La Corea del Nord ha creato un token falso per rubare 286 milioni di dollari dal Protocollo Drift e l'IA sta rendendo questi attacchi più economici

Il più grande hack DeFi di quest'anno si è verificato la scorsa settimana l'1 aprile quando Drift Protocol, uno dei più grandi perp DEX sulla rete solana, ha subito un exploit che ha visto svanire circa 286 milioni di dollari dal protocollo. L'attacco è stato legato ad hacker legati alla Corea del Nord e l'intero hack si è svolto in soli 10 secondi. Ciò che è sorprendente di questo hack, tuttavia, è la natura meticolosa. Nessun codice è stato violato e nessun smart contract aveva un bug. Le indagini delle società di forensics crypto come Elliptic e TRM Labs puntano in realtà a un hack molto più calcolato. 

Gli attaccanti nordcoreani hanno passato tre settimane a creare un token falso chiamato CarbonVote, seminandolo con poche migliaia di dollari per farlo sembrare reale, mentre allo stesso tempo ingegnerizzavano socialmente due dei cinque firmatari multisig del Consiglio di Sicurezza di Drift per pre-firmare autorizzazioni nascoste che non comprendevano appieno. Successivamente, hanno utilizzato una funzione di Solana chiamata "nonce durevoli" per mantenere quelle firme in riserva per oltre una settimana, aspettando il momento giusto. Ci è voluto solo una singola transazione l'1 aprile. 

Come notato da Elliptic, questo attacco è stato l'18esimo attacco crypto legato alla Corea del Nord solo quest'anno, sottraendo circa 300 milioni di dollari allo spazio. Quattro giorni dopo l'attacco, il CTO di Ledger ha dichiarato pubblicamente l'allarmante natura dell'attacco e che l'IA sta portando il costo di attacchi come questo "a zero". Questa affermazione è molto importante perché l'hack di Drift è un caso di studio su come funzionano queste operazioni. Gli attaccanti non avevano bisogno di una vulnerabilità zero-day o di un crittografo di prim'ordine. Avevano solo bisogno di pazienza, di un token falso convincente e di due esseri umani che potevano manipolare. L'hack ha effettivamente esposto una vulnerabilità strutturale nel DeFi così com'è oggi. Il DeFi sta costruendo infrastrutture da miliardi di dollari protette da piccoli gruppi di persone che possono essere ingannate, mentre gli avversari stanno diventando sempre più bravi a fare esattamente questo.

Come la Corea del Nord ha rubato $286 Milioni in 10 Secondi 

L'hack del protocollo Drift è stata un'exploit sofisticata che si è estesa per tre settimane di preparazione. Bloomberg ha segnalato per primo la violazione l'1 aprile, quando il protocollo Drift ha confermato che circa 286 milioni di dollari di asset degli utenti erano stati sottratti. L'intero schema è iniziato ben il 11 marzo, quando l'attaccante ha prelevato 10 ETH da Tornado Cash intorno alle 9:00 ora di Pyongyang e li ha utilizzati per distribuire il token falso, CarbonVote (CVT), un asset completamente fittizio seminato con poche migliaia di dollari di liquidità e mantenuto in vita attraverso wash trading.

Nel corso delle due settimane successive, tra il 23 e il 30 marzo, l'attaccante ha aperto account nonce durevoli, una funzione legittima sulla rete Solana che consente alle transazioni di essere pre-firmate e mantenute indefinitamente senza scadere. Durante questa finestra, l'attaccante ha ingegnerizzato socialmente due dei cinque firmatari multisig del Consiglio di Sicurezza di Drift per approvare transazioni che sembravano normali ma, come confermato successivamente da TRM Labs, contenevano autorizzazioni nascoste per il controllo amministrativo critico.

Il pezzo finale è caduto il 27 marzo, quando Drift ha migrato il suo Consiglio di Sicurezza a una nuova configurazione della soglia 2/5 con zero timelock, come riportato da BlockSec, che ha essenzialmente rimosso l'unico ritardo che avrebbe permesso a chiunque di cogliere ciò che stava arrivando. Quando è arrivato l'1 aprile, la trappola era stata caricata completamente da giorni.

L'1 aprile, l'attaccante ha utilizzato quelle approvazioni pre-firmate per elencare CarbonVote come collaterale valido, ha gonfiato il suo valore fino a centinaia di milioni tramite prezzi di oracle manipolati e il governo è stato preso. Da lì, 31 transazioni di prelievo hanno svuotato le casse di Drift in pochi secondi. La fetta più grande da sola includeva oltre 155 milioni di dollari di token JLP insieme a decine di milioni in USDC, SOL, ETH e altri token di staking liquido che sono stati drenati e il Valore Totale Bloccato sul protocollo è crollato istantaneamente da circa 550 milioni a meno di 250 milioni. 

Questa velocità dell'hack è solo una parte di questa storia. Un piano dettagliato che è durato fino a tre settimane, che si è concluso con un hack di 10 secondi, ha mostrato quanto facilmente il governo, non il codice, possa diventare il punto debole nel DeFi. 

La Guerra Crypto da $300 Milioni della Corea del Nord in 2026 

Questo hack, presumibilmente perpetrato da attaccanti legati alla Corea del Nord, è di nessun modo un evento isolato. In effetti, se si esaminano alcuni degli hack più ad alto profilo negli ultimi anni, diventa evidente che questa è parte di una campagna molto più ampia, guidata dallo stato. Solo quest'anno, Elliptic ha segnalato che l'exploit di Drift lo rende il 18esimo furto crypto attribuito alla RPCD, spingendo il totale dei fondi sottratti oltre i 300 milioni di dollari finora quest'anno. Se si guarda oltre quest'anno, la scala di tali hack da un singolo paese diventa molto difficile da ignorare. L'anno scorso, attori legati alla Corea del Nord hanno rubato tra 1,92 miliardi di dollari, secondo TRM Labs, mentre Chainalysis pone questa cifra a 2,02 miliardi di dollari in crypto. Questo ha segnato un aumento del 51% anno su anno negli hack condotti da questo gruppo e ha spinto il loro record storico di furti a 6,75 miliardi di dollari.

La Corea del Nord ha rappresentato il 76% record di tutti i compromessi di servizio nel 2025, il che significa che un paese è responsabile della schiacciante maggioranza dei furti che si verificano nel settore. In questo contesto, l'hack di Drift, che ora è il secondo exploit più grande all'interno dell'ecosistema Solana dopo la violazione di Wormhole del 2022, si inserisce in un modello di attacchi. 

Ciò che definisce quel modello è la coerenza. L'hack di Bybit nel febbraio 2025, il più grande furto crypto nella storia, aveva configurazioni quasi identiche che includevano ingegneria sociale, accesso compromesso e scambio coordinato di fondi. TRM Labs nota che gli operatori della RPCD si affidano sempre di più a reti di "lavanderie cinesi" per i fondi che vengono portati su diverse catene nell'arco di poche ore.

L'attacco a Drift mostra in realtà un sistema di team sostenuti dallo stato che eseguono operazioni di diverse settimane con ricognizione, manipolazione umana e infrastrutture globali di lavaggio già pronte. 

L'IA sta portando i costi degli attacchi "a zero": il CTO di Ledger avverte

Quattro giorni dopo il drenaggio di Drift, il CTO di Ledger Charles Guillemet ha detto a CoinDesk qualcosa che ha ridefinito l'intero incidente. "Trovare vulnerabilità e sfruttarle diventa davvero, davvero facile", ha detto. "Il costo sta scendendo a zero". Guillemet non ha nominato Drift, ma ha descritto le sue esatte meccaniche. L'IA non aiuta solo gli attaccanti a trovare bug nel codice più velocemente, rende l'ingegneria sociale più convincente, il phishing più personalizzato e il lavoro di preparazione che gli operatori nordcoreani hanno impiegato tre settimane su Drift più economico e scalabile di un ordine di grandezza. Ha anche sottolineato un problema cumulativo sul lato difensivo: man mano che più sviluppatori si affidano al codice generato dall'IA, le vulnerabilità potrebbero diffondersi più velocemente di quanto i revisori umani possano individuarle. "Non esiste un pulsante 'rendilo sicuro'", ha detto. "Produrremo molto codice che sarà insicuro per progettazione". Hack ed exploit hanno causato 1,4 miliardi di dollari di perdite crypto nell'ultimo anno, e la proiezione di Guillemet è che la curva si faccia più ripida, non più piatta.

L'hack di Drift è la prova di concetto più chiara per quell'avvertimento. Gli attaccanti non hanno mai toccato il codice, hanno preso di mira i due esseri umani che detenevano le chiavi. L'IA non ha bisogno di violare uno smart contract se può generare un pretesto abbastanza convincente per indurre un firmatario multisig ad approvare una transazione che non comprende appieno. Guillemet si aspetta che il settore si divida: sistemi critici come wallet e protocolli core investiranno pesantemente nella sicurezza e si adatteranno, ma gran parte del più ampio ecosistema software potrebbe faticare a tenere il passo. Le sue correzioni raccomandate, verifica formale usando prove matematiche, isolamento hardware per le chiavi private, sono strutturalmente solide ma richiedono un livello di disciplina istituzionale che la maggior parte dei protocolli DeFi, incluso Drift, non ha ancora sviluppato. "Quando hai un dispositivo dedicato non esposto a internet, è più sicuro per progettazione", ha detto. Il Consiglio di Sicurezza di Drift non aveva tale cuscinetto. Due firme, zero timelock e un token falso è stato tutto ciò che è servito.

Cosa succede dopo: il recupero di Drift e la risposta del settore

Cosa succede dopo per Drift Protocol è tutt'altro che chiaro e i primi segnali stanno già dividendo il settore. Nelle immediate conseguenze, Anatoly Yakovenko ha suggerito un potenziale percorso di recupero: emettere un airdrop di token di tipo IOU agli utenti interessati, specchiando la strategia di Bitfinex del 2016 dopo il suo hack da 72 milioni di dollari. 

L'idea è semplice: socializzare le perdite ora, rimborsare gli utenti nel tempo se il protocollo si riprende. Ma il contesto è molto diverso. Il TVL di Drift è stato tagliato quasi a metà, i depositi e i prelievi rimangono sospesi e, a differenza di Bitfinex, manca di un motore di revenue centralizzato per garantire quelle passività. Questo ha portato a un immediato pushback: i token IOU, in questo caso, rischiano di diventare strumenti puramente speculativi senza un chiaro percorso di riscatto.

Allo stesso tempo, l'attività on-chain sta sollevando nuove preoccupazioni. Onchain Lens ha segnalato che un wallet legato al team di Drift ha spostato 56,25 milioni di token DRIFT (≈2,44 milioni di dollari) su exchange centralizzati tra cui Bybit e Gate poco dopo l'exploit, una mossa che tipicamente precede la pressione di vendita e ha alimentato speculazioni sul posizionamento degli insider durante una crisi di liquidità. 

Nel frattempo, i fondi dell'attaccante sono già stati portati su diverse catene, in particolare su Ethereum, riducendo la probabilità di un recupero significativo con il passare dei giorni. L'implicazione più ampia è che questo incidente non si concluderà con Drift. È probabile che acceleri lo scrutinio in tutto il settore sul governo del DeFi stesso, dagli standard di sicurezza multisig e dai requisiti di timelock alla progettazione degli oracle e ai controlli di esecuzione. Ciò che segue dipende da tre variabili: se Drift può presentare un piano di recupero credibile, se una parte dei fondi può essere tracciata o congelata e se questo finalmente costringerà a una riforma strutturale, o diventerà solo un'altra costosa lezione che il settore supera.