Предварительное расследование инцидента с хакерами Drift: предполагается, что связанная с КНДР организация планировала в течение полугода операцию по проникновению

Сообщение BlockBeats: 5 апреля, по официальным данным, Drift заявил, что ведет совместную работу с правоохранительными органами, партнерами по сбору доказательств и командой экосистемы, проводя всеобъемлющее расследование хакерского инцидента, произошедшего 1 апреля 2026 года. В настоящее время все функции протоколов приостановлены, затронутые кошельки выведены из мультиподписей, а адреса злоумышленников отмечены на торговых платформах и в кроссчейн-мостах. В расследование уже вмешалась компания по кибербезопасности Mandiant. Предварительные результаты показывают, что это нападение не было краткосрочной акцией, а представляло собой разведывательно-проникновенческую операцию, которая длилась около 6 месяцев, имела организованный характер и получила поддержку за счет достаточных ресурсов. Еще осенью 2025 года группа людей, выдававших себя за сотрудников компаний, занимающихся количественной торговлей, вступала в контакт с членами команды Drift на нескольких международных криптовалютных конференциях, а затем в течение последующих месяцев последовательно выстраивала отношения, развивала сотрудничество и даже инвестировала на платформе более 1M долларов, чтобы повысить доверие.

В ходе расследования выяснилось, что эти люди обладают профессиональным опытом и техническими возможностями: они в течение длительного времени обсуждали с командой торговые стратегии и интеграцию продуктов через Telegram-группы и неоднократно встречались лично с ключевыми участниками в офлайн-формате. После того как в апреле 2026 года произошло нападение, соответствующие переписки и вредоносное ПО были быстро удалены. Drift считает, что проникновение могло быть реализовано по нескольким направлениям, включая склонение членов команды к клонированию репозиториев с вредоносным кодом или загрузку тестовых приложений, маскирующихся под продукты кошельков. Кроме того, нападение могло использовать уязвимости VSCode и Cursor, о которых тогда предупреждало сообщество по кибербезопасности, чтобы выполнять вредоносный код без ведома пользователей.

На основе анализа потоков средств on-chain и поведенческих моделей, команда безопасности предварительно пришла к выводу, что эта акция связана с угрозной группировкой, стоявшей за атакой 2024 года на Radiant Capital; эта группировка приписывается северокорейской хакерской группе (например, UNC4736 / AppleJeus). Стоит отметить, что люди, имевшие очные контакты, не были гражданами КНДР, а являлись третьими посредниками. Drift заявил, что злоумышленники построили полную и убедительную систему идентичности, включая профессиональную биографию и публичное позиционирование, чтобы посредством долгосрочных контактов получать доверие. В настоящее время расследование продолжается, и команда призывает отрасль усилить проверки безопасности устройств и управление правами.