Drift mengatakan eksploitasi senilai $270 juta adalah operasi intelijen Korea Utara selama enam bulan

Operasi intelijen selama enam bulan mendahului eksploitasi senilai $270 juta terhadap Drift Protocol dan dilakukan oleh sebuah kelompok yang berafiliasi dengan negara Korea Utara, menurut pembaruan insiden terperinci yang dipublikasikan tim lebih awal pada hari Minggu.

Para penyerang pertama kali menjalin kontak sekitar musim gugur 2025 di sebuah konferensi kripto besar, dengan memperkenalkan diri sebagai perusahaan perdagangan kuantitatif yang ingin berintegrasi dengan Drift.

Mereka mahir secara teknis, memiliki latar belakang profesional yang dapat diverifikasi, dan memahami cara kerja protokol tersebut, kata Drift. Sebuah grup Telegram dibentuk dan yang terjadi setelahnya adalah berbulan-bulan percakapan substantif seputar strategi perdagangan dan integrasi vault—interaksi yang lazim dalam proses onboarding perusahaan perdagangan dengan protokol DeFi.

Antara Desember 2025 dan Januari 2026, kelompok tersebut melakukan onboarding sebuah Ecosystem Vault di Drift, mengadakan beberapa sesi kerja dengan para kontributor, menyetor lebih dari $1 juta modal mereka sendiri, dan membangun kehadiran operasional yang berfungsi di dalam ekosistem.

Kontributor Drift bertemu langsung dengan individu-individu dari kelompok tersebut di beberapa konferensi industri besar di beberapa negara hingga Februari dan Maret. Pada saat serangan diluncurkan pada 1 April, hubungan itu sudah hampir setengah tahun.

Kompromi tersebut tampaknya berasal dari dua vektor.

Satu yang lain mengunduh aplikasi TestFlight, platform Apple untuk mendistribusikan aplikasi pra-rilis yang melewati peninjauan keamanan App Store, yang dipresentasikan oleh kelompok tersebut sebagai produk dompet mereka.

Untuk vektor repositori, Drift menunjuk pada kerentanan yang sudah dikenal di VSCode dan Cursor, dua editor kode yang paling banyak digunakan dalam pengembangan perangkat lunak, yang menjadi sorotan komunitas keamanan sejak akhir 2025, di mana sekadar membuka file atau folder di editor sudah cukup untuk mengeksekusi kode arbitrer secara senyap tanpa prompt atau peringatan apa pun.

Setelah perangkat dikompromikan, para penyerang memiliki apa yang mereka butuhkan untuk memperoleh dua persetujuan multisig yang memungkinkan serangan durable nonce yang CoinDesk jelaskan lebih awal pekan ini. Transaksi yang telah dipra-tandatangani itu tertidur lebih dari seminggu sebelum dieksekusi pada 1 April, menguras $270 juta dari brankas (vault) protokol dalam waktu kurang dari satu menit.

Atribusi mengarah ke UNC4736, sebuah kelompok yang berafiliasi dengan negara Korea Utara yang juga dilacak sebagai AppleJeus atau Citrine Sleet, berdasarkan arus dana di-chain yang menelusuri kembali ke para penyerang Radiant Capital serta tumpang tindih operasional dengan persona yang terkait DPRK yang sudah dikenal.

Namun, individu-individu yang terlihat hadir langsung di konferensi bukanlah warga negara Korea Utara. Aktor ancaman DPRK pada tingkat ini diketahui menggunakan perantara pihak ketiga dengan identitas yang sepenuhnya dibangun, riwayat pekerjaan, dan jaringan profesional yang dirancang untuk bertahan dari uji kelayakan (due diligence).

Drift mendesak protokol lain untuk mengaudit kontrol akses dan memperlakukan setiap perangkat yang menyentuh multisig sebagai target potensial. Implikasi yang lebih luas tidak nyaman bagi sebuah industri yang bergantung pada tata kelola multisig sebagai model keamanan utamanya.

Namun, jika para penyerang bersedia menghabiskan enam bulan dan satu juta dolar untuk membangun kehadiran yang sah di dalam sebuah ekosistem, bertemu tim secara langsung, menyumbangkan modal nyata, dan menunggu, pertanyaannya adalah model keamanan seperti apa yang dirancang untuk menangkap hal tersebut.