การโจมตี DeFi ครั้งใหญ่ที่สุดของปีเริ่มต้นจากงานเน็ตเวิร์กกิงที่มีเครื่องดื่มฟรี — Drift Protocol เปิดเผยเมื่อ 5 เม.ย. ว่า Apr. 1 hack เมื่อวันที่ 1 เม.ย. เป็นผลจากปฏิบัติการข่าวกรองยาวนาน 6 เดือน ซึ่งขณะนี้เชื่อมโยงกับผู้ก่อภัยคุกคามที่เกี่ยวข้องกับรัฐเกาหลีเหนือในระดับความเชื่อมั่นปานกลางถึงสูง
รายละเอียดการโจมตี Drift Protocol
การแทรกซึม began ในฤดูใบไม้ร่วงปี 2025 เมื่อกลุ่มที่อ้างตัวว่าเป็นบริษัทเทรดเชิงปริมาณเข้าหาผู้พัฒนา Drift ที่งานประชุมคริปโตรายใหญ่ ตลอดหลายเดือนถัดมา พวกเขาพบปะสมาชิกทีมแบบตัวต่อตัวในงานอุตสาหกรรมหลายครั้งในหลายประเทศ
พวกเขาฝากเงินทุนของตนเองมากกว่า 1 ล้านดอลลาร์เข้าไปใน Ecosystem Vault
พวกเขาถามคำถามด้านผลิตภัณฑ์อย่างละเอียดในหลายเซสชันการทำงาน สร้างสิ่งที่ดูเหมือนเป็นปฏิบัติการเทรดที่ถูกต้องตามกฎหมายภายในโครงสร้างพื้นฐานของ Drift
ระหว่างเดือนธันวาคม 2025 ถึงมีนาคม 2026 กลุ่มนี้ได้กระชับความสัมพันธ์ผ่านการผสานการทำงานกับวอลต์และยังคงพบปะกันแบบตัวต่อตัวในงานประชุมต่าง ๆ ผู้ร่วมพัฒนาไม่มีเหตุให้สงสัย — ณ เวลาที่เกิดการโจมตี ความสัมพันธ์นี้ดำเนินมานานเกือบครึ่งปี รวมถึงประวัติการทำงานที่ผ่านการยืนยันแล้ว การสนทนาด้านเทคนิคอย่างจริงจัง และการมีตัวตนบนเชนที่ทำงานอยู่จริง
เมื่อการโจมตีเกิดขึ้นในวันที่ 1 เม.ย. แชต Telegram ของกลุ่มและซอฟต์แวร์ที่เป็นอันตรายก็ถูกลบทำความสะอาดหมด การตรวจพิสูจน์หลักฐานพบช่องทางการแทรกซึมที่เป็นไปได้สองทาง: รีโพซิทอรีโค้ดที่เป็นอันตรายซึ่งถูกแชร์ภายใต้ข้ออ้างของการดีพลอยหน้าเว็บของวอลต์ และแอป TestFlight ที่ถูกเสนอให้เป็นกระเป๋าเงินของกลุ่ม
ช่องโหว่ที่รู้จักในตัวแก้ไขโค้ด VSCode และ Cursor ซึ่งถูกชุมชนด้านความปลอดภัยแจ้งเตือนอย่างต่อเนื่องตั้งแต่ธันวาคม 2025 ถึงกุมภาพันธ์ 2026 อาจเปิดทางให้มีการรันโค้ดแบบเงียบ ๆ ได้เพียงแค่เปิดไฟล์
ฟังก์ชันที่เหลืออยู่ทั้งหมดของโปรโตคอลถูกระงับไว้ และกระเป๋าเงินที่ถูกเจาะถูกถอดออกจากมัลติซิกแล้ว ได้มีการว่าจ้าง Mandiant ให้เข้ามาสืบสวน และกระเป๋าเงินของผู้โจมตีถูกติดธงเตือนไว้ในตลาดซื้อขายและผู้ให้บริการบริดจ์ต่าง ๆ
Also Read: Bitcoin Decentralization Faces A Problem: Mining Power Tied To Just Three Nations
ผู้ก่อภัยคุกคามจากเกาหลีเหนือเป็นผู้ต้องสงสัย
จากการสอบสวนโดยทีม SEALS 911 ประเมินด้วยระดับความเชื่อมั่นปานกลางถึงสูงว่าปฏิบัติการนี้ดำเนินการโดยผู้ก่อภัยคุกคามกลุ่มเดียวกันกับที่อยู่เบื้องหลังการแฮ็ก Radiant Capital เมื่อเดือนตุลาคม 2024
ก่อนหน้านี้ Mandiant ระบุว่าการโจมตีนั้นเป็นฝีมือของ UNC4736 กลุ่มที่เกี่ยวข้องกับรัฐเกาหลีเหนือ ซึ่งถูกติดตามภายใต้ชื่อ AppleJeus หรือ Citrine Sleet
ความเชื่อมโยงอ้างอิงจากทั้งหลักฐานบนเชนและรูปแบบการปฏิบัติการ
การเคลื่อนย้ายเงินทุนที่ใช้เตรียมการและทดสอบปฏิบัติการโจมตี Drift สามารถย้อนรอยกลับไปยังผู้โจมตี Radiant ได้ และตัวตนที่ถูกนำมาใช้ในแคมเปญนี้ก็ทับซ้อนกับกิจกรรมที่เชื่อมโยงกับ DPRK ที่ทราบอยู่ก่อนแล้ว ที่น่าสังเกตคือ บุคคลที่ปรากฏตัวแบบพบหน้ากันนั้นไม่ใช่ชาวเกาหลีเหนือ — ผู้ก่อภัยคุกคาม DPRK ในระดับนี้เป็นที่รู้กันว่ามักใช้ตัวกลางบุคคลที่สามสำหรับการพบปะต่อหน้า
Read Next: XRP Ledger Hits Record 4.49M Transactions Amid Price Decline