Elliptic oznacza exploit Drift o wartości 285 milionów dolarów jako prawdopodobną operację powiązaną z Koreą Północną

Elliptic poinformował w czwartek, że exploit Drift Protocol o wartości 285 milionów dolarów, największy w tym roku, nosi „wiele wskaźników" wskazujących na zaangażowanie sponsorowanej przez państwo północnokoreańskiej grupy hakerskiej DPRK.

Firma badawcza wskazała szczególnie na zachowanie onchain, metodologie prania pieniędzy i sygnały na poziomie sieci, które wszystkie są zgodne z poprzednimi atakami powiązanymi z państwem.

Drift Protocol, którego token spadł o ponad 40% do około 0,06 dolara od czasu ataku, jest największą zdecentralizowaną giełdą kontraktów perpetual futures na blockchainie Solana.

„Jeśli zostanie potwierdzony, ten incydent będzie stanowił osiemnasty akt DPRK, który Elliptic śledził w tym roku, z ponad 300 milionami dolarów skradzionych do tej pory" – czytamy w raporcie.

„Jest to kontynuacja trwającej kampanii DPRK polegającej na kradzieży kryptoaktywów na dużą skalę, którą rząd USA powiązał z finansowaniem programów zbrojeniowych. Uważa się, że podmioty powiązane z DPRK są odpowiedzialne za kradzież kryptoaktywów o wartości miliardów dolarów w ostatnich latach" – dodał Elliptic.

Kilka godzin wcześniej dane Arkham pokazały, że ponad 250 milionów dolarów zostało przeniesionych z Drift do tymczasowego portfela, a następnie do różnych innych adresów.

W grudniu raport Chainalysis ujawnił, że hakerzy DPRK ukradli rekordowe 2 miliardy dolarów w kryptowalutach w 2025 roku, w tym włamanie na Bybit o wartości 1,4 miliarda dolarów, co stanowi wzrost o 51% w porównaniu z poprzednim rokiem. Departament Skarbu USA powiedział w zeszłym miesiącu, że Korea Północna wykorzystuje skradzione aktywa do finansowania programu broni masowego rażenia kraju.

Zamiast skupiać się na samym exploicie, analiza Elliptic podkreśla znany schemat operacyjny. Działalność wydaje się „z premedytacją i starannie wyreżyserowana", z wczesnymi testowymi transakcjami i wcześniej przygotowanymi portfelami poprzedzającymi główne zdarzenie.

Raport wyjaśnia, że po wykonaniu środki zostały szybko skonsolidowane i wymienione, przeniesione między łańcuchami i przekonwertowane na bardziej płynne aktywa, odzwierciedlając ustrukturyzowany, powtarzalny przepływ prania pieniędzy zaprojektowany w celu ukrycia pochodzenia przy jednoczesnym utrzymaniu kontroli.

Głównym wyzwaniem, zauważa Elliptic, jest model konta Solana. Ponieważ każdy zasób jest przechowywany na osobnym koncie tokenów, działalność powiązana z jednym podmiotem może wydawać się rozproszona na wielu adresach. Bez powiązania tych elementów, śledczy ryzykują zobaczenie „fragmentów działalności atakującego, a nie pełnego obrazu".

To tutaj raport Elliptic podkreśla podejście klastrowe, które łączy konta tokenów z powrotem do jednego podmiotu, umożliwiając identyfikację ekspozycji niezależnie od tego, który adres jest sprawdzany. W incydencie obejmującym ponad tuzin typów aktywów, ten widok na poziomie podmiotu staje się kluczowy.

Sprawa podkreśla również, dodaje Elliptic w swoim raporcie, jak pranie pieniędzy stało się z natury międzyłańcuchowe. Środki przeniesiono z Solana do Ethereum i dalej, demonstrując potrzebę tego, co Elliptic opisał jako „holistyczne możliwości śledzenia międzyłańcuchowego".