Le cofondateur de Solana, Anatoly Yakovenko, a qualifié de "terrifiant" le récent piratage du protocole Drift après qu'il a été révélé qu'il résultait d'une attaque d'ingénierie sociale sophistiquée menée par des pirates nord-coréens.
Comme l'a rapporté U.Today, 270 millions de dollars ont récemment été siphonnés du protocole Drift, ce qui en fait le plus grand piratage Solana à ce jour au sein de l'écosystème. Le protocole a été contraint de suspendre tous les dépôts et retraits, avertissant explicitement les utilisateurs que l'incident n'était pas un poisson d'avril.
Le rapport, récemment partagé par Drift Protocol, a révélé que les malfaiteurs derrière ce piratage historique ont physiquement traqué et manipulé socialement les développeurs dans la vie réelle. Cela a nécessité une patience et des ressources alarmantes.
L'opération est fortement suspectée d'être l'œuvre d'un groupe de menace affilié à l'État nord-coréen.
À partir de fin 2025, des intermédiaires tiers (qui n'étaient pas des ressortissants nord-coréens) ont physiquement approché des contributeurs de Drift lors de grandes conférences crypto. Les attaquants, qui affichaient des antécédents professionnels vérifiables et une maîtrise technique, se sont fait passer pour une société de trading quantitatif cherchant à s'intégrer au protocole.
La fausse société de trading a intégré un Ecosystem Vault sur Drift entre décembre 2025 et janvier 2026 et y a déposé plus d'un million de dollars de leur propre capital.
Les attaquants avaient réussi à maintenir l'illusion pendant six mois. Ils ont travaillé en étroite collaboration avec les contributeurs de Drift lors de multiples sessions de travail et les ont rencontrés en personne lors de diverses conférences internationales en février et mars 2026.
En avril, les attaquants avaient réussi à établir une relation d'affaires de confiance. Les contributeurs de Drift n'ont pas suspecté de malveillance lorsque le groupe a partagé des liens vers des projets qu'ils affirmaient être en cours de développement.
Un contributeur a cloné un dépôt de code partagé par les attaquants. Ce dépôt contenait probablement une vulnérabilité connue affectant les éditeurs de texte VSCode et Cursor. Un deuxième contributeur a été convaincu de télécharger une fausse application TestFlight.
Les attaquants ont effacé toutes leurs discussions Telegram et supprimé le logiciel malveillant après l'exploit réussi.
