Drift Protocol sagte, der Angriff vom 1. April auf seine Plattform sei das Ergebnis monatelanger Planung und Social Engineering gewesen.
Die dezentrale Börse brachte den Fall mit einer Gruppe in Verbindung, die Zeit damit verbrachte, Vertrauen bei Mitwirkenden aufzubauen, bevor sie bösartige Tools und Links versendete. Externe Schätzungen beziffern den Verlust auf etwa 280 Millionen US-Dollar.
Drift Protocol sagte, seine erste Überprüfung habe eine lange und organisierte Kampagne gegen die Plattform festgestellt. Das Team sagte, die Angreifer hätten während der Operation „organisatorische Unterstützung, Ressourcen und monatelange gezielte Vorbereitung“ gezeigt.
Die Börse sagte, der Kontakt habe etwa im Oktober 2025 begonnen. Laut Drift hätten sich Personen als Mitglieder einer quantitativen Handelsfirma ausgegeben und Mitwirkende auf einer großen Krypto-Konferenz angesprochen und behauptet, sie wollten sich in das Protokoll integrieren.
Drift sagte, die Gruppe habe sich in den folgenden sechs Monaten weiterhin mit Mitwirkenden auf mehreren Branchenveranstaltungen getroffen. Das Team sagte, die beteiligten Personen seien technisch versiert gewesen, hätten gewusst, wie Drift funktionierte, und schienen echte berufliche Hintergründe zu haben.
Dieser stetige Kontakt half der Gruppe, Vertrauen zu gewinnen. Drift sagte, die Angreifer hätten später bösartige Links und Tools, die mit Mitwirkenden geteilt wurden, verwendet, um Geräte zu kompromittieren, den Exploit auszuführen und Spuren ihrer Aktivitäten nach der Sicherheitsverletzung zu beseitigen.
Darüber hinaus sagte Drift, es habe „mittelhohe Sicherheit“, dass dieselben Akteure hinter dem Radiant Capital-Hack vom Oktober 2024 diesen Exploit durchgeführt hätten. Dieser frühere Angriff verursachte Verluste von etwa 58 Millionen US-Dollar und umfasste auch Malware, die zum Erlangen des Zugriffs auf interne Systeme verwendet wurde.
Radiant Capital sagte im Dezember 2024, dass ein nordkoreanisch ausgerichteter Hacker sich als ehemaliger Auftragnehmer ausgab und Malware über Telegram versendete. Radiant sagte, „diese ZIP-Datei“ habe sich später unter Entwicklern zur Überprüfung verbreitet und den Weg für das Eindringen geebnet.
Drift sagte, die Personen, die sich persönlich mit Mitwirkenden trafen, seien „keine nordkoreanischen Staatsbürger gewesen.“ Gleichzeitig sagte das Team, dass mit der DVRK verbundene Bedrohungsakteure oft Drittvermittler für persönlichen Kontakt und den Aufbau von Beziehungen einsetzen.
Die Börse sagte, sie arbeite nun mit den Strafverfolgungsbehörden und anderen Akteuren der Krypto-Branche zusammen, um eine vollständige Dokumentation des Angriffs vom 1. April zu erstellen.
Der Fall hat auch eine neue Warnung für Krypto-Firmen hinzugefügt, da Konferenzen und persönliche Treffen Bedrohungsgruppen die Möglichkeit geben können, Teams zu studieren, Vertrauen aufzubauen und spätere Angriffe vorzubereiten.
