Attacco a Drift Protocol: $270 Milioni Rubati in un'Operazione di Intelligence Nordcoreana

Dettagli tecnici approfonditi

Un gruppo legato allo stato nordcoreano ha condotto un'operazione di intelligence della durata di sei mesi, culminata nell'exploit da $270 milioni del Drift Protocol. Gli attaccanti si sono presentati come una società di trading quantitativo, incontrando i contributori di Drift in persona durante vari eventi internazionali e depositando oltre $1 milione di capitale proprio prima di eseguire l'attacco.

Dettagli dell'operazione

Durata: Circa sei mesi.

Modus operandi: Gli attaccanti hanno infiltrato Drift Protocol presentandosi come una società di trading quantitativo, stabilendo un rapporto di fiducia attraverso incontri personali e depositi significativi.

Incontri personali: Hanno partecipato a conferenze crypto in vari paesi, costruendo legami con i contributori del protocollo.

Depositi: Hanno depositato oltre $1 milione di capitale proprio per guadagnare credibilità.

Compromissione dei dispositivi: Utilizzando un'app malevola di TestFlight e una vulnerabilità nota in VSCode/Cursor, gli attaccanti hanno compromesso i dispositivi necessari per ottenere le approvazioni multisig.

Attribuzione dell'attacco

L'attacco è stato attribuito a UNC4736, noto anche come AppleJeus o Citrine Sleet, basandosi su tracce di flussi di fondi on-chain e sovrapposizioni operative con entità note legate alla Corea del Nord.

Implicazioni per la sicurezza

Drift ha avvertito che tali operazioni a lungo termine e ricche di identità esponono gravi debolezze nei modelli di sicurezza basati su multisig nel settore DeFi. La compromissione è avvenuta attraverso due vettori principali: 1. TestFlight: Un'app malevola distribuita tramite TestFlight, bypassando le revisioni di sicurezza dell'App Store. 2. VSCode/Cursor: Una vulnerabilità nota in questi editor di codice che permette l'esecuzione silenziosa di codice arbitrario senza alcun avviso. L'attacco sottolinea la necessità per i protocolli DeFi di auditare i controlli di accesso e trattare ogni dispositivo che interagisce con un multisig come un potenziale target. La questione più ampia riguarda la robustezza dei modelli di sicurezza basati su multisig, che potrebbero non essere sufficienti a prevenire attacchi così sofisticati e prolungati.

Dati, trend correlati, impatto sul settore.

Un'operazione di intelligence di sei mesi ha preceduto l'exploit da $270 milioni di Drift Protocol e è stata condotta da un gruppo affiliato allo stato nordcoreano, secondo un [aggiornamento dettagliato dell'incidente](https://x.com/driftprotocol/status/2040611161121370409?s=46) pubblicato dalla squadra il 1° aprile. Gli attaccanti hanno iniziato a contattare Drift Protocol durante l'autunno del 2025, presentandosi come una società di trading quantitativo interessata a integrarsi con la piattaforma. Hanno dimostrato competenza tecnica, avevano curriculum professionali verificabili e comprendevano il funzionamento del protocollo. Dopo aver stabilito un gruppo su Telegram, gli attaccanti hanno avuto mesi di conversazioni sostanziali su strategie di trading e integrazioni di vault, interazioni standard per l'onboarding delle società di trading con i protocolli DeFi. Tra dicembre 2025 e gennaio 2026, il gruppo ha onboardato un Ecosystem Vault su Drift, ha tenuto più sessioni lavorative con i contributori, ha depositato oltre $1 milione di capitale proprio e ha costruito una presenza operativa funzionante all'interno dell'ecosistema. I contributori di Drift hanno incontrato individui del gruppo di persona a più conferenze importanti in diversi paesi tra febbraio e marzo. Quando l'attacco è stato lanciato il 1° aprile, la relazione era quasi lunga sei mesi. La compromissione sembra essere avvenuta attraverso due vettori. Uno degli attaccanti ha scaricato un'applicazione TestFlight, una piattaforma di Apple per distribuire app pre-release che bypassa la revisione della sicurezza dell'App Store, presentata come il loro prodotto wallet. Per il vettore del repository, Drift ha indicato una vulnerabilità nota in VSCode e Cursor, due degli editor di codice più utilizzati nello sviluppo software, che la comunità della sicurezza segnalava dalla fine del 2025. Semplicemente aprire un file o una cartella nell'editor era sufficiente per eseguire silenziosamente codice arbitrario senza alcun avviso. Una volta compromessi i dispositivi, gli attaccanti hanno ottenuto le due approvazioni multisig necessarie per l'attacco del nonce duraturo descritto da CoinDesk all'inizio della settimana. Le transazioni pre-firmate sono rimaste inattive per oltre una settimana prima di essere eseguite il 1° aprile, svuotando $270 milioni dai vault del protocollo in meno di un minuto. L'attribuzione punta a UNC4736, un gruppo nordcoreano statale anche noto come AppleJeus o Citrine Sleet, basato sui flussi di fondi on-chain che risalgono agli attaccanti di Radiant Capital e sull'overlap operativo con le persone note collegate alla Corea del Nord. Gli individui che sono apparsi in persona alle conferenze non erano nazionali nordcoreani, tuttavia. I threat actor della Corea del Nord a questo livello sono noti per utilizzare intermediari di terze parti con identità, storie lavorative e reti professionali costruite per resistere alla diligenza dovuta. Drift ha esortato altri protocolli a verificare i controlli di accesso e trattare ogni dispositivo che tocca una multisig come un potenziale target. L'implicazione più ampia è scomoda per un settore che si affida alla governance multisig come modello di sicurezza primario. Ma se gli attaccanti sono disposti a spendere sei mesi e un milione di dollari per costruire una presenza legittima all'interno di un ecosistema, incontrare le squadre di persona, contribuire con capitale reale e aspettare, la domanda è quale modello di sicurezza è progettato per catturarlo.

Consigli pratici per l'utente/investitore

Sicurezza nelle Criptovalute: Come Proteggersi dalle Minacce

Un gruppo legato allo stato nordcoreano ha condotto un'operazione di intelligence della durata di sei mesi per infiltrare il Drift Protocol, culminando in un exploit da $270 milioni. Gli attaccanti si sono finti una società di trading quantitativa, incontrando i contributori del protocollo in persona a conferenze in vari paesi e depositando oltre $1 milione di capitale proprio prima di eseguire l'attacco.

Le Principali Azioni da Intraprendere

• Verifica dell'Identità: È fondamentale verificare l'identità di tutte le parti coinvolte in qualsiasi transazione o collaborazione. Utilizzare piattaforme affidabili e richiedere documenti di identificazione può aiutare a prevenire frodi.
• Audit dei Controlli di Accesso: Ogni protocollo dovrebbe eseguire regolarmente audit dei controlli di accesso per individuare e correggere eventuali vulnerabilità. Questo include la revisione delle autorizzazioni multisig e l'implementazione di misure di sicurezza aggiuntive.
• Sicurezza dei Dispositivi: Trattare ogni dispositivo che entra in contatto con un multisig come un potenziale target. Utilizzare software antivirus aggiornati e mantenere i sistemi operativi e le applicazioni al sicuro da vulnerabilità note.
• Educazione alla Sicurezza: Formare il personale sui rischi di sicurezza e sulle migliori pratiche per prevenire attacchi. Questo include la consapevolezza delle tecniche di phishing e dell'importanza di mantenere le password e le chiavi private al sicuro.

La sicurezza nelle criptovalute richiede una vigilanza costante e l'adozione di misure preventive per proteggersi dalle minacce. Seguire questi consigli può aiutare a ridurre il rischio di exploit e a mantenere la sicurezza dei fondi.

Previsione futura netta basata sui fatti

La recente exploit di $270 milioni ai danni di Drift Protocol, eseguita da un gruppo nordcoreano, evidenzia le vulnerabilità intrinseche dei modelli di sicurezza multisig nel settore DeFi. L'attacco è stato il risultato di una sofisticata operazione di intelligence durata sei mesi, durante i quali gli aggressori si sono infiltrati nella piattaforma sotto mentite spoglie di un'azienda di trading quantitativo. Questo incidente solleva interrogativi cruciali sulla robustezza dei sistemi di sicurezza basati su multisig, che fino ad ora sono stati considerati uno standard nell'industria delle criptovalute. Se gli attaccanti sono disposti a investire tempo e risorse per costruire una presenza legittima all'interno di un ecosistema, incontrare i team in persona e contribuire capitali reali, la domanda è quale modello di sicurezza possa effettivamente prevenire tali attacchi. In futuro, è probabile che le aziende del settore criptovalute adottino misure di sicurezza ancora più rigorose, inclusi controlli di accesso più stringenti e una maggiore vigilanza sui dispositivi che interagiscono con i multisig. Tuttavia, la natura stessa degli attacchi basati sull'ingegneria sociale rappresenta una sfida significativa per l'intera industria. Per ulteriori dettagli, si rimanda alla [detailed incident update](https://x.com/driftprotocol/status/2040611161121370409?s=46) pubblicata dalla squadra di Drift Protocol.