Взлом Drift Protocol: фальшивая квантовая фирма привела к убыткам в $285 млн

Атака на протокол Drift разворачивалась в течение шести месяцев: злоумышленники выдавали себя за фирму количественной торговли, а не похищали ключи в один момент. С осени 2025 года группа выстраивала доверие через личные встречи в нескольких странах и интенсивные обсуждения по интеграции. Канал в Telegram был создан в первый день. К декабрю 2025 года атакующие подключили Ecosystem Vault и внесли более $1 млн собственного капитала. К февралю 2026 года участники считали отношения легитимными. 1 апреля 2026 года Drift заявила, что доступ атакующих перешел в активную эксплуатацию. Чаты в Telegram исчезли, вредоносное ПО было удалено с затронутых конечных устройств, и инцидент привел к хищению $285 млн — после того как Drift уже была скомпрометирована. Drift называет три вероятных вектора входа: (1) клонированный репозиторий для «frontend» хранилища (vault), (2) убеждение контрибьютора установить приложение в TestFlight, рекламируемое как кошелек, и (3) эксплуатация известной уязвимости VSCode/Cursor (дек. 2025–фев. 2026), которая может тихо выполнять произвольный код при открытии файлов/папок. Атрибуция связывается с высокой-средней степенью уверенности с актерами, аффилированными с КНДР, отслеживаемыми как UNC4736/AppleJeus/Citrine Sleet, связанными с предыдущей атакой на Radiant Capital в октябре 2024 года. Mandiant продолжает формальную атрибуцию и судебную экспертизу устройств. Реакция: Drift заморозила оставшиеся функции протокола, удалилa с мультисига скомпрометированные кошельки и отметила кошельки атакующих для бирж/операторов мостов. Drift призывает потенциально целевые команды связаться с SEAL911. Для трейдеров эта атака на протокол Drift подчеркивает риски безопасности смарт‑контрактов и «уровня доверия» в DeFi‑хранилищах и может оказать давление на сентимент вокруг DRIFT в краткосрочной перспективе.