Drift Protocol um über 280 Mio. US-Dollar gehackt: Größter Solana-DeFi-Angriff 2026

Drift Protocol, eines der führenden Derivate-Protokolle im Solana-Ökosystem, ist am 1. April Ziel eines laufenden Angriffs geworden. Nach Angaben des Teams wurden Ein- und Auszahlungen auf der Plattform umgehend ausgesetzt. In dem Vorfall wurden JLP-bezogene Vermögenswerte im Wert von über 280 Mio. US-Dollar entwendet. Brisant: Nur eine Woche zuvor hatte Drift sein Multisig-Setup auf 2/5 Signaturen ohne Time-Lock umgestellt – Transaktionen konnten damit sofort ausgeführt werden. Mehrere Beobachter schließen Insider-Beteiligung nicht aus. Ablauf laut ersten Analysen: 11 Transaktionen, Treasury in Minuten leer Erste Ermittlungen deuten auf Privilegien-Eskalation und eine Schwachstelle bei der Multisig-Ausführung hin. SlowMist-Gründer Yu Xian schrieb, Drift habe vor einer Woche auf ein 2/5-Multisig ohne Time-Lock migriert, bestehend aus einer alten und vier neuen Signatur-Wallets. Der Angreifer habe anschließend Admin-Rechte übernommen, gefälschte CVT-Token geprägt, Oracles manipuliert, Schutzmechanismen deaktiviert und die Pool-Assets abgezogen. On-Chain-Daten zeigen: Zunächst wurden 41,72 Mio. Jupiter Liquidity Tokens (JLP) im Gegenwert von rund 155,6 Mio. US-Dollar gekauft. Danach folgten schnelle Abflüsse großer Beträge in USDC und weiteren Tokens. Ein Teil der Mittel wurde per Cross-Chain-Bridge nach Ethereum transferiert und dort zum Kauf von etwa 19.913 ETH (rund 42,6 Mio. US-Dollar) eingesetzt. Insgesamt wurden etwa 11 große Transfers beobachtet, darunter: - 51,61 Mio. USDC (ca. 51,62 Mio. US-Dollar) - 125.000 WSOL (ca. 10,45 Mio. US-Dollar) - 164.000 cbBTC (ca. 11,29 Mio. US-Dollar) Als zugehörige Hacker-Adresse wird genannt: HkGz4KmoZ7Zmk7HN6ndJ31 UJ1qZ2qgwQxgVqQwovpZES. Innerhalb weniger Minuten fiel Drifts Treasury laut On-Chain-Tracking von 309 Mio. US-Dollar auf 41 Mio. US-Dollar. Gegen 3 Uhr meldete Drift den Vorfall offiziell und kündigte eine koordinierte Reaktion mit mehreren Security-Firmen, Cross-Chain-Bridges und Börsen an. Ursache noch offen – kompromittierter Admin-Schlüssel gilt als Hauptverdacht Eine abschließende Ursachenfeststellung gibt es bislang nicht. PeckShield bewertet den Vorfall vorläufig so, dass der Admin-Key von Drift wahrscheinlich kompromittiert wurde und der Angreifer per privilegiertem Zugriff auf die Treasury zugreifen konnte. Diese Einordnung spricht eher für Privilegien-Missbrauch als für einen klassischen Smart-Contract-Code-Bug. Aus der Community kommen zudem Hinweise, der Angreifer könne Collateral-Parameter manipuliert haben, um illiquide Assets künstlich aufzuwerten, darauf basierend hochwertige Tokens zu leihen und so Mittel aus dem Vault abzuziehen – ein Muster, das an frühere Governance- und Parameter-Angriffe im DeFi erinnert. Weitere Möglichkeiten wie Smart-Contract-Schwachstellen oder Oracle-Manipulationen werden weiter geprüft. Auffällig ist auch die Historie der Solana-Wallet: Sie wurde in der Vorwoche zunächst mit nur 1 SOL finanziert und erhielt zuvor einen kleinen Test-Transfer von etwa 2,52 US-Dollar aus der Drift-Treasury. Das deutet darauf hin, dass Zugriffsrechte vor dem Hauptangriff getestet wurden. Zudem sollen Mittel einer verknüpften Wallet von Backpack stammen, was potenziell KYC-Spuren hinterlassen könnte. Marktreaktion: DRIFT bricht ein, SOL kurzzeitig unter Druck Nach Bekanntwerden des Hacks gerieten DRIFT und SOL unter Verkaufsdruck. Der Drift-Token DRIFT fiel in den vergangenen 24 Stunden um über 38% auf etwa 0,042 US-Dollar. Vom Allzeithoch bei 2,60 US-Dollar (November 2024) entspricht das einem kumulierten Rückgang von über 98%. SOL rutschte zwischenzeitlich unter 80 US-Dollar und liegt bei einem 24-Stunden-Minus von nahezu 5% zuletzt bei 78,60 US-Dollar. Die Phantom-Wallet blendet beim Zugriff auf Drift proaktiv eine Risikowarnung ein. Zudem erklärten die solana-treasury-nahen Unternehmen Forward Industries und DeFi Development Corp, ihre Mittel seien nicht betroffen. Größter Solana-DeFi-Hack 2026 – zahlreiche Projekte melden Auswirkungen Laut einer Zusammenstellung des Krypto-KOL @lugeweb3 zählen zu den Projekten mit klaren Verlusten oder spürbaren Auswirkungen: - @piggybank_fi: 106.000 US-Dollar entwendet; das Team stellt Liquidität zur Kompensation bereit. - @DeFiCarrot: Boost und Turbo nicht betroffen; System insgesamt beeinträchtigt, Mint-/Swap-Funktionen vorübergehend pausiert. - @uselulo: Klassische Einlagen könnten betroffen sein (Protected/Enhanced Deposits nicht betroffen). - @reflectmoney: Minting und Redemption von USDC+ und USDT+ eingefroren; Borrowing mit Drift-Markets ausgesetzt. - @ranger_finance: rgUSD Ein- und Auszahlungen pausiert; 900.000 US-Dollar der 14,6 Mio. US-Dollar TVL auf Drift eingefroren. - @elementaldefi: In Drift hinterlegte SOL- und Lend-Mittel eingefroren (USDC und ONYC sicher). - @TradeNeutral: Alle Drift-bezogenen Vaults (JLP, BTC/ETH/SOL Superstaking, Hyper JLP etc.; TVL 3,6 Mio. US-Dollar) potenziell betroffen; Ein- und Auszahlungen pausiert. - @xplaceapp: Ein- und Auszahlungen nicht verfügbar; Credit-Mode und Lending deaktiviert. - @GetPyra: Mittel betroffen; alle Kartenfunktionen ausgesetzt. - @ExponentFinance: USDC+-bezogener Handel ausgesetzt. - @fusewallet: Einzahlungen vorübergehend pausiert. - @perena: Stablecoins nicht betroffen, Redemptions pausiert; der JLP Vault auf Neutral Trade (512.000 US-Dollar TVL) könnte betroffen sein. Als ausdrücklich nicht betroffen wurden genannt: @JupiterExchange @kamino @UnitasLabs @onrefinance @solflare @hylo_so @MarinadeFinance @synatraxyz @solsticefi @defidevcorp @jito_sol @s2> MeteoraAG @sanctumso @wormhole. Gemessen an der Größenordnung könnte der Vorfall zu den größten DeFi-Sicherheitsereignissen im Solana-Ökosystem seit dem Wormhole-Bridge-Angriff zählen. Vor dem Angriff lag Drifts TVL bei rund 550 Mio. US-Dollar. Die direkten Verluste werden auf bis zu 285 Mio. US-Dollar beziffert und markieren damit den bislang größten DeFi-Schaden im Jahr 2026. Zum Vergleich: Im März summierten sich DeFi-Angriffsverluste über 20 größere Vorfälle auf rund 52 Mio. US-Dollar. Der Fall unterstreicht erneut, dass neben Code-Audits vor allem operative Sicherheit entscheidend bleibt. Sollte sich ein kompromittierter Administrator-Private-Key als Ursache bestätigen, wäre das ein weiterer Beleg dafür, dass menschliche Faktoren häufig das schwächste Glied in der On-Chain-Sicherheitskette sind. Hinweis an Nutzer: Bis Drift einen vollständigen Untersuchungsbericht veröffentlicht und eine klare Lösung kommuniziert, sollten keine Mittel eingezahlt und keine Interaktionen mit dem Protokoll vorgenommen werden.