Drift Protocol poinformował, że atak z 1 kwietnia na jego platformę był wynikiem wielomiesięcznego planowania i inżynierii społecznej.
Zdecentralizowana giełda powiązała tę sprawę z grupą, która spędziła czas na budowaniu zaufania ze współpracownikami, zanim wysłała złośliwe narzędzia i linki. Zewnętrzne szacunki oceniają straty na około 280 milionów dolarów.
Drift Protocol oświadczył, że jego wstępna analiza wykazała długą i zorganizowaną kampanię przeciwko platformie. Zespół stwierdził, że atakujący wykazali się „wsparciem organizacyjnym, zasobami i miesiącami celowych przygotowań” podczas operacji.
Giełda podała, że kontakt rozpoczął się około października 2025 roku. Według Drift, osoby podające się za członków firmy handlu kwantowego skontaktowały się ze współpracownikami na dużej konferencji kryptowalutowej i twierdziły, że chcą zintegrować się z protokołem.
Drift poinformował, że grupa kontynuowała spotkania ze współpracownikami na kilku wydarzeniach branżowych przez kolejne sześć miesięcy. Zespół stwierdził, że osoby te były technicznie uzdolnione, znały sposób działania Drift i wydawały się mieć prawdziwe doświadczenie zawodowe.
Ten stały kontakt pomógł grupie zdobyć zaufanie. Drift poinformował, że atakujący później użyli złośliwych linków i narzędzi udostępnionych współpracownikom, aby skompromitować urządzenia, przeprowadzić exploit i usunąć ślady swojej aktywności po naruszeniu.
Ponadto, Drift stwierdził, że ma „średnio-wysokie zaufanie”, iż ci sami aktorzy stojący za atakiem na Radiant Capital w październiku 2024 roku przeprowadzili ten exploit. Ten wcześniejszy atak spowodował straty w wysokości około 58 milionów dolarów i również wiązał się z użyciem złośliwego oprogramowania do uzyskania dostępu do systemów wewnętrznych.
Radiant Capital poinformował w grudniu 2024 roku, że haker powiązany z Koreą Północną podawał się za byłego kontrahenta i wysłał złośliwe oprogramowanie przez Telegram. Radiant stwierdził, że „ten plik ZIP” później rozprzestrzenił się wśród deweloperów w celu uzyskania informacji zwrotnej i otworzył drogę do włamania.
Drift poinformował, że osoby, które spotkały się ze współpracownikami osobiście, „nie były obywatelami Korei Północnej”. Jednocześnie zespół stwierdził, że podmioty zagrożenia powiązane z KRLD często wykorzystują pośredników do bezpośrednich kontaktów i budowania relacji.
Giełda podała, że obecnie współpracuje z organami ścigania i innymi uczestnikami branży krypto w celu stworzenia pełnego zapisu ataku z 1 kwietnia.
Sprawa ta stanowi również nowe ostrzeżenie dla firm kryptowalutowych, ponieważ konferencje i osobiste spotkania mogą dawać grupom zagrożenia szansę na badanie zespołów, budowanie zaufania i przygotowywanie późniejszych ataków.
