Северная Корея создала поддельный токен, чтобы украсть $286 млн из протокола Drift, и ИИ делает эти атаки дешевле

Крупнейший взлом DeFi в этом году произошел на прошлой неделе, 1 апреля, когда Drift Protocol, один из крупнейших перп-DEX в сети Solana, столкнулся с эксплойтом, в результате которого из протокола исчезло около 286 миллионов долларов. Атака была связана с хакерами, связанными с Северной Кореей, и весь взлом произошел всего за 10 секунд. Однако поразительной особенностью этого взлома была его тщательность. Ничей код не был сломан, и в смарт-контрактах не было багов. Расследования крипто-форензических компаний, таких как Elliptic и TRM Labs, указывают на гораздо более расчетливый взлом. 

Северокорейские хакеры потратили три недели на создание поддельного токена под названием CarbonVote, вложив в него несколько тысяч долларов, чтобы придать ему видимость реальности, а также с помощью социальной инженерии заставили двух из пяти подписантов мультисиг-кошелька Совета безопасности Drift предварительно подписать скрытые разрешения, которые они не до конца понимали. После этого они использовали функцию Solana под названием «долговечные nonce» (durable nonces), чтобы сохранить эти подписи в резерве более чем на неделю, ожидая подходящего момента. Для этого потребовалась всего одна транзакция 1 апреля. 

Как отметил Elliptic, эта атака стала 18-й крипто-взломом, связанным с Северной Кореей, всего за этот год, в результате чего из сектора было выведено около 300 миллионов долларов. Через четыре дня после взлома CTO Ledger публично отметил тревожный характер взлома и то, что ИИ снижает стоимость таких атак «до нуля». Это заявление имеет большое значение, поскольку взлом Drift является примером того, как теперь работают такие операции. Атакующим не нужна была уязвимость нулевого дня или криптограф мирового уровня. Им требовались лишь терпение, убедительный поддельный токен и два человека, которых можно было манипулировать. Взлом фактически выявил структурную уязвимость в DeFi, каким он является сегодня. DeFi строит инфраструктуру стоимостью в миллиарды долларов, защищенную небольшими группами людей, которых можно обмануть, в то время как противники становятся лучше в этом.

Как Северная Корея украла $286 млн за 10 секунд 

Взлом протокола Drift был сложной эксплуатацией, которая длилась три недели подготовки. Bloomberg впервые сообщил о взломе 1 апреля, когда протокол Drift подтвердил, что примерно 286 миллионов долларов пользовательских активов были выведены. Вся схема фактически началась еще 11 марта, когда атакующий вывел 10 ETH из Tornado Cash примерно в 9 утра по пхеньянскому времени и использовал их для развертывания поддельного токена CarbonVote (CVT), полностью фиктивного актива,seeded с несколькими тысячами долларов ликвидности и поддерживаемого за счет wash trading.

В течение двух недель, с 23 по 30 марта, злоумышленник создал счета с «долговечными nonce» (durable nonce) — легитимной функцией сети Solana, позволяющей предварительно подписывать транзакции и хранить их неограниченно долго без истечения срока действия. В этот период злоумышленник с помощью социальной инженерии заставил двух из пяти подписантов мультисиг-кошелька Совета безопасности Drift одобрить транзакции, которые выглядели нормально, но, как позже подтвердила TRM Labs, содержали скрытые разрешения на критический административный контроль.

Финальный элемент схемы был установлен 27 марта, когда Drift перевел свой Совет безопасности в новую конфигурацию с порогом 2 из 5 и нулевым таймлоком, как сообщало BlockSec. Это фактически устранило единственную задержку, которая могла бы позволить кому-либо заметить надвигающуюся угрозу. К моменту наступления 1 апреля ловушка была полностью подготовлена и находилась в состоянии готовности уже несколько дней.

1 апреля злоумышленник использовал эти предварительно подписанные одобрения, чтобы включить CarbonVote в качестве допустимого залога, искусственно завысив его стоимость до сотен миллионов долларов через манипулированные оракулы, и захватил управление. После этого 31 транзакция на вывод опустошила хранилища Drift за считанные секунды. Самая крупная часть включала более 155 миллионов долларов в токенах JLP, а также десятки миллионов долларов в USDC, SOL, ETH и других ликвидных стейкинг-токенах, которые были выведены, а общая заблокированная стоимость (TVL) протокола мгновенно рухнула с примерно 550 миллионов долларов до менее чем 250 миллионов. 

Скорость взлома — лишь одна часть этой истории. Детальный план, длившийся до трех недель и завершившийся 10-секундным взломом, показал, насколько легко управление (governance), а не код, может стать самым слабым звеном в DeFi. 

Крипто-война Северной Кореи на сумму $300 млн за 2026 

Этот взлом, по сообщениям, осуществленный хакерами, связанными с Северной Кореей, отнюдь не является изолированным случаем. Если взглянуть на некоторые из самых громких взломов за последние несколько лет, становится очевидно, что это часть гораздо более масштабной кампании, поддерживаемой государством. Только в этом году, по данным Elliptic, эксплуатация уязвимости Drift стала 18-м крипто-крадeжом, приписываемым КНДР, что вывело общую сумму похищенных средств за этот год за отметку в 300 миллионов долларов. Если посмотреть за пределы этого года, масштаб таких взломов со стороны одной страны становится трудно игнорировать. В прошлом году акторы, связанные с Северной Кореей, похитили от 1,92 миллиарда долларов, согласно TRM Labs, в то время как Chainalysis оценивает эту сумму в 2,02 миллиарда долларов в криптовалюте. Это стало 51-процентным ростом по сравнению с предыдущим годом в количестве взломов, совершенных этой группой, и вывело их общую сумму краж на все времена до 6,75 миллиарда долларов.

В 2025 году на долю Северной Кореи пришлось рекордные 76% всех компрометаций сервисов, что означает, что одна страна несет ответственность за подавляющее большинство краж в индустрии. На этом фоне взлом Drift, который теперь является вторым по величине эксплойтом в экосистеме Solana после взлома Wormhole в 2022 году, вписывается в общий паттерн атак. 

Что определяет этот паттерн, так это последовательность. Взлом Bybit в феврале 2025 года, крупнейшее крадeж в истории криптовалют, имел почти идентичную структуру, включавшую социальную инженерию, скомпрометированный доступ и скоординированный обмен средствами. TRM Labs отмечает, что операторы КНДР все чаще полагаются на сети «китайских прачечных» для перевода средств между различными блокчейнами в течение нескольких часов.

Атака на Drift фактически демонстрирует систему, в которой государственные команды проводят многомесячные операции с уже имеющейся разведкой, манипуляциями с людьми и глобальной инфраструктурой для отмывания средств. 

ИИ снижает стоимость атак «до нуля»: предупреждение технического директора Ledger

Через четыре дня после опустошения Drift технический директор Ledger Чарльз Гийоме сказал CoinDesk нечто, изменившее восприятие всего инцидента. «Нахождение уязвимостей и их эксплуатация становится действительно, очень легким», — сказал он. «Стоимость снижается до нуля». Гийоме не назвал Drift, но описал его точные механики. ИИ не только помогает злоумышленникам быстрее находить ошибки в коде, но и делает социальную инженерию более убедительной, фишинг — более персонализированным, а подготовительную работу, которую корейские операторы потратили три недели на Drift, — дешевле и масштабируемее на порядок. Он также указал на усугубляющуюся проблему со стороны защиты: по мере того как больше разработчиков полагаются на сгенерированный ИИ код, уязвимости могут распространяться быстрее, чем человеческие рецензенты успевают их обнаруживать. «Кнопки „сделай это безопасным“ не существует», — сказал он. «Мы будем производить много кода, который изначально будет небезопасным». Взломы и эксплойты привели к потерям в криптовалюте на сумму 1,4 миллиарда долларов за последний год, и прогноз Гийоме заключается в том, что кривая станет круче, а не положе.

Взлом Drift — это наиболее наглядное подтверждение этого предупреждения. Злоумышленники никогда не трогали код, они нацелились на двух людей, владеющих ключами. ИИ не нужно взламывать смарт-контракт, если он может создать достаточно убедительное предлог, чтобы обмануть подписанта мультисиг-кошелька и заставить его одобрить транзакцию, которую он не до конца понимает. Гийоме ожидает, что индустрия разделится: критические системы, такие как кошельки и основные протоколы, будут инвестировать значительные средства в безопасность и адаптироваться, но большая часть более широкой экосистемы программного обеспечения может столкнуться с трудностями в поддержании темпов. Его рекомендуемые исправления, такие как формальная верификация с использованием математических доказательств и аппаратная изоляция для закрытых ключей, структурно надежны, но требуют уровня институциональной дисциплины, которого у большинства протоколов DeFi, включая Drift, пока нет. «Когда у вас есть выделенное устройство, не подверженное воздействию интернета, оно более безопасно по своей конструкции», — сказал он. У Совета безопасности Drift не было такой буферной защиты. Двух подписей, нулевого таймлока и поддельного токена было достаточно.

Что будет дальше: восстановление Drift и реакция индустрии

Будущее протокола Drift далеко не ясно, и ранние сигналы уже разделили индустрию. В непосредственном послевкусии Анатолий Якушенко предложил потенциальный путь восстановления: выпуск токена в стиле IOU (обязательство) в виде аирдропа для пострадавших пользователей, что зеркально отражает стратегию Bitfinex 2016 года после ее взлома на 72 миллиона долларов. 

Идея проста: распределить убытки сейчас и погасить долги пользователям со временем, если протокол восстановится. Но контекст очень отличается. TVL Drift был сокращен почти вдвое, депозиты и выводы средств остаются приостановленными, и, в отличие от Bitfinex, у него отсутствует централизованный источник дохода для обеспечения этих обязательств. Это привело к немедленному сопротивлению: токены IOU в данном случае рискуют стать чисто спекулятивными инструментами без четкого пути к погашению.

В то же время активность в блокчейне вызывает новые опасения. Onchain Lens отметил, что кошелек, связанный с командой Drift, перевел 56,25 миллиона токенов DRIFT (≈2,44 миллиона долларов) на централизованные биржи, включая Bybit и Gate, вскоре после эксплойта. Это движение, как правило, предшествует давлению на продажу и подпитало спекуляции о позиционировании инсайдеров во время кризиса ликвидности. 

Тем временем средства злоумышленника уже были переведены между цепочками, наиболее заметно в Ethereum, что снижает вероятность значительного восстановления с каждым проходящим днем. Более широкий вывод заключается в том, что этот инцидент не закончится на Drift. Вероятно, он ускорит общенациональный пересмотр самого управления DeFi, начиная со стандартов безопасности мультисиг-кошельков и требований таймлока, заканчивая дизайном оракулов и контролями исполнения. То, что произойдет дальше, зависит от трех переменных: сможет ли Drift представить правдоподобный план восстановления, можно ли отследить или заморозить какую-либо часть средств, и заставит ли это наконец провести структурные реформы или станет еще одним дорогим уроком, который индустрия пропустит мимо ушей.