Drift กล่าวว่า การเอ็กซ์พลอยต์มูลค่า 270 ล้านดอลลาร์สหรัฐ เป็นปฏิบัติการข่าวกรองเกาหลีเหนือที่กินเวลาหกเดือน

ปฏิบัติการข่าวกรองที่กินเวลาหกเดือนมาก่อนการแฮ็กมูลค่า 270 ล้านดอลลาร์ของ Drift Protocol และดำเนินการโดยกลุ่มที่มีความเกี่ยวข้องกับรัฐเกาหลีเหนือ ตามรายงานเหตุการณ์โดยละเอียดที่ทีมเผยแพร่ก่อนหน้านี้ในวันอาทิตย์

ผู้โจมตีได้เริ่มติดต่อครั้งแรกประมาณช่วงฤดูใบไม้ร่วงปี 2025 ในงานประชุมคริปโตครั้งสำคัญ โดยแนะนำตัวว่าตนเป็นบริษัทเทรดดิ้งเชิงปริมาณ และต้องการผสานเข้ากับ Drift

Drift ระบุว่าพวกเขามีความเชี่ยวชาญทางเทคนิคสูง มีประวัติการทำงานแบบมืออาชีพที่ตรวจสอบได้ และเข้าใจว่าพิธีการของโปรโตคอลทำงานอย่างไร กลุ่ม Telegram ถูกจัดตั้งขึ้น และสิ่งที่ตามมาคือการพูดคุยที่มีสาระต่อเนื่องหลายเดือนเกี่ยวกับกลยุทธ์การเทรดและการผสานเข้ากับ vault ซึ่งเป็นรูปแบบมาตรฐานสำหรับบริษัทเทรดดิ้งที่เข้าร่วมกับโปรโตคอล DeFi

ระหว่างเดือนธันวาคม 2025 ถึงมกราคม 2026 กลุ่มได้เข้าร่วมใช้งาน Ecosystem Vault บน Drift จัดการประชุมทำงานหลายรอบกับผู้สนับสนุน วางเงินทุนของตนเองมากกว่า $1 million และสร้างการปรากฏตัวเชิงปฏิบัติการที่ใช้งานได้จริงภายในระบบนิเวศ

ผู้สนับสนุนของ Drift ได้พบปะกับบุคคลจากกลุ่มแบบตัวต่อตัวในงานประชุมอุตสาหกรรมรายใหญ่หลายแห่งในหลายประเทศ จนถึงเดือนกุมภาพันธ์และมีนาคม เมื่อถึงเวลาที่การโจมตีเริ่มขึ้นในวันที่ 1 เมษายน ความสัมพันธ์ก็มีอายุกว่าเกือบครึ่งปีแล้ว

ดูเหมือนว่าการบุกรุกจะเกิดผ่านสองช่องทาง

ช่องทางที่สองได้ดาวน์โหลดแอป TestFlight ซึ่งเป็นแพลตฟอร์มของ Apple สำหรับการเผยแพร่แอปก่อนออกสู่ตลาดที่หลีกเลี่ยงการตรวจสอบความปลอดภัยของ App Store ซึ่งกลุ่มได้นำเสนอว่าเป็นผลิตภัณฑ์กระเป๋าเงินของตน

สำหรับช่องทางผ่าน repository นั้น Drift ชี้ไปที่ช่องโหว่ที่เป็นที่รู้จักใน VSCode และ Cursor ซึ่งเป็นโปรแกรมแก้ไขโค้ดที่ถูกใช้กันอย่างแพร่หลายที่สุดสองตัวในการพัฒนาซอฟต์แวร์ โดยชุมชนด้านความปลอดภัยได้ให้สัญญาณเตือนมาตั้งแต่ช่วงปลายปี 2025 ว่าการเปิดไฟล์หรือโฟลเดอร์ใน editor เพียงอย่างเดียวก็เพียงพอที่จะทำให้โค้ดใดๆ แบบพลการถูกรันอย่างเงียบๆ โดยไม่มีการขออนุญาตหรือคำเตือนใดๆ

เมื่ออุปกรณ์ถูกบุกรุกแล้ว ผู้โจมตีก็มีทุกอย่างที่ต้องใช้เพื่อขอการอนุมัติแบบ multisig สองครั้ง ซึ่งทำให้เกิดการโจมตี durable nonce ที่ CoinDesk รายละเอียดไว้ก่อนหน้านี้ในสัปดาห์นี้ ทรานแซกชันที่เซ็นไว้ล่วงหน้านั้นถูกปล่อยให้นิ่งอยู่มากกว่าหนึ่งสัปดาห์ก่อนจะถูกดำเนินการในวันที่ 1 เมษายน โดยระบายเงิน $270 million ออกจาก vault ของโปรโตคอลภายในเวลาไม่ถึงหนึ่งนาที

การโยงตัวผู้กระทำชี้ไปที่ UNC4736 ซึ่งเป็นกลุ่มที่มีความเกี่ยวข้องกับรัฐเกาหลีเหนือ และยังถูกติดตามในชื่อ AppleJeus หรือ Citrine Sleet โดยอิงทั้งการไหลของเงินบนเชนที่ย้อนกลับไปหาผู้โจมตี Radiant Capital และความทับซ้อนด้านปฏิบัติการกับบุคคลที่เชื่อมโยงกับ DPRK ที่เป็นที่รู้จัก

อย่างไรก็ตาม บุคคลที่ปรากฏตัวต่อหน้าในงานประชุมไม่ได้เป็นสัญชาติเกาหลีเหนือ ผู้แสดงภัยคุกคามของ DPRK ในระดับนี้เป็นที่รู้จักกันว่ามีการใช้ตัวกลางภายนอกที่มีตัวตนประกอบมาอย่างครบถ้วน ทั้งประวัติการจ้างงาน และเครือข่ายทางอาชีพที่ออกแบบมาเพื่อทนต่อการตรวจสอบสถานะอย่างละเอียด (due diligence)

Drift กระตุ้นให้โปรโตคอลอื่นตรวจสอบการควบคุมการเข้าถึง และปฏิบัติต่ออุปกรณ์ทุกเครื่องที่แตะ multisig เป็นเป้าหมายที่อาจถูกโจมตี ความหมายโดยรวมนี้ชวนให้ไม่สบายใจสำหรับอุตสาหกรรมที่พึ่งพา governance แบบ multisig เป็นแบบจำลองความปลอดภัยหลัก

แต่ถ้าผู้โจมตีเต็มใจใช้เวลาหกเดือนและเงินหนึ่งล้านดอลลาร์เพื่อสร้างการปรากฏตัวที่ดูชอบด้วยกฎหมายภายในระบบนิเวศ พบทีมแบบตัวต่อตัว มีส่วนร่วมด้วยเงินทุนจริง และรออยู่อย่างนั้น คำถามก็คือ แบบจำลองความปลอดภัยแบบใดที่ถูกออกแบบมาให้จับเหตุการณ์ลักษณะนี้ได้