Elliptic zei donderdag dat de Drift Protocol-exploit van $285 miljoen, de grootste dit jaar, "meerdere indicatoren" vertoont van betrokkenheid van de door Noord-Korea gesponsorde DPRK-hackersgroep.
Het onderzoeksbureau verwees specifiek naar onchain-gedrag, witwaspraktijken en signalen op netwerkniveau, die allemaal overeenkomen met eerdere aanvallen met staatsbanden.
Drift Protocol, waarvan de token sinds de hack met meer dan 40% is gedaald naar ongeveer $0,06, is de grootste gedecentraliseerde perpetual futures-exchange op de Solana-blockchain.
"Als dit wordt bevestigd, zou dit incident de achttiende DPRK-actie vertegenwoordigen die Elliptic dit jaar heeft gevolgd, met tot nu toe meer dan $300 miljoen gestolen," aldus het rapport.
"Het is een voortzetting van de aanhoudende campagne van de DPRK voor grootschalige diefstal van crypto-activa, die de Amerikaanse overheid in verband heeft gebracht met de financiering van hun wapenprogramma's. Naar verluidt zijn aan DPRK gelieerde actoren verantwoordelijk voor miljarden dollars aan diefstal van crypto-activa in de afgelopen jaren," voegde Elliptic toe.
Enkele uren eerder toonden Arkham-gegevens aan dat meer dan $250 miljoen was overgemaakt van Drift naar een tijdelijke wallet en vervolgens naar verschillende andere adressen.
In december onthulde een Chainalysis-rapport dat DPRK-hackers in 2025 een record van $2 miljard aan crypto hebben gestolen, inclusief de Bybit-inbreuk van $1,4 miljard, wat een stijging van 51% vertegenwoordigt ten opzichte van het voorgaande jaar. Het Amerikaanse ministerie van Financiën zei vorige maand dat Noord-Korea de gestolen activa gebruikt om het massavernietigingswapenprogramma van het land te financieren.
In plaats van zich te concentreren op de exploit zelf, benadrukt de analyse van Elliptic een bekend operationeel patroon. De activiteit lijkt "met voorbedachten rade en zorgvuldig georganiseerd," met vroege testtransacties en vooraf gepositioneerde wallets die voorafgaan aan de hoofdgebeurtenis.
Het rapport legt uit dat zodra de fondsen zijn uitgevoerd, deze snel werden geconsolideerd en gewisseld, overbrugd via verschillende chains en omgezet in meer liquide activa, wat een gestructureerde, herhaalbare witwasflow weerspiegelt die is ontworpen om de oorsprong te verhullen terwijl controle behouden blijft.
Een centrale uitdaging, merkt Elliptic op, is het accountmodel van Solana. Omdat elk actief in een apart token-account wordt bewaard, kan activiteit die aan één actor is gekoppeld gefragmenteerd lijken over meerdere adressen. Zonder deze te koppelen, riskeren onderzoekers "fragmenten van de activiteit van de aanvaller te zien, niet het complete beeld."
Dit is waar het rapport van Elliptic de clusteringbenadering benadrukt, die token-accounts verbindt met één enkele entiteit, waardoor blootstelling kan worden geïdentificeerd, ongeacht welk adres wordt gescreend. Bij een incident met meer dan een dozijn activatypen wordt dat perspectief op entiteitsniveau van cruciaal belang.
De zaak benadrukt ook, voegt Elliptic toe in zijn rapport, hoe witwassen inherent cross-chain is geworden. Fondsen werden verplaatst van Solana naar Ethereum en verder, wat de noodzaak aantoont van wat Elliptic beschreef als "holistische cross-chain traceringscapaciteiten."
Bron: https://www.coindesk.com/business/2026/04/02/north-koreans-hackers-likely-behind-the-usd286-million-drift-protocol-exploit-elliptic
