Drift Protocol a déclaré que l'attaque du 1er avril sur sa plateforme avait fait suite à des mois de planification et d'ingénierie sociale.
L'échange décentralisé a lié l'affaire à un groupe qui a passé du temps à établir la confiance avec les contributeurs avant d'envoyer des outils et des liens malveillants. Les estimations externes chiffrent la perte à environ 280 millions de dollars.
Drift Protocol a déclaré que son examen préliminaire avait révélé une campagne longue et organisée contre la plateforme. L'équipe a déclaré que les attaquants avaient fait preuve d'un "soutien organisationnel, de ressources et de mois de préparation délibérée" pendant l'opération.
L'échange a déclaré que le contact avait commencé vers octobre 2025. Selon Drift, des personnes se faisant passer pour des membres d'une société de trading quantitatif ont approché des contributeurs lors d'une conférence crypto majeure et ont affirmé vouloir s'intégrer au protocole.
Drift a déclaré que le groupe avait continué à rencontrer des contributeurs lors de plusieurs événements de l'industrie au cours des six mois suivants. L'équipe a déclaré que les personnes impliquées étaient techniquement compétentes, savaient comment Drift fonctionnait et semblaient avoir de réelles expériences professionnelles.
Ce contact constant a aidé le groupe à gagner la confiance. Drift a déclaré que les attaquants ont ensuite utilisé des liens et des outils malveillants partagés avec les contributeurs pour compromettre les appareils, exécuter l'exploit et supprimer les traces de leur activité après l'intrusion.
De plus, Drift a déclaré avoir une "confiance moyenne-élevée" que les mêmes acteurs derrière le piratage d'octobre 2024 de Radiant Capital ont mené cet exploit. Cette attaque antérieure avait causé des pertes d'environ 58 millions de dollars et impliquait également des logiciels malveillants utilisés pour accéder aux systèmes internes.
Radiant Capital a déclaré en décembre 2024 qu'un pirate aligné sur la Corée du Nord s'était fait passer pour un ancien entrepreneur et avait envoyé un logiciel malveillant via Telegram. Radiant a déclaré que "ce fichier ZIP" s'était ensuite propagé parmi les développeurs pour obtenir des retours et avait ouvert la voie à l'intrusion.
Drift a déclaré que les personnes qui ont rencontré les contributeurs en personne "n'étaient pas des ressortissants nord-coréens". Dans le même temps, l'équipe a déclaré que les acteurs de la menace liés à la RPDC utilisent souvent des intermédiaires tiers pour les contacts en face à face et l'établissement de relations.
L'échange a déclaré travailler actuellement avec les forces de l'ordre et d'autres acteurs de l'industrie crypto pour établir un dossier complet de l'attaque du 1er avril.
L'affaire a également ajouté un nouvel avertissement pour les entreprises crypto, car les conférences et les réunions en personne peuvent offrir aux groupes de menace l'opportunité d'étudier les équipes, d'établir la confiance et de préparer des attaques ultérieures.
