als 1 Million US-Dollar in der Plattform investiert, um Glaubwürdigkeit aufzubauen.

Die Untersuchung ergab, dass diese Personen über professionelle Hintergründe und technische Fähigkeiten verfügen. Sie kommunizierten langfristig über Telegram-Gruppen mit dem Team, um Handelsstrategien und Produktintegration abzustimmen, und trafen die wichtigsten Mitwirkenden mehrfach bei persönlichen Treffen. Nach dem Angriff im April 2026 wurden die relevanten Chatverläufe und die Schadsoftware schnell gelöscht. Drift ist der Ansicht, dass der Einbruch möglicherweise über mehrere Wege umgesetzt wurde, darunter das Verleiten von Teammitgliedern zum Klonen eines Repositorys mit bösartigem Code oder das Herunterladen einer Test-App, die als Wallet-Produkt getarnt war. Darüber hinaus könnte der Angriff auch Schwachstellen in VSCode und Cursor ausgenutzt haben, vor denen die Sicherheits-Community zu dieser Zeit bereits gewarnt hatte, um bösartigen Code auszuführen, ohne dass die Nutzer dies bemerkten.

Auf Grundlage der Analyse von Geldflüssen und Verhaltensmustern on-chain schätzt das Sicherheitsteam vorläufig, dass die Aktion mit der Bedrohungsorganisation im Zusammenhang steht, die hinter dem Angriff auf Radiant Capital im Jahr 2024 steht. Diese Organisation wird einem hackerischen Team mit nordkoreanischem Hintergrund zugeschrieben (z. B. UNC4736 / AppleJeus). Dabei ist zu beachten, dass die Personen, die vor Ort in Kontakt standen, nicht nordkoreanischer Herkunft waren, sondern Dritte als Vermittler fungierten. Drift erklärte, dass die Angreifer ein vollständiges und glaubwürdiges System von Identitäten aufgebaut hatten, einschließlich beruflicher Laufbahn und öffentlich zugänglicher Hintergründe, um durch langfristigen Kontakt Vertrauen zu gewinnen. Derzeit läuft die Untersuchung noch, und das Team ruft die Branche dazu auf, die Gerätesicherheitsprüfungen und das Berechtigungsmanagement stärker zu verstärken.