A Drift afirma que o exploit de 270 milhões de dólares foi uma operação de seis meses da inteligência norte-coreana

Uma operação de recolha de informações com a duração de seis meses precedeu o exploit de $270 milhões do Drift Protocol e foi levada a cabo por um grupo ligado ao Estado da Coreia do Norte, de acordo com uma actualização detalhada do incidente publicada pela equipa mais cedo no domingo.

Os atacantes estabeleceram primeiro contacto por volta do outono de 2025, numa grande conferência de criptomoeda, apresentando-se como uma empresa de trading quantitativo que pretendia integrar-se no Drift.

Eram tecnicamente fluentes, tinham currículos profissionais verificáveis e compreendiam como o protocolo funcionava, disse o Drift. Foi criado um grupo no Telegram e, o que se seguiu foram meses de conversas substanciais sobre estratégias de trading e integrações de vaults, interacções que são típicas de como as empresas de trading fazem onboarding com protocolos DeFi.

Entre Dezembro de 2025 e Janeiro de 2026, o grupo integrou um Ecosystem Vault no Drift, realizou múltiplas sessões de trabalho com contribuidores, depositou mais de $1 milhão do seu próprio capital e construiu uma presença operacional funcional dentro do ecossistema.

Contribuidores do Drift encontraram-se cara a cara com indivíduos do grupo em várias conferências importantes da indústria, em vários países, até Fevereiro e Março. Quando o ataque foi lançado a 1 de Abril, a relação já tinha quase meio ano.

A violação parece ter resultado de dois vectores.

Um segundo fez download de uma aplicação TestFlight, a plataforma da Apple para distribuir aplicações em pré-visualização que contorna a revisão de segurança da App Store, que o grupo apresentou como o seu produto de carteira.

No vector do repositório, o Drift apontou para uma vulnerabilidade conhecida no VSCode e no Cursor, dois dos editores de código mais usados no desenvolvimento de software, que a comunidade de segurança vinha sinalizando desde o final de 2025, onde bastava simplesmente abrir um ficheiro ou uma pasta no editor para executar silenciosamente código arbitrário sem qualquer prompt ou aviso de qualquer tipo.

Uma vez os dispositivos comprometidos, os atacantes tinham tudo o que precisavam para obter as duas aprovações multisig que permitiram o ataque de nonce durável que a CoinDesk detalhou mais cedo esta semana. Essas transacções pré-assinadas ficaram dormentes durante mais de uma semana antes de serem executadas a 1 de Abril, drenando $270 milhões dos vaults do protocolo em menos de um minuto.

A atribuição aponta para UNC4736, um grupo ligado ao Estado da Coreia do Norte, também rastreado como AppleJeus ou Citrine Sleet, com base tanto em fluxos de fundos on-chain que remontam aos atacantes do Radiant Capital como em sobreposição operacional com personas conhecidas associadas ao DPRK.

As pessoas que pareceram em presença física nas conferências, no entanto, não eram nacionais da Coreia do Norte. Os actores de ameaça do DPRK neste nível são conhecidos por recorrer a intermediários terceiros com identidades totalmente construídas, historais de emprego e redes profissionais concebidas para resistirem à diligência devida.

O Drift apelou a outros protocolos para auditarem os controlos de acesso e tratarem qualquer dispositivo que toque num multisig como um alvo potencial. A implicação mais ampla é desconfortável para uma indústria que depende da governação via multisig como o seu principal modelo de segurança.

Mas se os atacantes estiverem dispostos a despender seis meses e um milhão de dólares a construir uma presença legítima dentro de um ecossistema, a reunir-se com equipas presencialmente, a contribuir com capital real e a esperar, então a questão é: que modelo de segurança está preparado para o detectar?