Протокол Drift заявив, що атака на його платформу 1 квітня стала результатом місяців планування та соціальної інженерії.
Децентралізована біржа пов'язала цей випадок з групою, яка витратила час на формування довіри з учасниками, перш ніж надіслати шкідливі інструменти та посилання. Зовнішні оцінки визначають збитки приблизно в $280 мільйонів.
Протокол Drift заявив, що його початковий огляд виявив тривалу та організовану кампанію проти платформи. Команда зазначила, що зловмисники продемонстрували «організаційну підтримку, ресурси та місяці цілеспрямованої підготовки» під час операції.
Біржа повідомила, що контакт почався приблизно в жовтні 2025 року. За даними Drift, люди, що видавали себе за членів кількісної торгової фірми, звернулися до учасників на великій криптоконференції та заявили, що хочуть інтегруватися з протоколом.
Drift заявив, що група продовжувала зустрічатися з учасниками на кількох галузевих заходах протягом наступних шести місяців. Команда зазначила, що залучені особи були технічно кваліфікованими, знали, як працює Drift, і, схоже, мали реальний професійний досвід.
Цей постійний контакт допоміг групі завоювати довіру. Drift повідомив, що зловмисники пізніше використали шкідливі посилання та інструменти, якими ділилися з учасниками, щоб скомпрометувати пристрої, здійснити експлойт та видалити сліди своєї активності після зламу.
Крім того, Drift заявив, що має «середньо-високу впевненість» у тому, що ті ж самі суб'єкти, що стоять за зломом Radiant Capital у жовтні 2024 року, здійснили цей експлойт. Та попередня атака спричинила збитки близько $58 мільйонів, а також включала шкідливе програмне забезпечення, використане для отримання доступу до внутрішніх систем.
Radiant Capital заявив у грудні 2024 року, що хакер, пов'язаний з Північною Кореєю, видав себе за колишнього підрядника та надіслав шкідливе програмне забезпечення через Telegram. Radiant повідомив, що «цей ZIP-файл» пізніше поширився серед розробників для отримання відгуків і відкрив шлях для вторгнення.
Drift заявив, що люди, які особисто зустрічалися з учасниками, «не були громадянами Північної Кореї». Водночас команда зазначила, що суб'єкти загрози, пов'язані з КНДР, часто використовують сторонніх посередників для особистих контактів та налагодження стосунків.
Біржа повідомила, що зараз працює з правоохоронними органами та іншими учасниками криптоіндустрії для створення повного запису про атаку 1 квітня.
Цей випадок також додав нове попередження для криптофірм, оскільки конференції та особисті зустрічі можуть дати групам загроз можливість вивчати команди, формувати довіру та готувати подальші атаки.
