Staatlich gesteuerte Hacker aus Nordkorea haben die dezentrale Handelsplattform Drift Protocol monatelang systematisch unterwandert – und dabei sogar persönliche Kontakte geknüpft. Der Fall offenbart eine neue Qualität digitaler Bedrohung, die weit über klassische Cyberangriffe hinausgeht.
Nordkoreanische Staatsakteure drangen sechs Monate vor 285-Millionen-Dollar-Angriff in Krypto-Plattform ein
Nordkoreanische Hacker haben die dezentrale Handelsplattform Drift Protocol über einen Zeitraum von rund sechs Monaten systematisch unterwandert, bevor sie im vergangenen Jahr Kryptowerte im Gegenwert von 285 Millionen US-Dollar abzogen. Der Fall zeigt, wie staatlich gesteuerte Angreifer klassische Social-Engineering-Methoden mit gezielter Langzeitinfiltration verbinden.
Monatelange Vorbereitung statt spontaner Angriff
Laut einer Erklärung von Drift Protocol gaben sich die Angreifer als reguläre Händler aus und bauten über Monate hinweg Vertrauen innerhalb der Community auf. Besonders bemerkenswert: Die Akteure traten nicht nur digital in Erscheinung, sondern nahmen auch persönliche Treffen mit Mitarbeitern und Beitragenden des Protokolls wahr.
Diese Kombination aus digitaler Präsenz und physischen Kontakten ermöglichte es den Angreifern, tief in interne Strukturen vorzudringen – lange bevor der eigentliche Angriff eingeleitet wurde.
Die Plattform ist auf der Solana-Blockchain aufgebaut und gehört zu den bekannteren dezentralen Handelsprotokollen im DeFi-Bereich. Der Exploit selbst richtete sich gegen die Liquiditätsmechanismen des Protokolls und führte zum Abfluss der besagten Summe.
DPRK-Akteure als professionelle Langzeitangreifer
Hinter dem Angriff sollen Akteure stehen, die dem nordkoreanischen Staatsapparat zugerechnet werden – eine Zuordnung, die westliche Sicherheitsbehörden und Blockchain-Analyseunternehmen zunehmend auf Basis von On-Chain-Daten und Taktikmustern vornehmen. Nordkoreanische Hackergruppen wie die Lazarus Group haben in den vergangenen Jahren mehrere Milliarden Dollar aus dem Krypto-Sektor abgezogen, um Devisenmangel und Sanktionsfolgen zu kompensieren.
Das Vorgehen beim Drift-Angriff folgt einem Muster, das Sicherheitsforscher als „Slow Burn Infiltration” bezeichnen: Anstatt sofort anzugreifen, investieren die Akteure erhebliche Zeit in den Aufbau von Glaubwürdigkeit und Zugang.
In klassischen Unternehmensumgebungen ist diese Methodik unter dem Begriff Advanced Persistent Threat (APT) bekannt – beim Drift-Angriff wurde sie erstmals so konsequent auf ein dezentrales Protokoll angewendet.
Physische Komponente verschärft die Sicherheitslage erheblich
Besonders relevant für Sicherheitsverantwortliche ist die Tatsache, dass die Angreifer persönliche Kontakte nutzten. Dies deutet darauf hin, dass die Täter entweder Personen entsandten oder bestehende Identitäten über einen langen Zeitraum so konsistent pflegten, dass physische Begegnungen arrangiert werden konnten.
Für dezentrale Projekte, deren Mitarbeitende häufig pseudonym oder remote tätig sind, erhöht dies die Angriffsfläche erheblich. Drift Protocol hat sich bislang nicht im Detail dazu geäußert, wie die Infiltration im Nachhinein aufgedeckt wurde und welche internen Kontrollmechanismen versagt haben.
Einordnung für deutsche Unternehmen
Der Fall Drift Protocol ist nicht nur für DeFi-Plattformen relevant. Auch für deutsche Unternehmen, die Krypto-Assets verwahren, in Web3-Infrastrukturen investieren oder mit dezentralen Protokollen interagieren, zeigt dieser Vorfall ein unterschätztes Risiko:
Staatliche Angreifer mit langen Zeithorizonten und erheblichen Ressourcen sind in der Lage, etablierte Vertrauensstrukturen gezielt zu unterwandern – weit bevor ein technischer Angriff stattfindet.
Klassische Prüfroutinen für Softwarecode und Smart Contracts reichen allein nicht aus. Unternehmen sollten zusätzlich folgende Maßnahmen etablieren:
- Identitätsverifizierung bei externen Beitragenden und Community-Mitgliedern
- Due-Diligence-Standards für langfristige externe Kooperationen
- Interne Meldestrukturen für ungewöhnliches Verhalten – digital wie physisch
- Sensibilisierung für APT-Muster jenseits klassischer IT-Sicherheitsperimeter
Quelle: Decrypt – North Korean Hackers Spent Six Months Infiltrating Drift Before $285M Exploit
