Napad je izvela severnokorejska grupa koristeći kompromitovane uređaje i multisig ranjivosti, sa depozitom od milion dolara kapitala
Drift Protocol, decentralizovana finansijska platforma, pretrpela je gubitak od 270 miliona dolara (oko 29,2 milijarde dinara) 1. aprila, nakon sofisticirane infiltracije koja je trajala gotovo šest meseci. Napad je izvela severnokorejska grupa povezana sa državnim strukturama, koja je tokom višemesečnog perioda razvijala poverenje, predstavljajući se kao kvantitativna trading kompanija i ulažući preko milion dolara svog kapitala u ekosistem.
U periodu od decembra 2025. do januara 2026. napadači su integrisali sopstveni Ecosystem Vault na Drift Protocol-u, održali više radnih sesija sa kreatorima protokola i pojavili se lično na industrijskim konferencijama širom više zemalja. U trenutku napada, odnos između napadača i tima Drift Protocol-a trajao je skoro pola godine, što je predstavljalo ozbiljan izazov za uobičajene bezbednosne protokole u DeFi sektoru.
Kompromitovanje je izvršeno kroz dve ključne ranjivosti. Prva je uključivala malicioznu TestFlight aplikaciju, predstavljenu kao wallet rešenje, dok je druga koristila poznatu ranjivost u popularnim uređivačima koda VSCode i Cursor, gde je jednostavno otvaranje fajla omogućavalo napadaču izvršavanje proizvoljnog koda bez upozorenja korisniku. Nakon kompromitovanja uređaja, napadači su uspeli da pribave dva ključna multisig potpisa, što im je omogućilo da sprovedu tzv. durable nonce napad i za manje od minuta isprazne sredstva iz vault-ova.
Istraga je povezala napad sa grupom UNC4736, poznatom i kao AppleJeus ili Citrine Sleet, na osnovu tragova na lancu i sličnosti sa prethodnim napadima na slične protokole. Bitno je naglasiti da su fizički prisutni akteri na konferencijama imali lažne profesionalne identitete i nisu bili državljani Severne Koreje, što je u skladu sa poznatom praksom ovih grupa da angažuju posrednike sa verodostojnim biografijama.
Drift je apelovao na sve DeFi protokole da revidiraju procedure pristupa i svaku interakciju sa multisig wallet-ima tretiraju kao potencijalno rizičnu. Ovaj incident je razotkrio slabosti trenutnih multisig modela zaštite, jer sofisticirani napadači, spremni na dugoročnu infiltraciju i ulaganje realnog kapitala, mogu zaobići standardne bezbednosne barijere. U poređenju, tradicionalne berze kao što je Belex15 nisu zabeležile slične slučajeve, dok kripto tržište ostaje ranjivo na ovakve napade zbog visokog nivoa decentralizacije i poverenja među učesnicima.