北朝鮮はDriftプロトコルから2億8,600万ドルを盗むために偽のトークンを製造し、AIはこれらの攻撃をより安くしている

今年最大のDeFiハックは、先週4月1日に発生しました。Solanaネットワーク上で最大のパープDEXの一つであるDrift Protocolは、プロトコルから約2億8,600万ドルが消えるエクスプロイトを経験しました。この攻撃は北朝鮮にリンクされたハッカーに結び付けられており、ハック全体はわずか10秒で完了しました。しかし、このハックの驚くべき点は、その綿密な性質にあります。コードは壊されておらず、スマートコントラクトにバグはありませんでした。EllipticやTRM Labsなどの仮想通貨フォレンジックファームによる調査は、はるかに計算されたハックを指し示しています。 

北朝鮮の攻撃者は、CarbonVoteという偽のトークンを製造するために3週間を費やし、数千ドルでシードして現実味を持たせると同時に、Driftの5人のマルチシグセキュリティカウンシル署名者のうち2人をソーシャルエンジニアリングし、完全に理解していない隠された承認を事前に署名させました。その後、彼らは「永続的なノンス（durable nonces）」と呼ばれるSolanaの機能を使用して、それらの署名を1週間以上予約として保持し、適切な瞬間を待ちました。必要だったのは、4月1日の単一のトランザクションだけでした。 

Ellipticが指摘したように、この攻撃は今年だけで北朝鮮にリンクされた18番目の仮想通貨ハックであり、業界から約3億ドルを巻き上げました。ハックから4日後、LedgerのCTOは公の場で、このハックの驚くべき性質と、AIがこのような攻撃のコストを「ゼロに引き下げている」ことを強調しました。この発言は非常に重要です。なぜなら、Driftハックはこれらの作戦がどのように機能するかを示すケーススタディだからです。攻撃者はゼロデイ脆弱性やトップクラスの暗号学者を必要としませんでした。必要だったのは、忍耐、説得力のある偽のトークン、そして操作できる2人の人間だけでした。このハックは、現在のDeFiの構造的な脆弱性を露呈させました。DeFiは、騙されやすい少数の人間によって守られている数十億ドル規模のインフラを構築していますが、敵対者はまさにそのことをより上手に行うようになっています。

北朝鮮は10秒で286万ドルを盗んだ 

Driftプロトコルのハックは、3週間にわたる準備を伴う洗練されたエクスプロイトでした。Bloombergは4月1日、Driftプロトコルが約2億8,600万ドルのユーザー資産が流出したことを確認したと最初に報じました。この一連の計画は、実際には3月11日に始まりました。攻撃者は平壌時間午前9時頃にTornado Cashから10 ETHを引き出し、それを使用して偽のトークンCarbonVote（CVT）をデプロイしました。これは完全に架空のアセットで、数千ドルの流動性でシードされ、ウォッシュトレーディングを通じて存続していました。

次の2週間、3月23日から3月30日の間に、攻撃者は永続的なノンスアカウント（durable nonce accounts）を開設しました。これはSolanaネットワーク上の正当な機能で、トランザクションを事前に署名し、期限切れにならずに無期限に保持することができます。この期間中、攻撃者はDriftの5人のセキュリティカウンシルマルチシグ署名者のうち2人をソーシャルエンジニアリングし、通常に見えるが、TRM Labsが後に確認したように、重要な管理者権限への隠された承認を伴うトランザクションを承認させました。

最後のピースは3月27日に落ちました。BlockSecの報告によると、Driftはセキュリティカウンシルを新しい2/5のしきい値構成に移行し、タイムロックをゼロにしました。これは、何が起きようとしているかを誰かが発見できる唯一の遅延を事実上取り除いたものです。4月1日が来る頃には、罠は数日間完全に仕掛けられていました。

4月1日、攻撃者はそれらの事前に署名された承認を使用してCarbonVoteを有効な担保としてリストし、操作されたオラクル価格を通じてその価値を数億ドルに膨張させ、ガバナンスが乗っ取られました。そこから、31件の出金トランザクションが数秒でDriftの金庫を空にしました。最大の塊だけでも、1億5,500万ドル以上のJLPトークンに加えて、数十万ドルのUSDC、SOL、ETH、および他の流動性ステーキングトークンが流出し、プロトコルの総ロック価値（TVL）は約5億5,000万ドルから2億5,000万ドル未満に瞬時に崩壊しました。 

このハックの速度は、この物語の一部に過ぎません。10秒間のハックで終わった3週間にわたる詳細な計画は、ガバナンスがコードよりもDeFiの最も弱いリンクになりやすいことをどのように示しました。 

北朝鮮の2026秒間の300万ドルの仮想通貨戦争 

このハックは、北朝鮮にリンクされた攻撃者によって行われたと報告されていますが、決して孤立した事件ではありません。実際、過去数年間の最も著名なハックの一部を調べると、これははるかに大きな国家主導のキャンペーンの一部であることが明らかになります。今年だけでも、EllipticはDriftのエクスプロイトが北朝鮮に帰属する仮想通貨窃盗の18件目となり、今年これまでに流出した資金の合計が3億ドルを超えたことを報告しています。今年を超えて見ると、単一国からのこのようなハックの規模は無視するのが非常に難しくなります。昨年、北朝鮮にリンクされたアクターはTRM Labsによると19億2,000万ドル、Chainalysisによると仮想通貨で20億2,000万ドルを盗みました。これはこのグループによるハックが前年比51%増加し、彼らの歴史上最大の窃盗額を67億5,000万ドルに押し上げました。

北朝鮮は2025年にすべてのサービス侵害の記録的な76%を占めており、1つの国が業界で発生している窃盗の圧倒的多数の責任を負っています。そのような背景に対し、2022年のWormhole侵害に次いでSolanaエコシステム内で2番目に大きなエクスプロイトとなったDriftハックは、攻撃のパターンに適合します。 

そのパターンを定義するのは一貫性です。2025年2月のBybitハック（史上最大の仮想通貨窃盗）は、ソーシャルエンジニアリング、アクセスの侵害、協調的な資金交換を含む、ほぼ同一のセットアップを持っていました。TRM Labsは、DPRK（北朝鮮）のオペレーターが、数時間以内に異なるチェーン間で資金をブリッジするために「中国のラundromat」ネットワークにますます依存していることに注意しています。

Driftの攻撃は、偵察、人間の操作、そしてすでに設置されたグローバルな洗浄インフラを備えた国家支援チームによる複数週にわたる作戦のシステムを示しています。 

AIは攻撃コストを「ゼロに引き下げる」：LedgerのCTOが警告

Driftの排水から4日後、LedgerのCTOであるCharles GuillemetはCoinDeskに対して、この事件全体を再定義する何かを語りました。「脆弱性を見つけてそれを利用することは、本当に本当に簡単になります」と彼は言いました。「コストはゼロに下がっています。」GuillemetはDriftの名前を挙げませんでしたが、その正確なメカニズムを説明しました。AIは攻撃者がコードのバグをより早く見つけるのを助けるだけでなく、ソーシャルエンジニアリングをより説得力のあるものにし、フィッシングをよりパーソナライズし、北朝鮮のオペレーターがDriftに費やした3週間の準備作業を、桁違いに安価でスケーラブルにします。彼はまた、防御側の複合的な問題にも言及しました。より多くの開発者がAI生成コードに依存するにつれ、脆弱性は人間のレビューヤーが捕捉するよりも速く広がる可能性があります。「『それを安全にする』ボタンはありません」と彼は言いました。「私たちは、設計上安全ではないコードを大量に生成することになります。」ハックとエクスプロイトは過去1年間で14億ドルの仮想通貨損失を引き起こし、Guillemetの予測では、その曲線は緩やかになるのではなく、より急峻になります。

Driftハックは、その警告の最も明確なコンセプトプロofsです。攻撃者はコードに触れることなく、鍵を持つ2人の人間を対象としました。AIはスマートコントラクトを壊す必要はありません。マルチシグ署名者を完全に理解していないトランザクションを承認するようにだますのに十分な説得力のある口実を生成できればよいのです。Guillemetは、業界が分裂すると予想しています。ウォレットやコアプロトコルなどの重要システムはセキュリティに多額の投資を行い適応しますが、より広範なソフトウェアエコシステムの多くは追いつくのに苦労するかもしれません。彼の推奨する修正策、数学的証明を用いた形式検証、プライベートキーのためのハードウェア分離は、構造的に健全ですが、Driftを含むほとんどのDeFiプロトコルがまだ構築していないレベルの制度的規律を必要とします。「インターネットに公開されていない専用デバイスを持つことは、設計上より安全です」と彼は言いました。Driftセキュリティカウンシルにはそのような緩衝地帯がありませんでした。2つの署名、ゼロのタイムロック、そして偽のトークンがあれば十分でした。

次に何が起こるか：Driftの回復と業界の対応

Driftプロトコルの次に何が起こるかは全く明確ではなく、初期の兆候はすでに業界を二分しています。直後の対応として、Anatoly Yakovenkoは、Bitfinexが2016年に7,200万ドルのハック後に採用したプレイブックを模倣し、影響を受けたユーザーにIOUスタイルのトークンエアドロップを発行するという潜在的な回復経路を示唆しました。 

このアイデアはシンプルです：今損失を社会化し、プロトコルが回復すれば時間をかけてユーザーに返済する。しかし、文脈は非常に異なります。DriftのTVLはほぼ半分に削減され、預け入れと引き出しは依然として停止されており、Bitfinexとは異なり、これらの負債を支える中央集権的な収益エンジンがありません。これにより、即時の反発が生じています。この場合、IOUトークンは明確な償還パスを持たない純粋な投機ツールになるリスクがあります。

同時に、オンチェーンアクティビティは新たな懸念を raising しています。Onchain Lensは、Driftチームにリンクされたウォレットがエクスプロイトの直後に、BybitやGateなどの中央集権型取引所に5,625万DRIFTトークン（約244万ドル）を移動させたことを指摘しました。これは通常、売り圧力に先行する動きであり、流動性危機中の内部者ポジショニングに関する憶測を煽りました。 

一方、攻撃者の資金はすでにチェーン間でブリッジされており、特にEthereumに移動しており、意味のある回復の可能性は日を追うごとに低下しています。より広範な含意は、この事件がDriftで終わるわけではないということです。これはおそらく、マルチシグセキュリティ基準やタイムロック要件からオラクル設計および実行制御に至るまで、DeFiガバナンス自体に対する業界全体の監視を加速させるでしょう。次に何が起こるかは3つの変数にかかっています：Driftが信頼できる回復計画を提示できるかどうか、資金の一部を追跡または凍結できるかどうか、そしてこれが最終的に構造的な改革を強制するか、それとも業界が通り過ぎるただの別の高価な教訓になるかどうかです。