Nach Darstellung von Drift Protocol verfolgten die Täter ein gezieltes Vorgehen. „Es wird nun davon ausgegangen, dass es sich um eine gezielte Annäherung handelt, bei der Personen aus dieser Gruppe über die folgenden sechs Monate hinweg bewusst bestimmte Drift-Mitwirkende aufsuchten und persönlich ansprachen — auf mehreren großen Branchenkonferenzen in verschiedenen Ländern", so das Unternehmen.
Der Kontakt wurde anschließend über Telegram fortgesetzt, wo die Angreifer über Handelsstrategien und mögliche Vault-Integrationen sprachen. Sie galten als technisch versiert und zeigten genaue Kenntnis der Funktionsweise von Drift; die Interaktionen ähnelten dem üblichen Austausch zwischen Handelsfirmen und der Plattform beim Onboarding. Die für die Kontaktaufnahme genutzte Telegram-Gruppe wurde laut Drift unmittelbar nach dem Diebstahl gelöscht.
Den genauen Angriffsweg hat die Plattform nicht mit Sicherheit bestimmt, geht aber davon aus, dass zwei Mitwirkende kompromittiert wurden. Mehrere Indikatoren aus den Untersuchungen von Elliptic und TRM Labs deuten auf einen nordkoreanischen Akteur hin. Drift selbst ordnet den Angriff mit mittlerer bis hoher Wahrscheinlichkeit der Gruppe UNC4736 zu — auch bekannt als AppleJeus und Labyrinth Chollima —, die von mehreren Sicherheitsfirmen mit Nordkorea in Verbindung gebracht wird.
Das Unternehmen Mandiant hatte UNC4736 zuvor mit Lazarus assoziiert. Dieselbe Gruppe wird für den Lieferketten-Angriff auf 3CX im Jahr 2023, den Diebstahl von 50 Millionen US-Dollar bei Radiant im Jahr 2024 sowie für die Ausnutzung einer Chrome-Zero-Day-Lücke verantwortlich gemacht. Allerdings handelte es sich bei den Personen, die zentrale Drift-Mitwirkende auf Konferenzen persönlich trafen, um nicht-koreanische Mittelsmänner.
Aktuell bleiben sämtliche Funktionen von Drift Protocol eingefroren, und die kompromittierten Wallets wurden aus dem Multisig-Prozess entfernt. Nach Angaben von Drift wurden die Wallets der Angreifer bei Börsen und Bridge-Betreibern markiert, um zu verhindern, dass die Täter die Gelder bewegen oder abheben können.