Nach Angaben von Drift wurde der Diebstahl zwischen dem 23. und 30. März vorbereitet. In dieser Phase richtete der Angreifer durable nonce accounts ein und beschaffte sich 2 von 5 erforderlichen Multisig-Freigaben von Mitgliedern des Security Council, um den nötigen Schwellenwert zu erreichen. Damit konnten bösartige Transaktionen vorab signiert werden, ohne sie sofort auszuführen.

Am 1. April führte der Angreifer eine legitime Transaktion aus und löste unmittelbar danach die vorbereiteten schädlichen Transaktionen aus. Innerhalb weniger Minuten übertrug er so die Admin-Kontrolle auf sich selbst. Mit diesen Rechten brachte er einen manipulierten Vermögenswert ein, hob Auszahlungslimits auf und zog schließlich die Gelder ab.

Drift Protocol beziffert den Schaden auf rund 280 Millionen Dollar. Das Blockchain-Tracking-Konto PeckShieldAlert kommt auf 285 Millionen Dollar. Die Plattform hatte Ende 2024 nach eigenen Angaben 200.000 Trader, ein Gesamthandelsvolumen von mehr als 55 Milliarden Dollar sowie ein Tagesmaximum von 13 Millionen Dollar verzeichnet.

Als ungewöhnliche Aktivität auf dem Protokoll bemerkt wurde, warnte Drift die Nutzer öffentlich, leitete eine Untersuchung ein und forderte dazu auf, bis auf Weiteres keine Mittel einzuzahlen. Betroffen sind den Angaben zufolge Einlagen aus dem Leih- und Verleihgeschäft, Vault-Einlagen sowie Handelsgelder; sämtliche Protokollfunktionen sind inzwischen praktisch eingefroren. DSOL sei nicht betroffen, die Mittel des Versicherungsfonds seien gesichert.

Elliptic und TRM Labs stützen ihre Zuordnung zu nordkoreanischen Akteuren auf mehrere übereinstimmende On-Chain-Indikatoren: die Nutzung von Tornado Cash, den Zeitpunkt der CarbonVote-Bereitstellung um 09:30 Uhr Pjöngjang-Zeit, Muster beim Cross-Chain-Bridging und eine schnelle Geldwäsche in großem Stil, wie sie auch beim Bybit-Hack zu beobachten war.

Drift arbeitet inzwischen mit Sicherheitsfirmen, Kryptobörsen und Strafverfolgungsbehörden zusammen, um die gestohlenen Gelder nachzuverfolgen und einzufrieren. Einen detaillierten Post-mortem-Bericht kündigte die Plattform für die kommenden Tage an.