Un grup de hackeri afiliat Coreei de Nord a reușit să fure 270 de milioane de dolari de la protocolul DeFi Drift, în urma unei operațiuni de infiltrare care a durat șase luni. Atacatorii au pozat drept o firmă de tranzacționare, au construit relații de încredere cu echipa și au depus capital propriu pentru a-și masca intențiile, totul culminând cu un atac fulger pe 1 aprilie.
Încredere câștigată în jumătate de an
Operațiunea a început în toamna anului 2025, la o conferință crypto, unde atacatorii au contactat echipa Drift. Aceștia s-au prezentat ca o firmă de tranzacționare cantitativă, părând extrem de competenți din punct de vedere tehnic și având un background profesional verificabil. A urmat crearea unui grup pe Telegram și luni de conversații despre strategii de tranzacționare. Pentru a spori încrederea, între decembrie 2025 și ianuarie 2026, grupul a integrat un „Ecosystem Vault” pe Drift și a depus peste 1 milion de dolari din capital propriu. Membrii echipei Drift s-au întâlnit față în față cu indivizi din acest grup la mai multe conferințe de profil în lunile februarie și martie.
Cele două breșe de securitate
Compromiterea a fost realizată prin două căi distincte. Prima a fost descărcarea unei aplicații prin TestFlight, platforma Apple care permite distribuirea de software pre-lansare ocolind verificările App Store. Grupul a prezentat aplicația drept propriul portofel digital. A doua breșă a exploatat o vulnerabilitate cunoscută în editoarele de cod VSCode și Cursor, semnalată de comunitatea de securitate încă de la finalul anului 2025. Deschiderea unui fișier în editor era suficientă pentru a executa cod arbitrar în mod silențios. Odată ce dispozitivele au fost compromise, atacatorii au obținut cele două aprobări multisig necesare pentru a executa un atac de tip „durable nonce”. Tranzacțiile pre-semnate au rămas inactive mai bine de o săptămână, fiind executate pe 1 aprilie și golind seifurile protocolului de 270 de milioane de dolari în mai puțin de un minut.
Atribuirea atacului către Phenian
Investigațiile indică spre UNC4736, un grup afiliat statului nord-coreean, cunoscut și sub numele de AppleJeus sau Citrine Sleet. Atribuirea se bazează pe analiza fluxurilor de fonduri on-chain, care duc la atacatorii Radiant Capital, dar și pe suprapuneri operaționale cu personaje legate de Coreea de Nord (DPRK). Un detaliu important este că persoanele care au participat la conferințe nu erau cetățeni nord-coreeni. Actorii de amenințare din DPRK sunt cunoscuți pentru utilizarea unor intermediari terți cu identități, istorii de angajare și rețele profesionale complet construite pentru a trece de verificările de tip „due diligence”.
Un semnal de alarmă pentru DeFi
Incidentul ridică semne de întrebare serioase pentru securitatea industriei DeFi, care se bazează pe guvernanta multisig. Drift a îndemnat alte protocoale să își auditeze controalele de acces și să trateze fiecare dispozitiv care interacționează cu un multisig ca pe o potențială țintă. Dacă atacatorii sunt dispuși să investească șase luni și un milion de dolari pentru a construi o prezență legitimă, a se întâlni cu echipele în persoană și a contribui cu capital real, modelul de securitate actual devine vulnerabil. Rămâne o provocare identificarea unui model de securitate capabil să detecteze un astfel de atac planificat pe termen lung.
