Slachtoffers Drift hack krijgen slechts een fractie terug

Marktcontext per 23.45 CET. Ether noteert 2.661,68 dollar, 4,1 procent onder de 24-uurs high van 2.776,46 dollar en 0,4 procent boven de 24-uurs low van 2.650,41 dollar. Het 24-uurs volume stijgt 47,6 procent naar bijna 50.700 ether. De 107.165 ether die de daders volgens blockchaintrackers nog altijd aanhouden, is op deze koers ruim 285,2 miljoen dollar waard. Bron, Kraken.

Hoe de hack van 295 miljoen dollar in twaalf minuten verliep

Mandiant herleidt de aanval tot een langdurige infiltratie. Dat nam zes maanden. Agenten van UNC6862 bouwden zich op als nepbedrijf in de cryptosector. Ze bezochten conferenties en wonnen het vertrouwen van Drift-medewerkers. Tegen februari en maart hadden ze al toegang tot broncode van enkele bijdragers. Vergelijkbare social engineering trof een zero-day bij een externe partner van Bitget, eerder dit jaar.

Op 1 april gebruikten de daders Solana’s functie voor duurzame nonces om transacties vooraf te ondertekenen. Binnen twaalf minuten was de volledige schatkist leeg. Drie wallets van de daders bevatten nog altijd 107.165 ether. Een vierde wallet sluisde in juli 23.094 ether door de mixer Tornado Cash. Drift kondigde dat herstelplan al in mei aan, maanden voor de eerste uitkering volgde.

Een cent per verloren dollar, zo rekent het DFX-token

Het DFX-token vertaalt het verlies rechtstreeks in een vorderingsrecht. Voor elke dollar schade krijgt een slachtoffer één DFX. Bij de eerste uitkering is elk token goed voor 0,0104 dollar. Wie 100 dollar verloor, krijgt dus ruim 1 dollar terug. In de eerste ronde van de DFX-claims werden 216.480 tokens ingewisseld voor circa 2.250 dollar. Dat leidde tot ophef in de gemeenschap van gedupeerde gebruikers.

Het herstelfonds van 3,11 miljoen dollar dekt amper 1 procent van de 295,4 miljoen dollar schade. Justitie hield intussen 9,2 miljoen dollar aan tegoeden tegen, maar vrijgave vereist nog een rechterlijk bevel. Zelfs als dat bedrag volledig naar het fonds vloeit, komt de dekking niet voorbij 4,2 procent van het totale verlies. Tether beloofde daarnaast tot 127,5 miljoen dollar, en partners nog eens 20 miljoen dollar. Van die toezeggingen is vrijdag nog niets binnengekomen. De dagelijkse bijdrage uit protocolinkomsten bedroeg op de eerste dag 31 dollar. Dat schiet niet op.

Wat de Drift hack betekent voor de Nederlandse DeFi-gebruiker

Geen Europese toezichthouder beschermt wie rechtstreeks met een protocol als Drift handelde. MiCA regelt de vergunning van centrale partijen zoals Bitvavo, niet het directe gebruik van DeFi-protocollen. Bitvavo kreeg in juni 2025 zijn AFM-vergunning onder MiCA en mag daardoor in de hele Europese Economische Ruimte opereren. Zelfs daar valt staking overigens buiten de MiCA-beschermingsregels. Dat gebrek aan Europese bescherming voor DeFi-gebruikers staat in schril contrast met de striktere lijn die Brussel elders trekt, zoals bij het verbod op stablecoin beloningen dat eind september overeind bleef.

Een Nederlandse belegger die 1.000 dollar verloor bij de Drift hack, ziet daarvan nog weinig terugkomen. Op basis van de huidige koers van het DFX-token is dat ruim 10 dollar. Dat is illustratief en geen advies. De Europese toezichthouder ESMA stelde eind september voor om DeFi-toegangspoorten, staking en crypto-lending alsnog onder MiCA te laten vallen. Een definitief besluit daarover ligt er nog niet. Dat patroon van trage, fragmentarische compensatie keert overigens vaker terug bij DeFi-incidenten, zoals het lek bij Aave dat eerder vandaag nog twee wallets 310.000 dollar kostte. Het claimvenster voor de DFX-tokens zelf sluit intussen hard, om 00.00 uur UTC op 1 januari 2028.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.