Децентралізована біржа Drift Protocol на базі Solana заявила в неділю, що атака, в результаті якої з платформи було виведено близько 285 мільйонів доларів, була структурованою шестимісячною розвідувальною операцією групи загроз, пов'язаної з державою Північної Кореї.

Зловмисники використовували сфабриковані професійні ідентичності, особисті зустрічі на конференціях та шкідливі інструменти розробника, щоб скомпрометувати учасників перед тим, як здійснити витік, йдеться в детальному оновленні протоколу про інцидент.

"Криптокоманди зараз стикаються з супротивниками, які діють скоріше як розвідувальні підрозділи, ніж як хакери, і більшість організацій структурно не готові до такого рівня загрози", — сказав Майкл Перл, віце-президент зі стратегії блокчейн-безпекової фірми Cyvers, виданню Decrypt.

Drift повідомив, що група вперше звернулася до учасників на великій криптоконференції минулої осені, представившись кількісною торговою фірмою, яка прагне інтегруватися з протоколом.

Протягом кількох місяців група завойовувала довіру через особисті зустрічі, координацію в Telegram, завантажила Ecosystem Vault на Drift та зробила депозит у розмірі 1 мільйона доларів власного капіталу, лише для того, щоб зникнути, а чати та шкідливе програмне забезпечення були “повністю очищені” після удару експлойту.

DEX заявила, що вторгнення могло включати шкідливий репозиторій коду, підроблену програму TestFlight та вразливість VSCode/Cursor, яка дозволяла приховано виконувати код без взаємодії з користувачем.

Drift приписав атаку з "середньо-високою впевненістю" UNC4736, також відомій як AppleJeus або Citrine Sleet – тій самій групі, пов'язаній з державою Північної Кореї, яку фірма з кібербезпеки Mandiant пов'язала з хаком Radiant Capital у 2024 році.

Drift зазначив, що особи, які зустрічалися з учасниками особисто, не були громадянами Північної Кореї, зауваживши, що пов'язані з КНДР актори часто покладаються на сторонніх посередників для "особистого спілкування".

Потоки коштів у мережі та перекриваючі персоналії вказують на пов'язаних з КНДР акторів, згідно з даними групи реагування на інциденти SEAL 911, хоча Mandiant ще не підтвердила атрибуцію до завершення експертизи, зазначила платформа.

Дослідник безпеки @tayvano_, один з експертів, якому Drift висловив подяку за допомогу у виявленні зловмисників, припустив, що масштаби проблеми значно ширші, ніж цей інцидент.

У твіті експерт перерахував десятки протоколів DeFi, стверджуючи, що "ІТ-працівники КНДР створювали протоколи, які ви знаєте і любите, ще з часів DeFi-літа".

Наслідки для галузі

"Drift та Bybit демонструють той самий патерн — підписувачі не були безпосередньо скомпрометовані на рівні протоколу, їх обманом змусили схвалити шкідливі транзакції", — зазначив Перл. "Основна проблема полягає не в кількості підписувачів, а у відсутності розуміння наміру транзакції".

Він сказав, що мультипідписні гаманці, хоча й є покращенням порівняно з контролем одним ключем, тепер створюють хибне відчуття безпеки, запроваджуючи "парадокс", коли спільна відповідальність знижує пильність серед підписувачів.

«Безпека має перейти до попередньої перевірки транзакцій на рівні блокчейну, де транзакції незалежно симулюються та перевіряються перед виконанням», — сказав Перл, додавши, що як тільки зловмисники контролюють те, що бачать користувачі, єдиний ефективний захист — це перевірка того, що транзакція насправді робить, незалежно від інтерфейсу.

Щодо інструментів розробника як поверхні для атаки, Лавід сказав, що припущення має змінитися з основи.

"Ви повинні припускати, що кінцева точка скомпрометована", — сказав він Decrypt, вказуючи на IDE, репозиторії коду, мобільні додатки та середовища підписантів як на все більш поширені точки входу.

«Якщо ці базові інструменти вразливі, будь-що, показане користувачеві — включаючи транзакції — може бути маніпульоване», — сказав експерт, зазначивши, що це «фундаментально руйнує традиційні припущення щодо безпеки», залишаючи команди нездатними довіряти «інтерфейсу, пристрою або навіть процесу підписання».