El protocolo Drift afirmó que el hackeo de más de $280 millones que sufrió la semana pasada fue el resultado de una operación a largo plazo y cuidadosamente planificada, que incluyó la construcción de "una presencia operativa funcional dentro del ecosistema Drift".
El 1 de abril, la plataforma de trading basada en Solana detectó actividad inusual, que luego confirmó la pérdida de fondos en un ataque sofisticado que permitió secuestrar las facultades administrativas del Consejo de Seguridad. Las firmas de inteligencia blockchain Elliptic y TRM Labs atribuyeron el robo a hackers norcoreanos, quienes tardaron unos 12 minutos en vaciar los activos de los usuarios.
La investigación reveló que los hackers habían estado preparando el ataque durante al menos seis meses, haciéndose pasar por una firma cuantitativa y contactando en persona a colaboradores de Drift en múltiples conferencias de criptomonedas. "Ahora se entiende que esto parece ser un enfoque dirigido, donde individuos de este grupo continuaron buscando deliberadamente e interactuando con colaboradores específicos de Drift, en persona, en varias conferencias importantes de la industria en múltiples países durante los siguientes seis meses", señaló Drift Protocol.
El actor de amenazas continuó comunicándose con sus objetivos a través de Telegram, discutiendo estrategias de trading y posibles integraciones de vaults. Mostraban competencia técnica y familiaridad con el funcionamiento de Drift, con interacciones que se asemejaban a los intercambios típicos de onboarding entre firmas de trading y la plataforma. Según Drift, el grupo de Telegram utilizado para contactar a los colaboradores fue eliminado inmediatamente después del robo.
La plataforma no ha determinado con certeza el vector de ataque, pero cree que dos colaboradores fueron comprometidos de las siguientes maneras: un repositorio de código malicioso compartido con un colaborador, posiblemente explotando una vulnerabilidad en VSCode/Cursor que permitió la ejecución silenciosa de código; y una aplicación maliciosa de TestFlight presentada como un producto de wallet.
Múltiples indicadores en las investigaciones de Elliptic y TRM Labs apuntan a un actor de amenazas norcoreano. Los hallazgos de Drift también indican con confianza media-alta que el ataque fue perpetrado por UNC4736 (también conocido como AppleJeus y Labyrinth Chollima), un actor de amenazas vinculado a Corea del Norte por varias empresas de seguridad. La empresa de respuesta a incidentes Mandiant ha asociado previamente a UNC4736 con Lazarus. El mismo grupo es responsable del ataque a la cadena de suministro de 3CX en 2023, el robo de criptomonedas de $50 millones a Radiant en 2024, y también se ha vinculado con la explotación de un día cero en Chrome.
Sin embargo, se señala que los actores presenciales que se reunieron con colaboradores clave de Drift en las conferencias eran intermediarios no coreanos. Actualmente, todas las funciones del protocolo Drift permanecen congeladas y las wallets comprometidas han sido eliminadas del proceso multisig. Drift afirma que las wallets de los atacantes han sido señalizadas en exchanges y operadores de puentes para evitar que el actor de amenazas mueva o retire los fondos.
