Drift Protocol gehackt – 285 Millionen Dollar erbeutet: Was lief schief und wie geht es weiter?

Am 1. April 2026 wurde das auf Solana basierende Drift-Protokoll um rund 285 Millionen US-Dollar gehackt. Dies war der bis dato größte DeFi-Hack des Jahres. Der Angreifer nutzte eine mehrwöchige Strategie mit einem gefälschten Token, manipulierten Kursdaten und vorab signierten Transaktionen, um die Kontrolle über das Protokoll zu erlangen und anschließend innerhalb von weniger als zwölf Minuten die Gelder der Nutzer zu stehlen.

Was geschah am 1. April mit dem Drift-Protokoll?

Der Angriff kam nicht aus dem Nichts. Laut dem Drift Protocol-Team war er das Ergebnis tagelanger Vorbereitung, die erst sichtbar wurde, als der Schaden bereits angerichtet war.

Der Gesamtwert der gebundenen Vermögenswerte (TVL) von Drift sank von rund 550 Millionen US-Dollar auf unter 300 Mio. US$ in weniger als einer Stunde. Der DRIFT-Token fiel während des Vorfalls um mehr als 40 %. Sicherheitsfirma PeckShield bestätigt Der Verlust überstieg 285 Millionen US-Dollar und entsprach damit mehr als 50 % des TVL des Protokolls zu diesem Zeitpunkt.

Der Zeitpunkt sorgte sofort für Verwirrung. Das Team von Drift postete auf X, um klarzustellen, dass die Situation ernst war: „Dies ist kein Aprilscherz. Seien Sie bis auf Weiteres vorsichtig.“

Gemäß dem Protokoll wurden mit Beginn der Untersuchung alle Ein- und Auszahlungen ausgesetzt.

Wie konnte der Angreifer die Sicherheitslücke Tage im Voraus einrichten?

Laut Berichten verbrachte der Angreifer mindestens neun Tage damit, die Voraussetzungen für den Diebstahl zu schaffen, bevor er ihn ausführte.

Die gefälschte Token- und die Orakelfalle

Der Angreifer erstellte ein Token namens CarbonVote Token (CVT)Sie prägten etwa 750 Millionen Einheiten. Sie starteten einen Liquiditätspool auf Raydium mit nur 500 US-Dollar und nutzten Wash-Trading – den Kauf und Verkauf des Tokens zwischen ihren eigenen Wallets –, um einen gefälschten Preisverlauf nahe 1 US-Dollar zu erzeugen. Im Laufe der Zeit übernahmen On-Chain-Preis-Orakel diesen künstlichen Preis und behandelten CVT als legitimen Vermögenswert im Wert von etwa 1 US-Dollar pro Token.

Ein Orakel ist ein Dienst, der externe Preisdaten in einen Smart Contract einspeist. Wenn einem Orakel manipulierte Daten zugeführt werden, kann der Smart Contract nicht erkennen, dass der Preis gefälscht ist.

Der dauerhafte Pance-Angriff

Unabhängig davon nutzte der Angreifer eine Solana-Funktion namens „Durable Nonces“, um Transaktionen vorab zu signieren und deren Ausführung zu verzögern. Ein Durable Nonce ersetzt den normalen Ablaufmechanismus von Transaktionen und ermöglicht es, eine signierte Transaktion aufzubewahren und zu einem beliebigen Zeitpunkt in der Zukunft zu übermitteln.

Entdecken Sie vielversprechende Projekte...

Vielversprechende Projekte...

(Werbung)

Artikel wird fortgesetzt...

Die Zeitleiste:

• 23. März: Es wurden vier dauerhafte Nonce-Konten erstellt. Zwei davon waren mit echten Mitgliedern des Drift Security Council Multisig verknüpft. Zwei wurden vom Angreifer kontrolliert.
• 27. März: Drift hat seinen Sicherheitsrat aufgrund einer geplanten Mitgliederänderung migriert. Der Angreifer erlangte auch Zugriff auf zwei Unterzeichner im aktualisierten Multisig-System.
• 30. März: Für ein Mitglied des aktualisierten Multisignatur-Netzwerks wurde ein neues dauerhaftes Nonce-Konto erstellt.
• 1. April: Der Angreifer führte zwei vorab signierte, dauerhafte Nonce-Transaktionen im Abstand von vier Zeitschlitzen aus und vollzog so eine Administratorübertragung, die ihm die Kontrolle über Berechtigungen auf Protokollebene verschaffte.

Nachdem der Angreifer sich Administratorzugriff verschafft hatte, listete er CVT als gültigen Markt auf Drift auf, entfernte alle Auszahlungslimits, hinterlegte Hunderte Millionen CVT-Token als Sicherheit und führte dann in etwa 12 Minuten 31 schnelle Auszahlungen durch, die reale Vermögenswerte wie USDC, JLP, SOL, Wrapped BTC, Jito (JTO) und den Memecoin Fartcoin (FRT) abzogen.

Drift bestätigte, dass der Angriff nicht auf einen Fehler in seinen Smart Contracts oder auf kompromittierte Seed-Phrasen zurückzuführen war. Stattdessen handelte es sich um „unautorisierte oder falsch dargestellte Transaktionsgenehmigungen, die vor der Ausführung eingeholt wurden“.

Sicherheitsüberprüfungen durch Trail of Bits im Jahr 2022 und ClawSecure im Februar 2026 hatten Drift zwar für unbedenklich erklärt, doch keine der beiden Überprüfungen erkannte die Markteinführung von CVT oder die Governance-Änderungen, die den Angriff ermöglichten.

Wohin sind die gestohlenen Gelder geflossen?

Nach dem erfolgreichen Ausnutzen der Sicherheitslücke beeilte sich der Angreifer, die Spuren zu verwischen.

Die gestohlenen Vermögenswerte wurden in USDC und SOL umgewandelt und anschließend mithilfe des Cross-Chain Transfer Protocol (CCTP) von Circle von Solana zu Ethereum transferiert. Auf Ethereum tauschte der Angreifer die Gelder in ETH um. Laut On-Chain-Tracking erbeutete der Angreifer letztendlich 129,066 ETH, was einem Wert von etwa … entspricht. 273 Mio. US$ an der Zeit.

Der Angreifer zahlte außerdem SOL sowohl bei HyperLiquid als auch bei Binance ein, was die Rückverfolgung über mehrere Plattformen und Wallets hinweg erschwerte.

Hat Circle genug getan, um den Diebstahl zu verhindern?

On-Chain-Ermittler ZachXBT öffentlich kritisiert Circle wies nach dem Exploit darauf hin, dass große Mengen gestohlener USDC während der US-Geschäftszeiten von Solana zu Ethereum transferiert wurden, ohne eingefroren zu werden.

ZachXBT stellte dieser Reaktion die jüngste Entscheidung von Circle gegenüber, 16 unabhängige Firmen-Hot-Wallets in einem versiegelten US-Zivilverfahren einzufrieren, und argumentierte, dass Circle sowohl die Möglichkeit als auch den Präzedenzfall gehabt hätte, einzugreifen, aber nicht schnell genug gehandelt habe, um den Schaden zu begrenzen.

Welche Protokolle waren über die Drift hinaus betroffen?

Die Auswirkungen waren im gesamten DeFi-Ökosystem von Solana spürbar. Mehrere mit der Drift-Liquidität verbundene Plattformen stellten ihren Betrieb ein oder meldeten Verluste:

• PiggyBank_fi meldete ein Engagement von rund 106,000 US-Dollar durch delta-neutrale Strategien und deckte Nutzer direkt mit Teamgeldern ab.
• Reflect Money hat die Ausgabe und Einlösung von USDC+ und USDT+ ​​ausgesetzt.
• Ranger Finance hat die Annahme von Ein- und Auszahlungen bei RGUSD gestoppt; das geschätzte Risiko liegt bei über 900,000 US-Dollar.
• Project0 hat vorsorglich die Aufnahme von Krediten gegen Drift-Positionen eingestellt.
• TradeNeutral, GetPyra, xPlace, Uselulo und Elemental DeFi haben allesamt wichtige Funktionen pausiert oder eine eingeschränkte Verfügbarkeit gemeldet.
• Jupiter Exchange bestätigte, dass der JLP-Pool weiterhin vollständig gedeckt ist.

Wie geht es mit Drift weiter?

Drift arbeitet mit mehreren Sicherheitsfirmen, Börsen, Zahlungsbrücken und Strafverfolgungsbehörden zusammen, um gestohlene Vermögenswerte aufzuspüren und wiederzuerlangen. Die Multisignatur wurde aktualisiert, um die kompromittierte Wallet zu entfernen. Alle übrigen Protokollfunktionen bleiben weiterhin deaktiviert.

Laut Immunefi CEO Mitchell AmadorDie Auswirkungen auf den Tokenpreis halten oft länger an als der Angriff selbst. Daten von Immunefi zeigen, dass 83 % der nativen Token gehackter Protokolle sich nie wieder auf ihren Preis vor dem Angriff erholen.

Ein detaillierter Obduktionsbericht von Drift wird in den kommenden Tagen erwartet.

Ressourcen

1. PeckShield auf XBeiträge (1.-2. April)

2. Lookonchain auf XBeiträge (1.-2. April)

3. Driftprotokoll auf XBeiträge (1.-2. April)

4. Mitchell Amador über XBeitrag vom 25. März