Atak na Drift Protocol: fałszywa firma ilościowa doprowadziła do straty 285 mln USD
Atak na protokół Drift rozwijał się przez sześć miesięcy; napastnicy podszywali się pod firmę tradingu ilościowego zamiast kraść klucze w jednym momencie. Od jesieni 2025 r. grupa budowała zaufanie poprzez spotkania osobiste w kilku krajach oraz intensywne rozmowy dotyczące onboardingu.
Kanał Telegram został utworzony pierwszego dnia. W grudniu 2025 r. napastnicy zintegrowali Ecosystem Vault i wpłacili ponad 1 mln USD własnego kapitału. W lutym 2026 r. współpracownicy wierzyli, że relacja jest legalna.
1 kwietnia 2026 r. Drift informuje, że dostęp napastnika zamienił się w aktywne wykorzystanie. Czaty w Telegramie zniknęły, zainfekowane endpointy oczyszczono ze złośliwego oprogramowania, a incydent doprowadził do utraty 285 mln USD — po tym, jak Drift został już skompromitowany.
Drift wymienia trzy prawdopodobne wektory wejścia: (1) sklonowane repozytorium dla „vault frontend”, (2) przekonanie współpracownika do zainstalowania aplikacji TestFlight reklamowanej jako produkt portfela, oraz (3) wykorzystanie znanej luki w VSCode/Cursor (gru 2025–lut 2026), która może cicho wykonywać dowolny kod przy otwieraniu plików/folderów.
Atrybucja jest powiązana ze średnio-wysokim poziomem pewności z aktorami powiązanymi ze stanem Korei Północnej, śledzonymi jako UNC4736/AppleJeus/Citrine Sleet, powiązanymi z wcześniejszym atakiem na Radiant Capital w październiku 2024 r. Mandiant nadal prowadzi formalną atrybucję i badania sądowo‑techniczne urządzeń.
Reakcja: Drift zamroził pozostałe funkcje protokołu, usunął skompromitowane portfele z multisig i oznaczył portfele napastników u giełd/operatorów mostów. Drift wzywa zespoły, które mogły zostać zaatakowane, do kontaktu z SEAL911. Dla traderów ten atak na protokół Drift wzmacnia ryzyko bezpieczeństwa smart kontraktów i „warstwy zaufania” w vaultach DeFi i może wpłynąć na nastroje wobec DRIFT w krótkim terminie.
Bearish
Ta wiadomość jest negatywna dla DRIFT, ponieważ atak na Drift Protocol obejmował długotrwałe kompromitowanie warstwy zaufania, co skutkowało dużą stratą w wysokości 285 mln USD. W krótkim terminie traderzy zazwyczaj reagują przez zmniejszenie ekspozycji na vaulty DeFi, poszerzanie postrzeganych premii za ryzyko smart kontraktów i ryzyko operacyjne oraz sprzedaż tokena dotkniętego protokołu. W długim terminie, nawet przy zastosowaniu działań łagodzących (funkcje zamrażania, usuwanie członków multisig, oznaczanie przez giełdy/mosty), niepewność co do dokładnego momentu kompromitacji i szczegółowego przebiegu inżynierii społecznej może podtrzymywać niższe zaufanie do procesów onboardingowych vaultów w ekosystemie. W porównaniu z czysto technicznym atakiem, wzorzec „wprzęgania trwającego miesiącami” ma tendencję do utrzymywania podwyższonej awersji do ryzyka w podobnych projektach.