Atacul de 270 mil. dolari la Drift o operatiune nord-coreeana de sase luni

Un grup afiliat statului nord-coreean a petrecut aproximativ sase luni infiltrând protocolul DeFi Drift, totul culminând cu un atac fulger pe 1 aprilie care a dus la pierderea a 270 de milioane de dolari. Atacatorii au pozat drept o firmă de tranzacționare, au construit relații de încredere, au participat la conferințe și chiar au depus capital propriu pentru a-și masca intențiile.

Incredere castigata in jumatate de an

Totul a inceput in toamna anului 2025, la o conferinta crypto importanta. Acolo, atacatorii au luat contact cu echipa Drift, prezentandu-se ca o firma de tranzactionare cantitativa interesata de o integrare. Pareau extrem de competenti din punct de vedere tehnic, aveau background profesional verificabil si intelegeau in detaliu cum functiona protocolul.

A urmat crearea unui grup pe Telegram si luni intregi de conversatii substantiale despre strategii de tranzactionare si integrari. E drept ca, intre decembrie 2025 si ianuarie 2026, grupul a integrat un „Ecosystem Vault” pe Drift si a depus peste 1 milion de dolari din capital propriu, construind o prezenta operationala functionala in interiorul ecosistemului. Stai putin, cum vine asta?

Si nu s-au oprit aici. Membrii echipei Drift s-au intalnit fata in fata cu indivizi din acest grup la mai multe conferinte de profil, in diverse tari, pe parcursul lunilor februarie si martie. In momentul lansarii atacului pe 1 aprilie, relatia era veche de aproape jumatate de an.

Cele doua brese de securitate

Compromiterea pare sa fi venit prin doua cai distincte. Pe de o parte, a fost descarcata o aplicatie TestFlight, platforma Apple pentru distribuirea de aplicatii pre-lansare care ocoleste verificarile de securitate din App Store. Grupul a prezentat-o drept propriul lor produs de tip portofel digital.

s-a exploatat o vulnerabilitate cunoscuta in VSCode si Cursor (doua dintre cele mai utilizate editoare de cod in dezvoltarea software). Comunitatea de securitate semnala aceasta problema inca de la sfarsitul anului 2025: simpla deschidere a unui fisier sau folder in editor era suficienta pentru a executa cod arbitrar in mod silentios, fara nicio avertizare.

Odata ce dispozitivele au fost compromise, atacatorii au obtinut cele doua aprobari multisig necesare pentru a executa un atac de tip „durable nonce”.

Tranzactiile pre-semnate au stat inactive mai bine de o saptamana.

Apoi, pe 1 aprilie, au fost executate, golind vault-urile protocolului de 270 de milioane de dolari in mai putin de un minut.

Atribuirea atacului catre Phenian

Investigatiile indica spre UNC4736, un grup afiliat statului nord-coreean, cunoscut si sub numele de AppleJeus sau Citrine Sleet. Atribuirea se bazeaza atat pe fluxurile de fonduri on-chain, care duc inapoi la atacatorii Radiant Capital, cat si pe suprapuneri operationale cu personaje cunoscute ca fiind legate de Coreea de Nord (DPRK).

Iar detaliul cel mai interesant este ca indivizii care au aparut personal la conferinte nu erau cetateni nord-coreeni. Actorii de amenintare de acest nivel din DPRK sunt cunoscuti pentru ca folosesc intermediari terti cu identitati complet construite, istorii de angajare si retele profesionale menite sa reziste verificarilor de tip „due diligence”.

Un semnal de alarma pentru DeFi

Drift a indemnat si alte protocoale sa isi auditeze controalele de acces si sa trateze fiecare dispozitiv care atinge un multisig ca pe o potentiala tinta. Numai ca implicatiile sunt incomode pentru o industrie care se bazeaza pe guvernanta multisig ca model principal de securitate.

V-ati gandit vreodata la asta? Daca atacatorii sunt dispusi sa petreaca sase luni si un milion de dolari pentru a construi o prezenta legitima in interiorul unui ecosistem, sa se intalneasca cu echipele in persoana, sa contribuie cu capital real si sa astepte, ce model de securitate este conceput sa prinda asa ceva?

Parteneri

Articole recomandate din rețeaua noastră

BravonetU2 va cânta la pauza meciului Packers cu Rams, în ajunul Thanksgiving, pe NetflixLylaCum îți adaptezi îngrijirea pielii când folosești contraceptive sau te pregătești să le întrerupiGetPonyVolvo pregătește mașini care să conducă singure de la o adresă la alta cu tehnologie NvidiaRevista IoanaCum cureți pantofii sport fără să le strici forma și când poți folosi mașina de spălat la 30°CNews24Alexandru Petrescu, Președinte ASF: De la economisire la investiții, calea către o economie mai rezilientăDolce SportIga Swiatek oprește sezonul pentru recuperare și iese din cursa pentru Turneul Campioanelor