Die Konferenz, der Phantom-Token, die blinde Signatur: Forensische Rekonstruktion des 285-Millionen-Dollar-Raubs bei Drift Protocol

Was folgt, ist weder eine Bedrohungsanalyse noch eine Best-Practice-Anleitung. Es ist eine forensische Rekonstruktion. Daten, Uhrzeiten und Adressen sind durch Post-Incident-Berichte von Chainalysis, Elliptic und dem Drift-Team selbst dokumentiert. Die Namen der Security-Council-Mitglieder wurden aus Gründen persönlicher Sicherheit weggelassen, aber der Akteursperimeter und die Ereignisfolge sind on-chain verifizierbar.

Forensische Executive Summary

• Opfer: Drift Protocol, Solana-DeFi-Leverage-Trading-Plattform, >50% des TVL in unter drei Stunden verloren.
• Attribution: UNC4736 (DPRK/RGB-Cluster), gleiche operative Signatur wie Radiant-Capital-Hack Oktober 2024; von Mandiant konsolidierte Attribution.
• Primärvektor: prolongiertes Social Engineering (6 Monate) gegen Security-Council-Mitglieder, kombiniert mit Ausnutzung des Solana Durable-Nonce-Features, um blinde Signaturen auf Privilegien-Eskalations-Transaktionen zu erhalten.
• Beute: 285 Millionen Dollar in 18 Token-Typen, getauscht in USDC und innerhalb von 23 Minuten nach Übernahme nach Ethereum gebridget.
• Übernahmefenster: 1 Sekunde (16:05:18 → 16:05:19 UTC, 1. April 2026). Drainagefenster: 2 Stunden 26 Minuten. Vorbereitungsfenster: ~180 Tage.
• Downstream-Impact: mindestens 20 Solana-Protokolle mit Störung, operativer Pause oder Sekundärverlusten.
• Wiederherstellung: Class Action von Gibbs Mura am 15. April 2026 eingereicht; materielle Rückgewinnung unter 10% unwahrscheinlich.

T-180d / Herbst 2025 — Der erste Kontakt

Szene: eine Krypto-Konferenz in Asien im Herbst 2025. Eine Gruppe von Individuen präsentiert sich Drift-Contributors und Security-Council-Mitgliedern als quantitative Trading-Firma, die an einer strategischen Partnerschaft interessiert ist. Der Pitch ist glaubwürdig: eigene Fonds zum Investieren, dokumentierte Market-Making-Strategie, spezifisches Interesse an Drift-Vaults als Ausführungsort.

In den folgenden Monaten setzt sich der Kontakt über Telegram und persönliche Treffen fort. Die Angreifer fragen nach nichts Verdächtigem: Sie beteiligen sich an technischen Diskussionen, kommentieren Protokollvorschläge. Zwischen Januar und Februar 2026 deponieren sie über eine Million Dollar echt in Drift-Vaults als "Partnerschafts-Anfangskapital". Es ist echtes Geld aus sauberen Wallets. Kein Fallenstrick im strengen Sinne, sondern eine Investition in Glaubwürdigkeit.

T-21d / 10.-11. März 2026 — Der Tornado-Cash-Abzug

21 Tage vor der Übernahme schließt die Vertrauensaufbau-Phase und die operative Phase beginnt. Angreifer ziehen Gelder von Tornado Cash ab, um Angriffsinfrastruktur zu finanzieren. Der Tornado-Abzug ist das erste unmissverständliche On-Chain-Signal einer laufenden Operation.

T-20d / 12. März 2026 — Geburt des Phantom-CVT-Tokens

Am Folgetag erstellen die Angreifer einen SPL-Token auf Solana: CarbonVote Token (CVT), Gesamtversorgung 750M, 80% unter Angreiferkontrolle. Sie säen einen Liquiditäts-Pool von ~500$ und starten Wash-Trading, um den On-Chain-Preis des CVT bei einem Dollar zu stabilisieren. Der Preis-Oracle, den Drifts Kollateral-Logik später konsultieren wird, hat keine Möglichkeit, echten Preis von wash-getradetem zu unterscheiden.

T-9d → T-2d / 23.-30. März 2026 — Blinde Signaturen und Solanas Durable-Nonce-Feature

Hier kommt der technische Vektor ins Spiel, der diesen Fall nicht mechanisch auf andere Blockchains replizierbar macht: Solanas Durable-Nonce-Feature. Es erlaubt das Vor-Signieren von Transaktionen zur Ausführung zu einem undefinierten zukünftigen Moment. Zwischen dem 23. und 30. März präsentieren Angreifer den Drift-Security-Council-Mitgliedern eine Reihe zu signierender Transaktionen. Mindestens zwei gültige Signaturen legitimer Mitglieder wurden auf Transaktionen gesetzt, deren realer Payload eine Instruktion zur Übertragung administrativer Privilegien an die Angreifer-Adresse H7PiGqqUaanBovwKgEtreJbKmQe6dbq6VTrw6guy7ZgL enthielt.

Die Signierer wurden nicht gehackt, klickten keine bösartigen Links an, verloren ihre Schlüssel nicht. Sie signierten mit ihren legitimen Schlüsseln Transaktionen, deren Inhalt nicht dem entsprach, was sie glaubten. Es ist klassisches Social Engineering — "bitte hier unterschreiben" — transponiert in einen technischen Kontext, wo "hier" eine Byte-Kette ist, die kein Mensch mental dekodiert.

T-6d / 26. März 2026 — Migration zu 2/5-Multisig ohne Timelock

Sechs Tage vor Übernahme migriert Drift Protocol sein Security Council zu einem neuen Multisig mit 2-von-5-Schwelle und null Timelock. Die Migration wird als Governance-Verbesserung angekündigt. In einer idealen Welt ist 2/5 ohne Timelock eine flexible Konfiguration; in einer realen Welt, in der mindestens zwei Signierer seit sechs Monaten Ziel einer Geheimdienstoperation sind, ist es eine sich schließende Falle.

T-0 / 1. April 2026 — 16:05:18 UTC — Eine Sekunde, zwei Transaktionen

Am 1. April 2026 um 16:05:18 UTC wird die erste vorsignierte Transaktion ausgeführt: Vorschlag zur Übertragung des Administrator-Schlüssels. Eine Sekunde später, um 16:05:19 UTC, genehmigt und führt die zweite Transaktion die Übertragung aus. Am Ende dieser Sekunde liegt die administrative Kontrolle nicht mehr bei den legitimen Contributors. Sie liegt bei den Angreifern. Die Vault-Abhebungslimits werden entfernt, Kollateral-Whitelist-Berechtigungen erweitert, um CVT einzuschließen; die Drainage-Pipeline ist geladen.

T+0h → T+2h26m / 16:05 - 18:31 UTC — Die Vault-Drainage

Die Angreifer hinterlegen 500 Millionen CVT — am 12. März erstellte Phantom-Token, vom manipulierten Oracle heute zu einem Dollar pro Einheit bewertet — als Kollateral in Drift-Vaults. Sie nutzen dieses Kollateral, um 285 Millionen Dollar in realen Assets abzuheben.

• JLP — 159,3 Millionen Dollar
• USDC — 71,4 Millionen Dollar
• cbBTC — 11,3 Millionen Dollar
• USDT — 5,6 Millionen Dollar
• WETH — 4,7 Millionen Dollar
• Acht weitere Token in Restbeträgen — zusammen ~10,8 Millionen Dollar

Zwei Stunden und 26 Minuten nach der Übernahme, um 18:31 UTC, ist die Drainage abgeschlossen. Das Drift-Team friert die Vaults um 18:47 UTC ein, 16 Minuten nach Ende des Raubs. Die menschliche Reaktion war unter den Umständen schnell; nicht schnell genug, weil der Angreifer das Ausführungsfenster kürzer als die typische menschliche Reaktionszeit eines global verteilten Teams designt hatte.

T+23m nach Übernahme — Die Brücke nach Ethereum

23 Minuten nach Erlangung der Kontrolle beginnen die Angreifer, Gelder aus Solanas Gerichtsbarkeit zu bewegen. Assets werden über Solana DEX-Aggregatoren in USDC getauscht und dann über Bridges nach Ethereum gebridget. Auf Ethereum werden die Gelder weiter in ETH getauscht und über 15+ Zwischenwallets in einem Dispersionsmuster verteilt, das Elliptic als typisch für DPRK-Cluster-Operationen identifiziert.

Forensische Analyse: Warum die DPRK-Attribution hält

Die Attribution an UNC4736 / DPRK ruht auf drei konkurrenten Beinen. Erstes Bein: Wallet-Clustering. Elliptic identifiziert teilweise Überschneidungen zwischen Wallets für die Drift-Operation und Wallets aus dem Radiant-Capital-Hack Oktober 2024, von Mandiant "high confidence" an UNC4736 attribuiert.

Zweites Bein: TTPs. Das Muster "prolongiertes Social Engineering gegen DeFi-Protokoll-Contributors, gefolgt von Exploit eines legitimen Governance-Features" wurde in den letzten 18 Monaten mindestens sechsmal in DPRK-attributierten Operationen beobachtet.

Drittes Bein: Frequenz und Skala. Elliptic dokumentiert 18 DPRK-attributierbare Akte im Jahr 2026 mit kumulativ über 300 Millionen Dollar gestohlen. Drift ist das größte Einzelereignis der Serie.

Die drei Fragen, die jedes Team mit privilegiertem Zugriff sich stellen sollte

Frage 1: Wie lange würde Ihre Organisation einem geduldigen Gegenüber standhalten?

Der Drift-Angriff nutzte keinen Solana-Bug noch eine Drift-Schwachstelle aus: Er nutzte sechs Monate angesammelten Vertrauens. Fragen Sie sich ehrlich: Welche Individuen in Ihrer Organisation können Hochwirkungsoperationen autorisieren? Wie viele würden über sechs Monate eine echte Beziehungsaufbau-Operation von einer gut durchgeführten Geheimdienstoperation unterscheiden?

Frage 2: Welcher Prozentsatz der von Ihren Signierern autorisierten Signaturen wird semantisch verifiziert?

Wenn in Ihrer Organisation Multi-Signer-Mechanismen existieren — für Krypto-Transaktionen, Deploy-Genehmigungen, Bank-SCA-Autorisierungen —, fragen Sie: Wenn ein Signierer signiert, was sieht er? Einen Hash? Oder die lesbare Darstellung der Operation, die er autorisiert? Wenn das Erste, arbeiten Sie mit blinden Signaturen.

Frage 3: Welche "Reibungsreduzierungs"-Änderungen haben Sie in den letzten 12 Monaten vorgenommen?

Drifts Migration zu 2/5-Multisig ohne Timelock wurde als operative Agilitätsverbesserung angekündigt. Aus Sicht eines Angreifers, der bereits sechs Monate damit verbracht hatte, zwei Signierer kognitiv zu kompromittieren, war es ein Geschenk. Führen Sie die Übung durch: Listen Sie alle Änderungen der letzten 12 Monate für "Geschwindigkeit", "Effizienz", "Agilität" auf. Für jede fragen Sie: Erhöht oder verringert dies den erwarteten Ertrag eines bereits positionierten Angreifers?

Warum dieser Fall nicht-krypto italienische Organisationen angeht

Die drei operativen Vektoren — prolongierter Vertrauensaufbau, blinde Signaturen auf opaken Payloads, Governance-Änderungen zur Reduzierung von Erkennungsfenstern — sind isomorph zu nicht-krypto Szenarien, die täglich in italienischen Organisationen auftreten. Prolongierter Vertrauensaufbau ist genau das High-End-Business-Email-Compromise-Muster. Blinde Signaturen sind genau das Muster von SAP-, Oracle-Workflow-Genehmigungen. Reibungsreduzierung ist genau das Muster von Cloud-Migrationen, die Zwischenkontrollen "zur Beschleunigung des Deployments" entfernen.

Juristisches Postskriptum: Die Gibbs-Mura-Class-Action

Am 15. April 2026 reichte die Anwaltskanzlei Gibbs Mura eine Class Action gegen Drift Protocol im Namen geschädigter Nutzer ein. Die Class Action wird die verlorenen Gelder nicht materiell zurückgewinnen, aber einen wichtigen Präzedenzfall zur zivilrechtlichen Haftung von DeFi-Protokoll-Teams gegenüber ihren Nutzern setzen, symmetrisch zur Post-2008-Rechtsprechung zur fahrlässigen Risikomanagement-Haftung traditioneller Banken.

Fazit: Eine Sekunde, die sechs Monate gekostet hat

Die Solana-Logdatei für den 1. April 2026 enthält zwei Zeilen zwischen 16:05:18 und 16:05:19 UTC. Zwei Zeilen, eine Sekunde, 285 Millionen Dollar. Das System hat technisch genau das getan, wofür es designt war. Dies ist der bestürzendste Teil der forensischen Rekonstruktion: Es gibt keinen Moment, in dem etwas kaputtging. Das System funktionierte perfekt, während es geleert wurde.

Die Lektion ist nicht technisch, sondern epistemisch. Wir sind daran gewöhnt, Sicherheit als Verhinderung anomaler Ereignisse zu denken. Der Drift-Fall zeigt, dass die gefährlichste Klasse moderner Angriffe keine Anomalie erzeugt: Sie erzeugt technisch legitime Operationen, getragen von auf menschlicher Ebene kompromittierten sozialen Prozessen. Verteidigung gegen diese Klasse kann nicht durch Werkzeuge erreicht werden; nur durch Überdenken, was "legitime Operation" bedeutet. Sechs Monate wären hier nicht genug gewesen.