То, что изначально выглядело как очередная эксплуатация DeFi, теперь развернулось в нечто гораздо более серьезное. Атака на Drift Protocol в начале апреля 2026 года все больше рассматривается следователями как скоординированная кибератака на уровне государства, с сильными признаками, указывающими на участников, связанных с Северной Кореей. Масштаб, планирование и исполнение отделяют этот инцидент от рутинных атак и помещают его среди самых сложных финансовых кибератак, наблюдаемых в криптопространстве.

Примерно 280–285 миллионов долларов было выведено с платформы за считанные секунды, но фактическая операция началась за несколько недель до этого. Блокчейн-разведывательные компании, такие как TRM Labs и Elliptic, наблюдали за необычной активностью кошельков, начиная с середины марта, где злоумышленники тихо строили инфраструктуру, тестировали транзакции и имитировали нормальное поведение пользователей. Этот вид подготовки не типичен для оппортунистических хакеров. Это отражает терпение, дисциплину и четкую долгосрочную цель — качества, обычно ассоциируемые с группами постоянной угрозы.

Вместо эксплуатации простой ошибки в коде атакующие сосредоточились на гораздо более тонком: человеческом доверии. Drift опирался на мультиподписную систему управления, требующую два из пяти одобрений. По мнению следователей, злоумышленники использовали тактики социальной инженерии, чтобы манипулировать или скомпрометировать ключевых подписантов, в итоге получая одобрение для вредоносных изменений без немедленного подозрения. Этот подход подчеркивает растущий сдвиг в кибератаках, где эксплуатировать людей часто проще и эффективнее, чем эксплуатировать программное обеспечение.

После того как доступ был закреплен, критическая слабость в дизайне системы позволила атакующим действовать мгновенно. Нулевой задержанный таймлок означал, что как только одобрения были выданы, изменения могли быть выполнены без какого-либо буферного периода. Это дало атакующим возможность менять параметры протокола, ослаблять защитные меры и подготовить систему к извлечению средств еще до того, как кто-либо успел вмешаться.

Одной из самых технически продвинутых частей атаки стало создание поддельного актива — CarbonVote Token (CVT). Манипулируя оракульными системами, атакующие раздуты стоимость токена до сотен миллионов долларов. Затем они использовали эту искусственно завышенную оценку в качестве обеспечения, чтобы заимствовать реальные активы у протокола. Проще говоря, они превратили нечто бесполезное в инструмент для вывода легитимных средств. Эта манипуляция ценовыми фидами демонстрирует, насколько уязвимыми могут быть системы DeFi, когда они чрезмерно полагаются на внешние данные без строгой валидации.

Чтобы атака разворачивалась без сбоев, злоумышленники заранее подготовили транзакции, используя техники устойчивых nonce. Это позволило им выполнить цепочку действий почти одновременно, сжав весь эксплойт до считанных секунд. К тому времени, когда что-то стало выглядеть ненормальным, средства уже были выведены.

Привязка к северокорейским акторам основана не на одном доказательстве, а на совокупности признаков. Структура атаки, длительный этап подготовки, сочетание социальной инженерии с технической эксплуатацией и быстрое отмывание средств — все это соответствует известным моделям поведения групп вроде Lazarus. Эти группы связывают с множеством громких краж криптовалют за последние годы, и широко считается, что они действуют в рамках более широкой стратегии Северной Кореи по генерации дохода за пределами глобальной финансовой системы.

Движение средств после атаки еще сильнее укрепляет эту связь. Активы быстро перекидывали с Solana на Ethereum, а затем пропускали через сложную сеть кошельков, миксеры и межцепочечные переводы. Эта многоуровневая техника предназначена для сокрытия следов и неоднократно наблюдалась в предыдущих операциях, связанных с северокорейскими структурами. Как только средства попадают в этот конвейер отмывания, восстановление становится крайне затруднительным.

То, что делает этот инцидент еще более тревожным, — возможно, он не является единичным случаем. Примерно в то же время специалисты по кибербезопасности и отчеты организаций вроде Google Threat Intelligence и Reuters отмечали отдельные атаки, связанные с северокорейскими акторами, направленные на цепочки поставок ПО: включая вредоносный код, вставленный в широко используемые инструменты разработчиков. Эти кампании указывают на более широкую стратегию, которая начинается с проникновения в экосистемы разработчиков и заканчивается финансовыми эксплойтами высокой ценности. Атака Drift могла стать завершающим этапом такого скоординированного усилия.

Последствия для криптоиндустрии существенны. Это была не просто неудача одного смарт-контракта, а сбой на нескольких уровнях — в управлении, человеческом доверии, дизайне оракулов и операционной безопасности. Это показывает, что даже хорошо аудированные протоколы могут быть уязвимы, если атакующие нацеливаются на систему целиком, а не только на код.

Также заметен четкий сдвиг в характере угроз, с которыми сталкивается DeFi. Теперь фокус больше не только на поиске технических уязвимостей, а на выявлении структурных слабостей в том, как платформы управляются и работают. Мультисиг-системы, когда-то считавшиеся надежной защитой, могут превратиться в уязвимость, если подписанты будут манипулированы. Оракулы, предоставляющие критически важные данные о ценах, тоже могут стать векторами атаки, если они не защищены достаточно надежно. И, возможно, самое важное: человеческое поведение остается одним из самых слабых звеньев любой системы.

Эксплойт Drift служит предупреждением о том, что децентрализованные финансы переходят в новую фазу, где противники больше не просто независимые хакеры, а высокоорганизованные, хорошо финансируемые группы с четкими стратегическими целями. Если привязка к Северной Корее будет подтверждена, это укрепит идею о том, что криптовалюты теперь глубоко переплетены с геополитическими процессами: кибератаки направлены не только на получение прибыли, но и на достижение целей на уровне государства.

В итоге это было больше, чем взлом. Это демонстрация того, как развиваются современные кибероперации: сочетание терпения, обмана и технической точности для эксплуатации целых экосистем. Для криптоиндустрии послание ясно: безопасность больше нельзя рассматривать как сугубо техническую проблему. К ней нужно подходить как к комплексному вызову, включающему людей, процессы и дизайн системы.