اختراق بروتوكول دريفت: شركة كمية مزيفة تسببت بخسارة 285 مليون دولار

تم تنفيذ اختراق بروتوكول Drift على مدى ستة أشهر؛ انتحل المهاجمون صفة شركة تداول كمي بدلًا من سرقة المفاتيح في لحظة واحدة. بدءًا من خريف 2025، بنى المجموعة ثقة من خلال اجتماعات حضورياً عبر عدة دول ومناقشات مكثفة حول عمليات الانضمام. تم إنشاء قناة على تيليغرام في اليوم الأول. بحلول ديسمبر 2025، قام المهاجمون بإدماج Ecosystem Vault وإيداع أكثر من مليون دولار من رأس مالهم الخاص. بحلول فبراير 2026، اعتقد المساهمون أن العلاقة كانت شرعية. في 1 أبريل 2026، تقول Drift إن وصول المهاجم تحوّل إلى استغلال نشط. اختفت محادثات تيليغرام، وأُزيلت البرمجيات الخبيثة من النقاط الطرفية المتأثرة، وأدى الحادث إلى نهب 285 مليون دولار — بعد أن كانت Drift قد تعرضت للاختراق بالفعل. تسرد Drift ثلاثة مسارات دخول محتملة: (1) مستودع منسوخ لواجهة "vault frontend"، (2) إقناع مساهم بتثبيت تطبيق TestFlight مُسوّق كمنتج محفظة، و(3) استغلال ثغرة معروفة في VSCode/Cursor (ديسمبر 2025–فبراير 2026) يمكن أن تُنفّذ كودًا عشوائيًا بصمت عند فتح ملفات/مجلدات. تُربط نسبة الفاعلية، بدرجة ثقة متوسطة-عالية، بجهات تابعة لدولة كوريا الشمالية متتبعة باسم UNC4736/AppleJeus/Citrine Sleet، المرتبطة بهجوم Radiant Capital في أكتوبر 2024. لا تزال Mandiant تعمل على النسبة الرسمية والتحقيق الجنائي للأجهزة. الاستجابة: جمدت Drift وظائف البروتوكول المتبقية، وأزالت المحافظ المُختَرقة من multisig، وأبلغت عن محافظ المهاجم لدى البورصات ومشغلي الجسور. تحث Drift الفرق التي قد تكون مستهدفة على الاتصال بـ SEAL911. بالنسبة للمتداولين، يعزز هذا الاختراق مخاطر أمان العقود الذكية و"طبقة الثقة" عبر صناديق DeFi وقد يؤثر سلبًا على المعنويات المحيطة بـ DRIFT على المدى القريب.