Angreifer bei Drift Protocol zieht 285 Mio. US-Dollar ab und kauft 130.262 ETH
Nach dem Angriff auf Drift Protocol setzt der mutmaßliche Exploiter offenbar auf weitere Ethereum-Käufe. Wie On-Chain-Daten von Lookonchain zeigen, tauschte die Adresse innerhalb des vergangenen Tages USDC in Millionenhöhe gegen insgesamt 130.262 ETH – je nach Bewertung rund 265 bis 267 Mio. US-Dollar. Zuletzt seien weitere 2,46 Mio. USDC für den Kauf von 1.195 ETH eingesetzt worden.
Ethereum notierte zum Zeitpunkt der Berichterstellung bei 2.038 US-Dollar und gab im gleichen Zeitraum laut CoinGecko um rund 4% nach. Der Drift-Token DRIFT rutschte auf 0,049 US-Dollar und verlor seit dem Angriff mehr als 30%.
Erste Hinweise auf den Vorfall gab es am 1. April, als Helius-CEO Mert Mumtaz öffentlich vor einer möglichen Ausnutzung des Protokolls warnte. Kurz darauf meldete PeckShield ungewöhnliche Abflüsse bei mehr als 15 Token und bestätigte damit einen größeren Exploit. Die anfängliche Schadensschätzung lag bei rund 270 Mio. US-Dollar. Etwa zwei Stunden später räumte das Drift-Team den Vorfall auf X ein, stoppte Ein- und Auszahlungen und koordinierte die Reaktion mit Security-Firmen, Bridges und Börsen.
In einem Update erklärte Drift, der Angriff habe die menschliche und prozessuale Ebene des Security-Council-Multisigs ins Visier genommen. Diese 2-von-5-Struktur steuert zentrale Admin-Rechte auf Protokollebene. Der Angreifer habe sich demnach über einen neuartigen Ansatz mit "durable nonces" unbefugten Zugriff verschafft und die administrativen Befugnisse des Security Councils in kurzer Zeit übernommen.
Vorbereitung: Drift zufolge wurde die Operation über mehrere Wochen vorbereitet. Bereits ab dem 23. März seien auf Solana Durable-Nonce-Accounts angelegt worden, um vorab signierte Transaktionen zeitversetzt ausführen zu können. Mit Signaturen von mindestens zwei der fünf Mitglieder des Security Councils – mutmaßlich durch Social Engineering oder eine irreführende Darstellung der Transaktionen – habe der Angreifer genug Autorisierung gesammelt, um Admin-Kontrolle zu erlangen. Am 23. März seien vier Durable-Nonce-Accounts eingerichtet worden, zwei davon mit bestehenden Security-Council-Mitgliedern verknüpft, zwei unter Kontrolle des Angreifers. Nach einer geplanten Migration des Security Councils am 27. März habe der Angreifer am 30. März einen weiteren Durable-Nonce-Account erstellt, der an ein neu ernanntes Multisig-Mitglied gekoppelt gewesen sei.
Ausführung: Der Exploit sei am 1. April erfolgt – kurz nachdem das Team eine legitime Testauszahlung aus dem Insurance Fund durchgeführt hatte. Der Angreifer habe zwei vorab signierte Durable-Nonce-Transaktionen mit nur vier Slots Abstand ins Solana-Netzwerk eingespeist. Die erste Transaktion habe einen bösartigen Admin-Transfer erstellt und freigegeben, die zweite habe ihn bestätigt und ausgeführt. Mit voller Kontrolle über Protokollrechte habe der Angreifer ein manipuliertes Asset eingebracht, alle vordefinierten Abhebungslimits entfernt und in etwa 31 Transaktionen über rund 12 Minuten Mittel abgezogen. Betroffen seien Einlagen in Borrow-and-Lend-Pools, Vault-Deposits und für den Handel gehaltene Assets. Drift betonte, dass der Insurance Fund sowie DSOL-Token, die nicht direkt auf der Plattform hinterlegt waren – darunter Assets, die an den Drift-Validator gestakt wurden – nicht betroffen seien.
Marktfolgen: Vor dem Angriff lag der Total Value Locked (TVL) von Drift Protocol laut DeFiLlama bei über 550 Mio. US-Dollar und machte das Projekt zu einer der größten DeFi-Anwendungen auf Solana. In der Spitze habe der TVL 1,3 Mrd. US-Dollar erreicht. Nach dem Vorfall fiel der TVL auf rund 247 Mio. US-Dollar. DRIFT, der vor der Kompromittierung über 0,07 US-Dollar gehandelt wurde, sank auf etwa 0,04 US-Dollar – ein Minus von 42% binnen 24 Stunden. Die Marktkapitalisierung schrumpfte von rund 41 Mio. auf 25 Mio. US-Dollar. Zudem seien etwa 11 nachgelagerte Protokolle betroffen; Ranger Finance habe eine geschätzte Exponierung von 900.000 US-Dollar.
Hintergrund: Drift wurde 2021 gegründet und positioniert sich als Alternative zu zentralisierten Börsen, da der Handel vollständig on-chain auf Solana abläuft und Nutzer ihre Mittel selbst verwahren. Im September 2024 nahm das Unternehmen in einer Series-B-Runde 25 Mio. US-Dollar auf. Die Finanzierung wurde von Multicoin Capital angeführt, beteiligt waren zudem Blockchain Capital, Primitive Ventures und Folius Ventures. Mitgründerin Cindy Leow verfolgt das Ziel, Drift als "Robinhood of crypto" zu etablieren – mit einem integrierten Angebot aus Spot- und Derivatehandel sowie einem Prediction Market.
