Half jaar na Drift-hack: miljoenen bevroren, meeste nog zoek

Ruim een half jaar na de grote hack van Drift Protocol is nog altijd het grootste deel van de gestolen crypto spoorloos. De Drift Foundation werkt samen met beveiligingsbedrijven en opsporingsdiensten om honderden miljoenen dollars terug te halen.

Een eerste deel van de buit is inmiddels bevroren, maar het overgrote deel staat nog altijd buiten bereik. Alle fondsen die worden teruggehaald, moeten uiteindelijk terechtkomen in de DFX herstelpool om getroffen gebruikers te compenseren.

Noord-Koreaanse hackers gelinkt aan Drift hack

De aanval vond plaats op 1 april 2026 en kostte gebruikers ongeveer 295 miljoen dollar. Tijdens de hack verdween ongeveer de helft van de Total Value Locked van Drift Protocol. Dat is de totale waarde van alle cryptovaluta die gebruikers binnen het protocol hadden vastgezet.

Kort na de aanval wezen beveiligingsbedrijven TRM Labs en Mandiant in de richting van Noord-Korea. De hack werd aanvankelijk gekoppeld aan UNC4736, een hackersgroep die volgens onderzoekers banden heeft met de Noord-Koreaanse staat.

Na verder onderzoek kwam Mandiant uit bij UNC6862, een andere Noord-Koreaanse dreigingsgroep. De Drift Foundation heeft daarnaast zeroShadow en SEAL 911 ingeschakeld om de geldstromen te volgen en gestolen cryptovaluta terug te vinden.

Onderzoekers van zeroShadow ontdekten dat ongeveer 130.259 Ethereum (ETH) via een bridge naar het Ethereum netwerk werd verplaatst. De munten werden vervolgens verdeeld over vier wallets.

Drie daarvan bevatten samen ongeveer 107.165 ETH. Volgens de meest recente bevindingen zijn deze munten daarna niet meer verplaatst. Vanuit de vierde wallet werd op 23 juli ongeveer 23.094 ETH naar Tornado Cash gestuurd. Deze dienst maakt het moeilijker om de herkomst en bestemming van cryptovaluta te achterhalen door transacties van verschillende gebruikers met elkaar te vermengen.

Miljoenen uit Drift hack inmiddels bevroren

De zoektocht heeft inmiddels een eerste resultaat opgeleverd. Volgens de Drift Foundation is ongeveer 9,2 miljoen dollar aan gestolen cryptovaluta bevroren. De aanvaller zou deze fondsen in augustus via Tornado Cash hebben verplaatst.

Dat betekent nog niet dat slachtoffers hun geld direct terugkrijgen. Daarvoor is medewerking van opsporingsdiensten nodig en mogelijk moeten eerst juridische procedures worden doorlopen voordat de tegoeden naar de DFX herstelpool kunnen worden overgemaakt.

Dat proces kan volgens de stichting veel tijd kosten. Het gestolen vermogen is verspreid over verschillende blockchains en rechtsgebieden. Daardoor moet per geval worden bepaald welke autoriteiten bevoegd zijn en welke juridische stappen nodig zijn.

Alle cryptovaluta die alsnog worden veiliggesteld, moeten uiteindelijk in de herstelpool terechtkomen. Het maakt daarbij volgens de stichting niet uit of het geld wordt teruggehaald via bevroren tegoeden, beloningen of ingrijpen van opsporingsdiensten.

zeroShadow blijft ondertussen transacties en opnames volgen die mogelijk verband houden met de hack. Verdachte adressen worden gemarkeerd en onderzoeksresultaten worden gedeeld met autoriteiten.

Drift hack lijkt zorgvuldig voorbereid

De aanval op Drift Protocol lijkt volgens beveiligingsonderzoekers geen eenvoudige hack te zijn geweest. De aanvallers zouden zich niet uitsluitend op één kwetsbaarheid in een smart contract hebben gericht.

In plaats daarvan wijzen onderzoekers op een langer voorbereide en gecoördineerde operatie waarbij verschillende aanvalsmethoden werden gecombineerd. Daarbij zou onder meer gebruik zijn gemaakt van bedrijfsspionage en manipulatie van activiteiten op de blockchain.

Dat maakt het terughalen van de buit ingewikkeld. Een groot deel van de gestolen ETH staat volgens de meest recente bevindingen nog altijd in dezelfde wallets. Onderzoekers en autoriteiten blijven deze adressen volgen, zodat nieuwe transacties snel kunnen worden opgemerkt en mogelijk meer van het gestolen vermogen kan worden veiliggesteld.