پروتکل دریف (Drift Protocol) اعلام کرد که حمله ۱ آوریل به پلتفرم آن، نتیجه ماهها برنامهریزی و مهندسی اجتماعی بوده است.
این صرافی غیرمتمرکز، این پرونده را به گروهی مرتبط دانست که پیش از ارسال ابزارها و لینکهای مخرب، زمانی را صرف جلب اعتماد مشارکتکنندگان کرده بودند. تخمینهای خارجی، میزان ضرر را حدود ۲۸۰ میلیون دلار برآورد کردهاند.
پروتکل دریف اعلام کرد که بررسی اولیه آن یک کمپین طولانی و سازمانیافته علیه پلتفرم را نشان داده است. تیم دریف گفت که مهاجمان در طول عملیات خود "پشتیبانی سازمانی، منابع و ماهها آمادگی عمدی" را به نمایش گذاشتند.
این صرافی گفت که تماسها از حدود اکتبر ۲۰۲۵ آغاز شد. به گفته دریف، افرادی که خود را اعضای یک شرکت تجارت الگوریتمی (quantitative trading firm) معرفی کرده بودند، در یک کنفرانس بزرگ رمزارزی به مشارکتکنندگان نزدیک شده و ادعا کردند که میخواهند با این پروتکل ادغام شوند.
دریف گفت که این گروه در طول شش ماه آینده، به ملاقات با مشارکتکنندگان در چندین رویداد صنعتی ادامه داد. تیم دریف اظهار داشت که افراد درگیر، از نظر فنی ماهر بودند، نحوه عملکرد دریف را میدانستند و به نظر میرسید سوابق حرفهای واقعی داشته باشند.
این تماس مستمر به گروه کمک کرد تا اعتماد جلب کند. دریف گفت که مهاجمان بعدها از لینکها و ابزارهای مخرب به اشتراک گذاشته شده با مشارکتکنندگان برای نفوذ به دستگاهها، اجرای سوءاستفاده (exploit) و حذف ردپای فعالیت خود پس از نفوذ استفاده کردند.
علاوه بر این، دریف اعلام کرد که "اطمینان متوسط تا بالا" دارد که همان عاملان پشت حمله اکتبر ۲۰۲۴ به رادیانت کپیتال (Radiant Capital) این سوءاستفاده را انجام دادهاند. آن حمله قبلی حدود ۵۸ میلیون دلار خسارت به بار آورد و همچنین شامل بدافزاری بود که برای دسترسی به سیستمهای داخلی استفاده شده بود.
رادیانت کپیتال در دسامبر ۲۰۲۴ اعلام کرد که یک هکر مرتبط با کره شمالی خود را به عنوان پیمانکار سابق جا زده و بدافزاری را از طریق تلگرام ارسال کرده است. رادیانت گفت که "این فایل ZIP" بعدها در میان توسعهدهندگان برای بازخورد منتشر شد و راه را برای نفوذ باز کرد.
دریف گفت افرادی که حضوری با مشارکتکنندگان دیدار کرده بودند "شهروندان کره شمالی نبودند." در عین حال، تیم دریف اعلام کرد که عاملان تهدید مرتبط با کره شمالی اغلب از واسطههای شخص ثالث برای تماس حضوری و ایجاد رابطه استفاده میکنند.
این صرافی گفت که اکنون با سازمانهای انتظامی و سایر مشارکتکنندگان صنعت رمزارز همکاری میکند تا سابقه کاملی از حمله ۱ آوریل ایجاد کند.
این پرونده همچنین هشداری تازه برای شرکتهای رمزارزی به همراه داشته است، زیرا کنفرانسها و دیدارهای حضوری میتوانند به گروههای تهدیدکننده فرصت دهند تا تیمها را بررسی کنند، اعتماد ایجاد کنند و حملات بعدی را آماده سازند.
