A Coreia do Norte Fabricou um Token Falso para Roubar US$ 286M do Protocolo Drift e a IA Está Tornando Esses Ataques Mais Baratos

O maior hack de DeFi deste ano ocorreu na semana passada, em 1 de abril, quando o Drift Protocol, uma das maiores DEXs perpétuas na rede Solana, sofreu uma exploração que viu cerca de US$ 286 milhões desaparecerem do protocolo. O ataque foi ligado a hackers ligados à Coreia do Norte e todo o hack ocorreu em apenas 10 segundos. O que é surpreendente neste hack, no entanto, é a natureza meticulosa dele. Nenhum código foi quebrado e nenhum contrato inteligente tinha um bug. Investigações de empresas de forense cripto, como Elliptic e TRM Labs, apontam na verdade para um hack muito mais calculado. 

Os atacantes norte-coreanos gastaram três semanas fabricando um token falso chamado CarbonVote, semeando-o com alguns milhares de dólares para fazê-lo parecer real, enquanto ao mesmo tempo manipulavam socialmente dois dos cinco signatários do Conselho de Segurança multissignatário da Drift para pré-assinarem autorizações ocultas que não compreendiam totalmente. Após isso, eles usaram um recurso da Solana chamado “nonces duráveis” para manter essas assinaturas em reserva por mais de uma semana, esperando o momento certo. Tudo o que foi necessário foi uma única transação em 1 de abril. 

Como observado pela Elliptic, este ataque foi o 18º hack de criptomoedas ligado à Coreia do Norte apenas este ano, retirando cerca de US$ 300 milhões do espaço. Quatro dias após o hack, o CTO da Ledger fez declarações públicas para destacar a natureza alarmante do hack e que a IA está a reduzir o custo de ataques como este “para zero”. Essa declaração é muito importante porque o hack da Drift é um estudo de caso sobre como essas operações funcionam hoje. Os atacantes não precisaram de uma vulnerabilidade zero-day nem de um criptógrafo de primeira linha. Tudo o que precisaram foi de paciência, um token falso convincente e duas pessoas que poderiam manipular. O hack expôs realmente uma vulnerabilidade estrutural no DeFi como ele é hoje. O DeFi está a construir infraestrutura de bilhões de dólares protegida por pequenos grupos de pessoas que podem ser enganadas, enquanto os adversários estão a ficar melhores em fazer exatamente isso.

Como a Coreia do Norte Roubou US$ 286 Milhões em 10 Segundos 

O hack do protocolo Drift foi uma exploração sofisticada que se estendeu por três semanas de preparação. A Bloomberg relatou a violação pela primeira vez em 1 de abril, quando o protocolo Drift confirmou que cerca de US$ 286 milhões em ativos dos usuários haviam sido desviados. Todo o esquema começou realmente em 11 de março, quando o atacante retirou 10 ETH da Tornado Cash por volta das 9h (horário de Pyongyang) e o usou para implantar o token falso, CarbonVote (CVT), um ativo completamente fictício semeado com alguns milhares de dólares em liquidez e mantido vivo através de wash trading.

Ao longo das duas semanas seguintes, entre 23 e 30 de março, o atacante abriu contas de nonce duráveis, um recurso legítimo na rede Solana que permite que transações sejam pré-assinadas e mantidas indefinidamente sem expirar. Durante essa janela, o atacante manipulou socialmente dois dos cinco signatários do Conselho de Segurança da Drift para aprovar transações que pareciam normais, mas, como a TRM Labs confirmou mais tarde, continham autorizações ocultas para controle administrativo crítico.

A peça final caiu em 27 de março, quando a Drift migrou seu Conselho de Segurança para uma nova configuração de limiar 2/5 com zero tempo de espera, conforme relatado pela BlockSec, o que basicamente removeu o único atraso que teria permitido a alguém perceber o que estava por vir. Quando 1 de abril chegou, a armadilha já estava totalmente armada há dias.

Em 1 de abril, o atacante usou essas aprovações pré-assinadas para listar o CarbonVote como colateral válido, inflacionou seu valor para centenas de milhões por meio de precificação de oráculo manipulada e o governo foi apreendido. A partir daí, 31 transações de retirada esvaziaram as caixas da Drift em questão de segundos. A maior parte sozinha incluiu mais de US$ 155 milhões em tokens JLP, juntamente com dezenas de milhões em USDC, SOL, ETH e outros tokens de staking líquido sendo drenados, e o Valor Total Bloqueado no protocolo colapsou instantaneamente de cerca de US$ 550 milhões para menos de US$ 250 milhões. 

Esta velocidade do hack é apenas uma parte desta história. Um plano detalhado que durou até três semanas, culminando em um hack de 10 segundos, mostrou como a governança, e não o código, pode se tornar o elo mais fraco no DeFi. 

A Guerra Cripto de $300 Milhões da Coreia do Norte em 2026 

Este hack, supostamente perpetrado por atacantes ligados à Coreia do Norte, não é de forma alguma um evento isolado. Na verdade, se você analisar alguns dos hacks de maior perfil nos últimos anos, torna-se evidente que isso faz parte de uma campanha muito maior, impulsionada por estados. Apenas este ano, a Elliptic relatou que a exploração da Drift a torna o 18º roubo de criptomoedas atribuído à RPCD, elevando o total de fundos desviados a mais de US$ 300 milhões até agora este ano. Se você olhar para além deste ano, a escala desses hacks de um único país torna-se muito difícil de ignorar. No ano passado, atores ligados à Coreia do Norte roubaram entre US$ 1,92 bilhão, conforme a TRM Labs, enquanto a Chainalysis coloca essa figura em US$ 2,02 bilhões em criptomoedas. Isso marcou um aumento de 51% ano a ano nos hacks conduzidos por este grupo e elevou seu roubo de todos os tempos para US$ 6,75 bilhões.

A Coreia do Norte foi responsável por um recorde de 76% de todas as violações de serviços em 2025, o que significa que um único país é responsável pela esmagadora maioria dos roubos que ocorrem na indústria. Nesse contexto, o hack do Drift, que agora é a segunda maior exploração dentro do ecossistema Solana após a violação de 2022 da Wormhole, encaixa-se em um padrão de ataques. 

O que define esse padrão é a consistência. O hack da Bybit em fevereiro de 2025, o maior roubo de criptomoedas da história, teve configurações quase idênticas, incluindo engenharia social, acesso comprometido e troca coordenada de fundos. A TRM Labs observa que os operadores da RPCD confiam cada vez mais em redes de “lavanderias chinesas” para fundos sendo transferidos entre diferentes cadeias em questão de horas.

O ataque ao Drift mostra, na verdade, um sistema de equipes apoiadas pelo Estado conduzindo operações de várias semanas com reconhecimento, manipulação humana e infraestrutura global de lavagem já estabelecida. 

IA está levando os custos de ataque “a zero”: CTO da Ledger alerta

Quatro dias após o dreno da Drift, o CTO da Ledger, Charles Guillemet, disse à CoinDesk algo que reformulou todo o incidente. “Encontrar vulnerabilidades e explorá-las torna-se realmente, realmente fácil”, disse ele. “O custo está a cair para zero.” Guillemet não nomeou a Drift, mas descreveu suas mecânicas exatas. A IA não apenas ajuda os atacantes a encontrar bugs de código mais rapidamente, mas também torna a engenharia social mais convincente, o phishing mais personalizado e o trabalho de preparação que os operadores norte-coreanos gastaram três semanas fazendo na Drift mais barato e escalável por uma ordem de magnitude. Ele também apontou para um problema cumulativo no lado defensivo: à medida que mais desenvolvedores dependem de código gerado por IA, as vulnerabilidades podem se espalhar mais rápido do que os revisores humanos podem detectá-las. “Não há um botão ‘tornar seguro’”, disse ele. “Vamos produzir muito código que será inseguro por design.” Hacks e explorações causaram US$ 1,4 bilhão em perdas de criptomoedas no ano passado, e a projeção de Guillemet é que a curva fique mais íngreme, não mais plana.

O hack do Drift é a prova de conceito mais clara para esse alerta. Os atacantes nunca tocaram no código; eles miraram nos dois humanos que detinham as chaves. A IA não precisa quebrar um contrato inteligente se puder gerar um pretexto convincente o suficiente para enganar um signatário de multisig e fazê-lo aprovar uma transação que não compreende totalmente. Guillemet espera que a indústria se divida: sistemas críticos como carteiras e protocolos centrais investirão pesadamente em segurança e se adaptarão, mas grande parte do ecossistema de software mais amplo pode ter dificuldade em acompanhar. Suas correções recomendadas, verificação formal usando provas matemáticas, isolamento de hardware para chaves privadas, são estruturalmente sólidas, mas exigem um nível de disciplina institucional que a maioria dos protocolos DeFi, incluindo o Drift, ainda não construiu. “Quando você tem um dispositivo dedicado não exposto à internet, ele é mais seguro por design”, disse ele. O Conselho de Segurança do Drift não tinha tal proteção. Duas assinaturas, zero tempo de espera (timelock) e um token falso foram tudo o que foi necessário.

O que acontece a seguir: Recuperação do Drift e Resposta da Indústria

O que acontece a seguir para o Drift Protocol está longe de ser claro e os sinais iniciais já estão dividindo a indústria. Imediatamente após o ocorrido, Anatoly Yakovenko sugeriu um caminho potencial de recuperação: emitir um airdrop de um token estilo IOU para os usuários afetados, espelhando o plano da Bitfinex em 2016 após seu hack de $72 milhões. 

A ideia é simples: socializar as perdas agora e reembolsar os usuários ao longo do tempo se o protocolo se recuperar. Mas o contexto é muito diferente. A TVL do Drift foi cortada quase pela metade, depósitos e saques permanecem suspensos e, ao contrário da Bitfinex, ele não possui um motor de receita centralizado para respaldar essas obrigações. Isso levou a uma oposição imediata: tokens IOU, neste caso, correm o risco de se tornar instrumentos puramente especulativos sem um caminho claro para resgate.

Ao mesmo tempo, a atividade on-chain está levantando novas preocupações. A Onchain Lens sinalizou que uma carteira vinculada à equipe do Drift moveu 56,25 milhões de tokens DRIFT (≈$2,44 milhões) para exchanges centralizadas, incluindo Bybit e Gate, logo após a exploração, um movimento que tipicamente precede pressão de venda e alimentou especulações sobre posicionamento de insiders durante uma crise de liquidez. 

Enquanto isso, os fundos do atacante já foram transferidos entre cadeias, notadamente para a Ethereum, reduzindo a probabilidade de uma recuperação significativa a cada dia que passa. A implicação mais ampla é que este incidente não terminará com o Drift. É provável que acelere o escrutínio em toda a indústria em torno da própria governança DeFi, desde padrões de segurança de multisig e requisitos de timelock até design de oráculos e controles de execução. O que vem a seguir depende de três variáveis: se o Drift pode apresentar um plano de recuperação credível, se alguma parte dos fundos pode ser rastreada ou congelada e se isso finalmente forçará uma reforma estrutural ou se tornará apenas mais uma lição cara que a indústria superará.