Sự kiện Hack của Drift: Điều tra Ban đầu - Nhóm Liên kết với Triều Tiên Nghiên Cứu Kế Hoạch Xâm Nhập Trong Nửa Năm
Tin tức BlockBeats, ngày 5 tháng 4, theo tin tức chính thức, Drift cho biết họ đang tiến hành điều tra toàn diện về vụ tấn công hacker xảy ra vào ngày 1 tháng 4 năm 2026, hợp tác với các cơ quan pháp luật, đối tác điều tra và cộng đồng sinh thái. Hiện tại, tất cả các tính năng giao thức đã được tạm ngừng, các ví bị ảnh hưởng đã được loại bỏ khỏi multi-signature, và địa chỉ của kẻ tấn công đã được đánh dấu trên sàn giao dịch và cầu nối cross-chain. Công ty an ninh Mandiant đã tham gia vào cuộc điều tra. Kết quả sơ bộ cho thấy vụ tấn công này không phải là hành vi ngắn hạn mà là một cuộc tấn công thông tin liên tục kéo dài khoảng 6 tháng, có bối cảnh tổ chức và được hỗ trợ bởi nguồn lực đầy đủ. Ngay từ mùa thu năm 2025, một nhóm người tự xưng là công ty giao dịch lượng tử đã tiếp xúc với các thành viên trong nhóm Drift tại nhiều hội nghị mã hóa quốc tế và trong những tháng tiếp theo đã duy trì mối quan hệ, tiến hành hợp tác và thậm chí đầu tư hơn 100 triệu đô la Mỹ vào nền tảng để xây dựng niềm tin.
Điều tra đã phát hiện rằng những người này có bằng cấp chuyên môn và khả năng kỹ thuật, thông qua các nhóm Telegram họ đã trao đổi chiến lược giao dịch và tích hợp sản phẩm với nhóm trong thời gian dài và gặp gỡ lãnh đạo trực tiếp qua nhiều cuộc họp offline. Ngay sau vụ tấn công vào tháng 4 năm 2026, các hồ sơ chat liên quan và phần mềm độc hại đã bị xóa nhanh chóng. Drift tin rằng cuộc xâm nhập này có thể đã được thực hiện qua nhiều con đường, bao gồm kẻ xâm nhập nhái kho chứa có chứa mã độc hại hoặc tải xuống ứng dụng thử nghiệm được giả mạo thành sản phẩm ví tiền. Ngoài ra, vụ tấn công cũng có thể đã tận dụng lỗ hổng VSCode và Cursor mà cộng đồng an toàn đã cảnh báo từ trước, để thực thi mã độc hại mà người dùng không nhận biết.
Dựa trên phân tích dòng tiền trên chuỗi và mô hình hành vi, nhóm an ninh dự đoán rằng hành động này liên quan đến tổ chức đe dọa đứng sau vụ tấn công Radiant Capital năm 2024, mà tổ chức này được cho là các nhóm hacker có nguồn gốc Triều Tiên (như UNC4736 / AppleJeus). Đáng chú ý là những người liên hệ offline không phải là công dân Triều Tiên mà là người trung gian thứ ba. Drift cho biết, kẻ tấn công đã xây dựng một hệ thống dấu dấn hoàn chỉnh và đáng tin cậy, bao gồm lý lịch chuyên môn và nền tảng công cộng, để qua quá trình tiếp xúc dài hạn nhận được sự tin tưởng. Hiện tại, cuộc điều tra vẫn đang tiếp tục và nhóm mong muốn ngành công nghiệp tăng cường kiểm tra bảo mật thiết bị và quản lý quyền hạn.
