Hack a Drift Protocol: firma cuantitativa falsa provocó pérdidas de 285 millones de dólares
El ataque al protocolo Drift se desarrolló durante seis meses; los atacantes se hicieron pasar por una firma de trading cuantitativo en lugar de robar claves en un único momento. A partir del otoño de 2025, el grupo construyó confianza mediante reuniones presenciales en varios países y conversaciones intensas centradas en la incorporación.
Se creó un canal de Telegram el primer día. En diciembre de 2025, los atacantes habían integrado una Vault del ecosistema y depositado más de 1 millón de dólares de su propio capital. En febrero de 2026, los colaboradores creían que la relación era legítima.
El 1 de abril de 2026, Drift afirma que el acceso del atacante se convirtió en explotación activa. Los chats de Telegram desaparecieron, se eliminó software malicioso de los endpoints afectados y el incidente derivó en la sustracción de 285 millones de dólares, después de que Drift ya hubiera sido comprometido.
Drift enumera tres vectores de entrada probables: (1) un repositorio clonado para un “frontend de vault”, (2) persuadir a un colaborador para que instalara una app en TestFlight comercializada como un producto de wallet, y (3) explotar una vulnerabilidad conocida de VSCode/Cursor (dic. 2025–feb. 2026) que puede ejecutar código arbitrario de forma silenciosa al abrir archivos/carpetas.
La atribución se vincula, con confianza medio-alta, a actores afiliados al Estado norcoreano rastreados como UNC4736/AppleJeus/Citrine Sleet, relacionados con el anterior ataque a Radiant Capital de octubre de 2024. Mandiant sigue realizando la atribución formal y la forense de dispositivos.
Respuesta: Drift congeló las funciones restantes del protocolo, retiró las wallets comprometidas de la multisig y marcó las wallets del atacante ante exchanges/operadores de puentes. Drift insta a los equipos potencialmente objetivo a contactar con SEAL911. Para los traders, este ataque al protocolo Drift refuerza los riesgos de seguridad tanto a nivel de smart contracts como de “capa de confianza” en las vaults de DeFi y puede presionar el sentimiento sobre DRIFT a corto plazo.
Bearish
Esta noticia es bajista para DRIFT porque el hackeo del Drift Protocol implicó una compromisión de la capa de confianza de larga duración que resultó en una gran pérdida de 285 millones de dólares. A corto plazo, los traders suelen reaccionar reduciendo la exposición a vaults DeFi, ampliando las primas percibidas por riesgo de contratos inteligentes y riesgo operativo, y vendiendo el token del protocolo afectado. A largo plazo, incluso con mitigaciones (funciones de congelación, retirada de miembros del multisig, marcado por exchanges/puentes), la incertidumbre sobre el momento exacto de la compromisión y el detallado flujo de ingeniería social puede mantener una confianza más baja en los procesos de incorporación de vaults del ecosistema. En comparación con una explotación puramente técnica, este patrón de “infiltración de meses de duración” tiende a mantener la aversión al riesgo elevada en proyectos similares.