Vụ hack Drift Protocol: công ty định lượng giả dẫn đến thiệt hại 285 triệu USD

Cuộc tấn công vào giao thức Drift diễn ra trong sáu tháng; những kẻ tấn công giả danh một công ty giao dịch định lượng thay vì đánh cắp khóa trong một thời điểm duy nhất. Bắt đầu từ mùa thu 2025, nhóm xây dựng lòng tin thông qua các cuộc gặp trực tiếp ở nhiều quốc gia và các cuộc thảo luận tập trung vào quy trình onboard. Một kênh Telegram được tạo ngay ngày đầu tiên. Đến tháng 12/2025, kẻ tấn công đã onboard một Ecosystem Vault và gửi hơn 1 triệu USD vốn tự có. Đến tháng 2/2026, các đóng góp viên tin rằng mối quan hệ là hợp pháp. Ngày 1/4/2026, Drift cho biết quyền truy cập của kẻ tấn công đã chuyển thành khai thác chủ động. Các cuộc trò chuyện trên Telegram biến mất, phần mềm độc hại bị xóa khỏi các endpoint bị ảnh hưởng và sự cố dẫn đến việc lấy đi 285 triệu USD — sau khi Drift đã bị xâm phạm. Drift liệt kê ba vector xâm nhập có khả năng: (1) một kho mã sao chép cho “giao diện vault”, (2) thuyết phục một đóng góp viên cài app TestFlight được tiếp thị như sản phẩm ví, và (3) lợi dụng lỗ hổng VSCode/Cursor đã biết (thg 12/2025–thg 2/2026) có thể im lặng thực thi mã tùy ý khi mở file/thư mục. Việc quy kết chịu trách nhiệm được liên kết, với độ tin cậy trung-cao, tới các tác nhân liên quan nhà nước CHDCND Triều Tiên, được theo dõi là UNC4736/AppleJeus/Citrine Sleet, liên quan đến vụ tấn công Radiant Capital tháng 10/2024 trước đó. Mandiant vẫn đang tiến hành quy kết chính thức và điều tra pháp y thiết bị. Phản ứng: Drift đã đóng băng các chức năng còn lại của giao thức, loại bỏ các ví bị xâm phạm khỏi multisig và đánh dấu các ví của kẻ tấn công với các sàn/nhà điều hành cầu. Drift kêu gọi các đội có thể là mục tiêu liên hệ SEAL911. Đối với nhà giao dịch, vụ hack này nhấn mạnh rủi ro bảo mật của hợp đồng thông minh và “lớp niềm tin” trong các vault DeFi và có thể ảnh hưởng đến tâm lý về DRIFT trong ngắn hạn.