Uma operação de inteligência com duração de seis meses precedeu o exploit de $270 milhões do Drift Protocol e foi levada a cabo por um grupo ligado ao Estado norte-coreano, segundo uma atualização detalhada do incidente publicada pela equipa mais cedo no domingo.
Os atacantes estabeleceram primeiro contacto por volta do outono de 2025 numa grande conferência de cripto, apresentando-se como uma empresa de trading quantitativo que pretendia integrar-se com o Drift.
Tinham fluência técnica, perfis profissionais verificáveis e compreendiam como o protocolo funcionava, disse a Drift. Foi criado um grupo no Telegram e, a partir daí, sucederam-se meses de conversas substanciais sobre estratégias de trading e integrações de vaults, interações que são padrão para as empresas de trading fazerem onboarding com protocolos DeFi.
Entre dezembro de 2025 e janeiro de 2026, o grupo fez o onboarding de um Ecosystem Vault no Drift, realizou múltiplas sessões de trabalho com contribuidores, depositou mais de $1 milhão do seu próprio capital e construiu uma presença operacional funcional dentro do ecossistema.
Contribuidores da Drift encontraram-se presencialmente com indivíduos do grupo em várias conferências importantes da indústria, em vários países, até fevereiro e março. Quando o ataque foi lançado a 1 de abril, a relação tinha quase meio ano.
A intrusão parece ter resultado de dois vetores.
Um segundo transferiu uma aplicação TestFlight, a plataforma da Apple para distribuir apps pré-lançamento que contornam a análise de segurança da App Store, a qual o grupo apresentou como o seu produto de carteira.
Quanto ao vetor do repositório, a Drift apontou para uma vulnerabilidade conhecida no VSCode e no Cursor, dois dos editores de código mais amplamente utilizados no desenvolvimento de software, que a comunidade de segurança vinha a assinalar desde o final de 2025, em que apenas abrir um ficheiro ou uma pasta no editor era suficiente para executar silenciosamente código arbitrário, sem qualquer prompt ou aviso de qualquer tipo.
Uma vez os dispositivos comprometidos, os atacantes passaram a ter o que precisavam para obter as duas aprovações multisig que habilitaram o ataque de nonce duradouro que a CoinDesk detalhou anteriormente esta semana. Essas transações pré-assinadas ficaram inativas por mais de uma semana antes de serem executadas a 1 de abril, drenando $270 milhões dos vaults do protocolo em menos de um minuto.
A atribuição aponta para a UNC4736, um grupo ligado ao Estado norte-coreano também acompanhado como AppleJeus ou Citrine Sleet, com base tanto em fluxos de fundos on-chain que remontam aos atacantes do Radiant Capital como em sobreposição operacional com personalidades conhecidas associadas à DPRK.
As pessoas que apareceram pessoalmente nas conferências, contudo, não eram cidadãos norte-coreanos. Os atores de ameaça da DPRK neste nível são conhecidos por recorrer a intermediários terceiros com identidades totalmente construídas, históricos de emprego e redes profissionais concebidas para resistir à diligência devida.
A Drift exortou outros protocolos a auditar os controlos de acesso e a tratar todos os dispositivos que interajam com um multisig como um alvo potencial. A implicação mais ampla é desconfortável para uma indústria que depende da governação por multisig como modelo de segurança principal.
Mas se os atacantes estão dispostos a passar seis meses e um milhão de dólares a construir uma presença legítima dentro de um ecossistema, a conhecer equipas pessoalmente, a contribuir com capital real e a esperar, então a questão é: que modelo de segurança foi concebido para o detetar?
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
