Corea del Norte fabricó un token falso para robar 286 millones de dólares al protocolo Drift y la IA está haciendo estos ataques más baratos

El mayor hackeo de DeFi de este año tuvo lugar la semana pasada el 1 de abril cuando Drift Protocol, uno de los mayores DEXs perp en la red Solana, experimentó una explotación que vio desaparecer aproximadamente 286 millones de dólares del protocolo. El ataque estuvo vinculado a hackers vinculados a Corea del Norte y todo el hackeo transcurrió en solo 10 segundos. Lo asombroso de este hackeo, sin embargo, fue la naturaleza meticulosa del mismo. No se rompió ningún código y ningún contrato inteligente tenía un error. Las investigaciones de firmas de forense cripto como Elliptic y TRM Labs apuntan en realidad a un hackeo mucho más calculado. 

Los atacantes norcoreanos pasaron tres semanas fabricando un token falso llamado CarbonVote, sembrándolo con unos pocos miles de dólares para hacerlo parecer real, mientras que al mismo tiempo manipulaban socialmente a dos de los cinco firmantes del multisig del Consejo de Seguridad de Drift para que prefirmaran autorizaciones ocultas que no comprendían completamente. Después de esto, utilizaron una función de Solana llamada "nonces duraderos" para mantener esas firmas en reserva durante más de una semana, esperando el momento adecuado. Todo lo que se necesitó fue una sola transacción el 1 de abril. 

Como señaló Elliptic, este ataque fue el decimoctavo hackeo cripto vinculado a Corea del Norte solo este año, extrayendo alrededor de 300 millones de dólares del espacio. Cuatro días después del hackeo, el CTO de Ledger declaró públicamente para destacar la naturaleza alarmante del hackeo y que la IA está reduciendo el costo de ataques como este "a cero". Esa declaración es muy importante porque el hackeo de Drift es un caso de estudio sobre cómo funcionan estas operaciones hoy en día. Los atacantes no necesitaban una vulnerabilidad de día cero ni un criptógrafo de primer nivel. Todo lo que necesitaban era paciencia, un token falso convincente y dos personas que pudieran manipular. El hackeo realmente expuso una vulnerabilidad estructural en la DeFi tal como existe hoy. La DeFi está construyendo infraestructura de miles de millones de dólares asegurada por pequeños grupos de personas que pueden ser engañadas, mientras que los adversarios están mejorando en hacer exactamente eso.

Cómo Corea del Norte robó 286 millones de dólares en 10 segundos 

El hackeo del protocolo Drift fue una explotación sofisticada que abarcó tres semanas de preparación. Bloomberg informó primero de la brecha el 1 de abril, cuando el protocolo Drift confirmó que se habían sustraído aproximadamente 286 millones de dólares en activos de los usuarios. Todo el esquema en realidad comenzó mucho antes, el 11 de marzo, cuando el atacante retiró 10 ETH de Tornado Cash alrededor de las 9 AM hora de Pyongyang y lo utilizó para desplegar el token falso, CarbonVote (CVT), un activo completamente ficticio sembrado con unos pocos miles de dólares en liquidez y mantenido con vida mediante operaciones de lavado.

Durante las siguientes dos semanas, entre el 23 y el 30 de marzo, el atacante abrió cuentas de nonce duraderas, una función legítima en la red Solana que permite que las transacciones sean prefirmadas y mantenidas indefinidamente sin expirar. Durante esta ventana, el atacante manipuló socialmente a dos de los cinco firmantes del multisig del Consejo de Seguridad de Drift para que aprobaran transacciones que parecían normales pero que, como confirmó más tarde TRM Labs, llevaban autorizaciones ocultas para el control administrativo crítico.

La pieza final cayó el 27 de marzo, cuando Drift migró su Consejo de Seguridad a una nueva configuración de umbral 2/5 sin tiempo de espera, según informó BlockSec, lo que básicamente eliminó el único retraso que habría permitido que alguien detectara lo que se avecinaba. Para cuando llegó el 1 de abril, la trampa había estado completamente cargada durante días.

El 1 de abril, el atacante utilizó esas aprobaciones prefirmadas para listar CarbonVote como colateral válido, infló su valor a cientos de millones mediante precios de oráculo manipulados y se apoderó de la gobernanza. A partir de ahí, 31 transacciones de retiro vaciaron las bóvedas de Drift en cuestión de segundos. El tramo más grande solo incluyó más de 155 millones de dólares en tokens JLP junto con decenas de millones en USDC, SOL, ETH y otros tokens de staking líquido que fueron drenados y el Valor Total Bloqueado en el protocolo colapsó instantáneamente de alrededor de 550 millones de dólares a menos de 250 millones. 

Esta velocidad del hackeo es solo una parte de esta historia. Un plan detallado que duró hasta tres semanas y terminó en un hackeo de 10 segundos mostró lo fácilmente que la gobernanza, no el código, puede convertirse en el eslabón más débil de la DeFi. 

La guerra cripto de $300 millones de Corea del Norte en 2026 

Este hackeo, supuestamente perpetrado por atacantes vinculados a Corea del Norte, no es en absoluto un evento aislado. De hecho, si se examinan algunos de los hackeos más destacados de los últimos años, se hace evidente que esto forma parte de una campaña mucho más grande impulsada por el estado. Solo este año, Elliptic ha informado de que la explotación de Drift la convierte en el decimoctavo robo de criptomonedas atribuido a la RPDC, elevando el monto total de fondos sustraídos a más de 300 millones de dólares hasta ahora este año. Si se mira más allá de este año, la escala de estos hackeos por parte de un solo país se vuelve muy difícil de ignorar. El año pasado, actores vinculados a Corea del Norte robaron entre 1.920 millones de dólares según TRM Labs, mientras que Chainalysis sitúa esta cifra en 2.020 millones de dólares en criptomonedas. Esto marcó un aumento del 51 % interanual en hackeos realizados por este grupo y elevó su robo histórico a 6.750 millones de dólares.

Corea del Norte representó un récord del 76 % de todos los compromisos de servicios en 2025, lo que significa que un país es responsable de la abrumadora mayoría de los robos que tienen lugar en la industria. Ante este telón de fondo, el hackeo de Drift, que ahora es la segunda mayor explotación dentro del ecosistema Solana después de la brecha de Wormhole de 2022, se ajusta a un patrón de ataques. 

Lo que define ese patrón es la consistencia. El hackeo de Bybit en febrero de 2025, el mayor robo de criptomonedas de la historia, tuvo configuraciones casi idénticas que incluían ingeniería social, acceso comprometido e intercambio coordinado de fondos. TRM Labs señala que los operadores de la RPDC dependen cada vez más de redes de "lavanderas chinas" para los fondos que se transfieren entre diferentes cadenas en cuestión de horas.

El ataque a Drift muestra en realidad un sistema de equipos respaldados por el estado que ejecutan operaciones de varias semanas con reconocimiento, manipulación humana e infraestructura global de lavado ya en marcha. 

La IA está impulsando los costos de ataque "a cero": advierte el CTO de Ledger

Cuatro días después del vaciado de Drift, el CTO de Ledger, Charles Guillemet, le dijo a CoinDesk algo que reformuló todo el incidente. "Encontrar vulnerabilidades y explotarlas se vuelve realmente, realmente fácil", dijo. "El costo está bajando a cero". Guillemet no nombró a Drift, pero describió sus mecánicas exactas. La IA no solo ayuda a los atacantes a encontrar errores de código más rápido, sino que hace la ingeniería social más convincente, el phishing más personalizado y el trabajo de preparación que los operadores norcoreanos dedicaron tres semanas a Drift más barato y escalable por un orden de magnitud. También señaló un problema acumulativo en el lado defensivo: a medida que más desarrolladores dependen de código generado por IA, las vulnerabilidades podrían propagarse más rápido de lo que los revisores humanos pueden detectarlas. "No hay un botón de 'hazlo seguro'", dijo. "Vamos a producir mucho código que será inseguro por diseño". Los hackeos y explotaciones causaron pérdidas de 1.400 millones de dólares en criptomonedas durante el último año, y la proyección de Guillemet es que la curva se vuelve más pronunciada, no más plana.

El hackeo de Drift es la prueba de concepto más clara para esa advertencia. Los atacantes nunca tocaron el código, apuntaron a las dos personas que sostenían las claves. La IA no necesita romper un contrato inteligente si puede generar un pretexto lo suficientemente convincente para engañar a un firmante multisig para que apruebe una transacción que no comprende completamente. Guillemet espera que la industria se divida: los sistemas críticos como las billeteras y los protocolos centrales invertirán fuertemente en seguridad y se adaptarán, pero gran parte del ecosistema de software más amplio puede tener dificultades para mantener el ritmo. Sus soluciones recomendadas, verificación formal utilizando pruebas matemáticas, aislamiento de hardware para las claves privadas, son estructuralmente sólidas pero requieren un nivel de disciplina institucional que la mayoría de los protocolos DeFi, incluido Drift, aún no han construido. "Cuando tienes un dispositivo dedicado no expuesto a Internet, es más seguro por diseño", dijo. El Consejo de Seguridad de Drift no tenía tal amortiguador. Dos firmas, cero tiempo de espera y un token falso fueron todo lo que se necesitó.

Qué sucede a continuación: la recuperación de Drift y la respuesta de la industria

Lo que sucede a continuación para Drift Protocol está lejos de estar claro y las primeras señales ya están dividiendo a la industria. Inmediatamente después, Anatoly Yakovenko sugirió una posible ruta de recuperación: emitir un airdrop de un token estilo IOU a los usuarios afectados, imitando la jugada de Bitfinex de 2016 después de su hackeo de 72 millones de dólares. 

La idea es simple: socializar las pérdidas ahora, pagar a los usuarios con el tiempo si el protocolo se recupera. Pero el contexto es muy diferente. El TVL de Drift se ha reducido casi a la mitad, los depósitos y retiros permanecen suspendidos y, a diferencia de Bitfinex, carece de un motor de ingresos centralizado para respaldar esas responsabilidades. Eso ha llevado a una resistencia inmediata: los tokens IOU, en este caso, corren el riesgo de convertirse en instrumentos puramente especulativos sin una ruta clara de canje.

Al mismo tiempo, la actividad en cadena está planteando nuevas preocupaciones. Onchain Lens señaló que una billetera vinculada al equipo de Drift movió 56,25 millones de tokens DRIFT (≈2,44 millones de dólares) a exchanges centralizados, incluyendo Bybit y Gate, poco después de la explotación, un movimiento que típicamente precede a la presión de venta y ha alimentado la especulación sobre la posición de los insiders durante una crisis de liquidez. 

Mientras tanto, los fondos del atacante ya han sido transferidos entre cadenas, notablemente a Ethereum, reduciendo la probabilidad de una recuperación significativa con cada día que pasa. La implicación más amplia es que este incidente no terminará con Drift. Es probable que acelere el escrutinio generalizado de la industria sobre la gobernanza de la DeFi en sí, desde los estándares de seguridad multisig y los requisitos de tiempo de espera hasta el diseño de oráculos y los controles de ejecución. Lo que sigue depende de tres variables: si Drift puede presentar un plan de recuperación creíble, si alguna parte de los fondos puede ser rastreada o congelada, y si esto finalmente fuerza una reforma estructural, o se convierte en solo otra lección costosa que la industria supera.