Drift-Hack enthüllt Schwachstelle im Stablecoin-System

Ein Exploit beim Solana-Protokoll Drift kostete rund 280 Millionen Dollar. Der Fall wirft eine grundlegende Frage auf: Warum fror Circle die gestohlenen USDC nicht ein?

Angriff mit Ansage: Wie der Drift-Exploit ablief

Am 1. April 2026 verlor das Solana-basierte DeFi-Protokoll Drift rund 280 Millionen US-Dollar durch einen gezielten Angriff. Das Besondere: Der Exploit nutzte keine Schwachstelle im Smart Contract. Stattdessen verschaffte sich der Angreifer durch mutmaßliches Social Engineering Zugang zu zwei von fünf Multisig-Genehmigungen und führte eine unautorisierte Admin-Übertragung durch.

Was ist ein Multisig?

Ein Multisig (Multi-Signature) ist ein Sicherheitsmechanismus, bei dem mehrere unabhängige Genehmigungen nötig sind, um eine Transaktion auszuführen – etwa drei von fünf Schlüsselinhabern.

Die Vorbereitung begann bereits am 23. März. Der Angreifer erstellte sogenannte Durable-Nonce-Konten – vorausunterzeichnete Transaktionen, die Echtzeit-Überwachungssysteme umgehen können. Diese Methode ist in dieser Dimension neu und zeigt, dass Sicherheitsarchitekturen selbst etablierter Protokolle gegen vorbereitete Angriffe anfällig bleiben.

Nach der Übernahme entfernte der Angreifer Abhebungslimits, führte ein schadhaftes Asset ein und leitete die Gelder über rund 100 Transaktionen von Solana nach Ethereum um. Drift hat inzwischen die kompromittierte Wallet aus dem Multisig entfernt und arbeitet laut eigener Stellungnahme mit Sicherheitsfirmen sowie Strafverfolgungsbehörden zusammen.

Circles Schweigen wird zum Problem

Der eigentliche Skandal liegt nicht im Angriff selbst. Blockchain-Ermittler ZachXBT machte öffentlich auf einen kritischen Punkt aufmerksam: Während die gestohlenen USDC über Stunden hinweg frei bewegt wurden, unternahm Circle – der Emittent des Stablecoins – nichts. Keine Einfrierung, keine sichtbare Reaktion.

Was ist eine USDC-Einfrierung?

Circle kann als Emittent von USDC bestimmte Blockchain-Adressen sperren, sodass die dort liegenden Token nicht mehr transferiert werden können. Diese Funktion ist im Smart Contract von USDC technisch verankert.

Das wiegt schwer, weil Circle diese Funktion in der Vergangenheit nachweislich genutzt hat – laut ZachXBT einmal bei über 16 Geschäftswallets gleichzeitig. Die Fähigkeit besteht also. Die Frage ist, warum sie im Fall Drift nicht eingesetzt wurde.

Circle-CEO Jeremy Allaire äußerte sich zum Zeitpunkt der Berichterstattung nicht öffentlich. Für das DeFi-Ökosystem ist das ein Warnsignal. Wenn Stablecoin-Emittenten bei nachweislich gestohlenen Geldern nicht eingreifen, untergräbt das ein zentrales Sicherheitsversprechen der regulierten Krypto-Infrastruktur. Gleichzeitig argumentieren Kritiker, dass willkürliche Einfrierungen das Vertrauen in USDC als neutrales Zahlungsmittel beschädigen könnten. Dieser Zielkonflikt bleibt bislang ungelöst.

Warum das jetzt zählt

Der Drift-Exploit markiert einen Wendepunkt in der Debatte um Verantwortung im Stablecoin-Markt. Er zeigt erstens, dass Social Engineering in Kombination mit technischen Umgehungsmethoden wie Durable Nonces eine ernst zu nehmende Bedrohung darstellt. Zweitens stellt er die Frage, ob Emittenten wie Circle eine aktive Schutzpflicht haben oder ob ihre Neutralität Vorrang genießt.

Für den breiteren Altcoin-Markt kommt der Vorfall zu einem ungünstigen Zeitpunkt. Laut CryptoQuant-Daten handeln mehr als 40 Prozent aller Altcoins nahe ihrer Allzeittiefs. Vertrauensbrüche dieser Größenordnung bremsen die ohnehin fragile Risikobereitschaft institutioneller Anleger zusätzlich.

Einordnung / Ausblick

• Bullisches Szenario: Der Fall erhöht den Druck auf Stablecoin-Emittenten, klare Reaktionsprotokolle für Exploits zu etablieren. Regulatorische Klarheit könnte das institutionelle Vertrauen in die Krypto-Infrastruktur mittelfristig stärken.
• Bärisches Szenario: Circles Passivität wird zum Präzedenzfall. Andere Angreifer könnten die fehlende Reaktionsbereitschaft gezielt einkalkulieren, was das Risikoprofil von DeFi-Protokollen mit hoher USDC-Exposition dauerhaft verschlechtert.

Solange die Branche keine klaren Standards für die Reaktionspflichten von Stablecoin-Emittenten bei Exploits etabliert, bleibt ein strukturelles Sicherheitsdefizit bestehen – unabhängig davon, wie robust die Smart Contracts selbst sind.

Hinweis: Keine Anlageberatung. Alle genannten Kurse und Daten dienen ausschließlich der Information. Eigene Recherche wird empfohlen.