Drift hack van $285 miljoen blijkt maandenlange infiltratie

Een grootschalige hack bij Drift Protocol blijkt geen snelle aanval, maar het resultaat van maandenlange voorbereiding. Uit nieuw onderzoek komt naar voren dat de daders zich voordeden als een legitiem handelsbedrijf en zich langzaam toegang wisten te verschaffen tot het ecosysteem. De aanval, waarbij zo’n $285 miljoen werd buitgemaakt, zorgt opnieuw voor zorgen over de beveiliging binnen de cryptosector en benadrukt het belang van bescherming tegen crypto oplichting.

Infiltratie begon al in 2025

Volgens Drift start de operatie al in het najaar van 2025. Een groep aanvallers benadert teamleden tijdens internationale crypto evenementen en presenteert zich als een professioneel kwantitatief handelsbedrijf. Wat begint als een ogenschijnlijk normale samenwerking, groeit uit tot een langdurige relatie waarbij de aanvallers vertrouwen opbouwen.

Ze voeren gesprekken via Telegram, nemen deel aan meetings en investeren zelfs meer dan $1 miljoen in het platform. Hierdoor lijken ze volledig legitiem. Ondertussen blijven ze Drift medewerkers ontmoeten op conferenties wereldwijd, waardoor de geloofwaardigheid verder toeneemt.

Kwaadaardige software via tools en apps

De daadwerkelijke aanval lijkt via meerdere routes te zijn uitgevoerd. Zo downloadt een medewerker een kwaadaardige code repository die bedoeld lijkt voor een frontend integratie. In werkelijkheid bevat deze software verborgen code die toegang geeft tot systemen.

Een andere route loopt via een TestFlight app die wordt gepresenteerd als een wallet product. Ook hier blijkt achteraf sprake van malware. Volgens het onderzoek kan zelfs het openen van bepaalde bestanden al voldoende zijn geweest om systemen te compromitteren, zonder waarschuwing of extra handelingen.

Direct na de aanval verdwijnen alle sporen. Chats worden verwijderd en de gebruikte tools worden ontoegankelijk gemaakt, wat wijst op een strak georganiseerde operatie.

Mogelijke link met Noord Koreaanse hackers

De aanval vertoont sterke gelijkenissen met eerdere hacks in de sector. Drift vermoedt dat dezelfde groep achter de aanval zit als bij de Radiant Capital hack in 2024. Deze groep wordt gelinkt aan Noord Koreaanse cyberactoren die bekendstaan om geavanceerde en langdurige infiltraties, zoals ook beschreven in dit bericht over de mogelijke betrokkenheid van Noord Koreaanse hackers.

Opvallend is dat de personen die fysiek aanwezig waren op evenementen waarschijnlijk niet zelf uit Noord Korea kwamen. In plaats daarvan zouden tussenpersonen zijn ingezet om vertrouwen op te bouwen en direct contact te leggen met doelwitten.

Het onderzoek loopt nog, maar de eerste bevindingen laten zien hoe geraffineerd en geduldig deze aanval is opgezet. Drift werkt inmiddels samen met beveiligingsbedrijven en autoriteiten om de volledige omvang in kaart te brengen en verdere schade te beperken.

De zaak laat zien dat zelfs langdurige samenwerkingen en persoonlijke ontmoetingen geen garantie bieden voor veiligheid binnen crypto.

https://t.co/qYBMCup9i6

— Drift (@DriftProtocol) · April 5, 2026