У суботу Drift Protocol опублікував найдетальніший звіт про експлойт 1 квітня, який вивів приблизно 280 мільйонів доларів з децентралізованої біржі безстрокових свопів на базі Solana, описавши його як «структуровану розвідувальну операцію», підготовка якої зайняла близько шести місяців.

Згідно з оновленою інформацією, початковий контакт відбувся приблизно восени 2025 року, коли особи, які представилися як квантова торгова фірма, звернулися до учасників Drift на великій криптоконференції та висловили зацікавленість в інтеграції з протоколом. Під час цієї першої зустрічі була створена група в Telegram, і ті самі особи продовжували особисто зустрічатися з учасниками Drift на галузевих заходах у кількох країнах протягом наступних місяців.

У період з грудня 2025 року по січень 2026 року група запустила Ecosystem Vault на Drift, заповнивши стандартну форму стратегії, провівши кілька робочих сесій з учасниками та депонувавши понад 1 мільйон доларів власного капіталу. Drift заявив, що така поведінка відповідає тому, як легітимні торгові фірми зазвичай інтегруються з протоколом.

Криміналістична експертиза постраждалих пристроїв та історій комунікацій після експлойту вказала на ці стосунки як на ймовірний шлях вторгнення. Drift повідомив, що чати групи в Telegram та пов’язане зловмисне програмне забезпечення були видалені в момент початку атаки.

Два можливі вектори

Попередня оцінка Drift ідентифікує два ймовірні методи компрометації. Один з учасників міг бути інфікований після клонування репозиторію коду, який група надала під приводом розгортання інтерфейсу для їхнього сховища. Інший учасник був схилений до встановлення бета-версії програми через збірку TestFlight від Apple, яку група описувала як свій продукт-гаманець.

Щодо шляху через репозиторій, Drift вказав на вразливість VS Code та Cursor, про яку дослідники безпеки публічно попереджали між груднем 2025 року та лютим 2026 року, коли просте відкриття файлу, папки або репозиторію в редакторі могло приховано виконувати довільний код без запиту користувача.

Сам експлойт, як раніше повідомляв The Block, не був пов'язаний з багом смарт-контракту. Drift описав його як «новаторську атаку із залученням стійких нонсів» (durable nonces), легітимного примітиву Solana, що дозволяє попередньо підписувати транзакції та виконувати їх пізніше. Зловмисник заздалегідь отримав мультипідписні дозволи, ймовірно, через соціальну інженерію або спотворення транзакції, а потім використав попередньо підписані авторизації для захоплення адміністративних повноважень Ради Безпеки та виведення коштів з протоколу за лічені хвилини.

Зв'язок з Північною Кореєю

Drift заявив, що за підтримки команди SEAL 911, він з «середньо-високою впевненістю» оцінює, що операція була здійснена тими ж підтримуваними державою північнокорейськими акторами, відповідальними за злом Radiant Capital на 50 мільйонів доларів у жовтні 2024 року, який Mandiant приписав UNC4736, також відомій як AppleJeus або Citrine Sleet, хакерській групі, пов'язаній з Головним розвідувальним управлінням країни. 

Зв'язок базується на ончейн та операційних збігах, згідно з Drift. Потоки коштів, використані для підготовки та тестування операції Drift, простежуються до зловмисників Radiant, а особистості, використані в кампанії, мають ідентифіковані збіги з відомою діяльністю, пов'язаною з КНДР, повідомив Drift.

Важливо зазначити, що Drift підкреслив, що особи, які з'являлися на конференціях особисто, не були громадянами Північної Кореї. Суб'єкти загрози з КНДР, що діють на такому рівні, відомі тим, що використовують сторонніх посередників для налагодження стосунків, повідомив протокол, а профілі, використані в цій операції, мали повну історію працевлаштування, публічні облікові дані та професійні мережі, розроблені для витримки належної перевірки контрагента.

Mandiant, яку Drift залучив для проведення криміналістичного розслідування, ще не офіційно приписала злом Drift. Це визначення очікує завершення криміналістичної експертизи пристроїв.

Поточний стан Drift

Drift заявив, що всі функції протоколу, що залишилися, були заморожені, скомпрометовані гаманці видалені з мультипідпису, а адреси зловмисників були позначені біржами та операторами мостів. Ончейн-детектив ZachXBT окремо розкритикував емітента стейблкоїнів Circle за те, що він назвав повільною реакцією, стверджуючи, що зловмисник перевів приблизно 232 мільйони USDC з Solana до Ethereum через CCTP протягом шести годин без заморожування будь-яких коштів.

Експлойт Drift є найбільшим зломом DeFi у 2026 році на сьогоднішній день і посідає друге місце серед найбільших інцидентів безпеки в історії Solana після атаки на міст Wormhole на 325 мільйонів доларів у 2022 році.

Drift подякував незалежним дослідникам та членам SEAL 911 Тейлору Монахану, tanuki42_, pcaversaccio та Ніку Баксу за їхню роботу з ідентифікації дійових осіб, і закликав будь-які команди, які вважають, що вони могли стати мішенню тієї ж групи, звертатися безпосередньо до SEAL 911.

«Насправді, це найскладніша та найцілеспрямованіша атака, яку, на мою думку, здійснювала КНДР у криптопросторі», — написав tanuki42_ у X, додатково попередивши, що інші протоколи також могли стати мішенню. «Вербування численних посередників, а потім змушування їх націлюватися на конкретних людей у реальному житті на великих криптозаходах — це дика тактика».