פריצת Drift Protocol: חברת כמות מזוייפת הובילה להפסד של 285 מיליון דולר

התקפת Drift Protocol התרחשה לאורך שישה חודשים, כאשר התוקפים התחזו לחברת מסחר כמותית במקום לגנוב מפתחות ברגע אחד. החל בסתיו 2025 הבנייה הקבוצה אמון באמצעות פגישות פנים-אל-פנים במדינות שונות ושיחות אינטנסיביות על onboarding. נוצר ערוץ Telegram ביום הראשון. בדצמבר 2025 התוקפים כבר onboarded לאקוסיסטם וולט והפקידו מעל מיליון דולר מהון שלהם. בפברואר 2026 תורמים האמינו שהמערכת לגיטימית. ב־1 באפריל 2026 Drift מצהירה שגישה של התוקפים הומרה לניצול פעיל. צ'אטים ב־Telegram נעלמו, תוכנה זדונית הוסרה מקצוות מושפעים, והאירוע הוביל לגניבת 285 מיליון דולר — לאחר ש־Drift כבר הושפע. Drift מפרטת שלוש וקטורי כניסה סבירים: (1) מאגר משוכפל עבור "vault frontend", (2) שכנוע תורם להתקין אפליקציית TestFlight שמשווקת כמוצר ארנק, ו(3) ניצול פגיעות ידועה של VSCode/Cursor (דצמ׳ 2025–פבר׳ 2026) שיכולה להריץ קוד אקראי בשקט בעת פתיחת קבצים/תיקיות. הייחוס מקושר, בביטחון בינוני-גבוה, לשחקנים מזוהים כחסויים של DPRK שמסומנים UNC4736/AppleJeus/Citrine Sleet, הקשורים להתקפת Radiant Capital מאוקטובר 2024. ייחוס פורמלי של Mandiant ופשעי מחשב על המכשירים עדיין בתהליך. תגובה: Drift קפאה פונקציות פרוטוקול שנותרו, הסירה ארנקים שנפרצו ממערכת multisig, וסימנה ארנקים של התוקפים מול בורסות/מפעילי גשרים. Drift קוראת לצוותים שעשויים להיות יעד ליצור קשר עם SEAL911. לסוחרים, ההתקפה הזו מחזקת את הסיכונים של אבטחת חוזים חכמים ו״שכבת האמון״ ב‑DeFi vaults ועלולה ללחוץ על הסנטימנט סביב DRIFT בטווח הקצר.