Protocol 分享關於 4 月 1 日漏洞的最新安全更新

Drift Protocol 披露了其 2026 年 4 月 1 日遭受攻擊的詳細資訊,概述了一場歷時六個月精心策劃的協同攻擊。這家去中心化交易所表示,此次入侵事件始於面對面會議、技術互動和惡意軟體散布。這起發生於 4 月 1 日的事件涉及遭入侵的貢獻者,造成估計接近 2.8 億美元的損失。

Drift Protocol 追溯長期社交工程攻擊

在一篇X 文章中,Drift Protocol 表示攻擊始於 2025 年 10 月左右的一場大型加密貨幣會議。據 Drift Protocol 稱,偽裝成量化交易公司的個人接觸了尋求整合的貢獻者。

然而,互動並未就此停止。該團體在六個月內持續在多個全球產業會議上與貢獻者互動。他們展示了經過驗證的專業背景,並在反覆的面對面會議中展現出技術熟練度。

此外,他們在初次接觸後建立了一個 Telegram 群組。隨著時間推移,他們與貢獻者討論交易策略和潛在的金庫整合。這些討論遵循了交易公司與 Drift Protocol 互動的標準入職模式。

從 2025 年 12 月到 2026 年 1 月,該團體啟用了一個生態系統金庫。他們提交了策略細節,並向協議存入超過 100 萬美元。同時,他們進行了工作會議並提出詳細的產品問題。

入侵與共享工具和設備存取有關

隨著整合討論推進到 2026 年 2 月和 3 月,信任加深了。貢獻者在產業活動中再次與該團體見面,加強了現有關係。然而,Drift Protocol 後來確定這些互動很可能是入侵途徑。 

據 Drift Protocol 稱,攻擊者在協作期間分享了惡意儲存庫和應用程式。這與ZachXBT 對 Circle 關於 2.8 億美元攻擊延遲的指責形成了鮮明對比。據報導,一名貢獻者複製了一個被描述為前端部署工具的程式碼儲存庫。 

來源:Arkham

另一名貢獻者下載了一個被描述為錢包產品的 TestFlight 應用程式。這些行動可能使設備暴露於入侵風險中。對於儲存庫途徑,Drift Protocol 指出了 VSCode 和 Cursor 中的已知漏洞。 

在 2025 年 12 月到 2026 年 2 月期間,開啟檔案可能導致無警告的靜默程式碼執行。在攻擊發生後,Drift Protocol 對受影響的設備和帳戶進行了取證審查。值得注意的是,攻擊者的通訊管道和惡意軟體在執行後立即被清除。

歸因和持續調查工作

Drift Protocol 表示在偵測到攻擊後凍結了所有協議功能。它還從其多重簽名結構中移除了遭入侵的錢包,並在交易所和跨鏈橋上標記了攻擊者的錢包。該公司聘請了 Mandiant 支援調查。同時,SEALs 911 提供了指向已知威脅團體的分析。

這家去中心化交易所以中高度信心將此次攻擊與 2024 年 10 月 Radiant Capital 駭客事件背後的行為者聯繫起來。該行動先前被歸因於 UNC4736,也稱為 AppleJeus 或 Citrine Sleet。

Drift Protocol 澄清,參與面對面會議的個人並非北韓國民。相反,它指出此類行動通常使用第三方中介進行面對面互動。

據 ZachXBT 稱,該活動反映了通常被歸類在 Lazarus 旗下的已知 DPRK 相關網路行動。他解釋說,Lazarus 指的是一群駭客單位,而 DPRK 則表示這些行動背後的國家隸屬關係。他指出,此類團體在執行攻擊前會使用分層身份、中介和長期存取建立。

來源:ZachXBT

ZachXBT 補充說,與此次攻擊相關的鏈上資金流動顯示出與先前 DPRK 相關事件(包括 Radiant Capital)相關錢包的重疊。他還強調了操作上的相似性,包括分階段互動、通過可信管道傳遞惡意軟體,以及執行後的快速清理。

Drift Protocol 強調,在事件期間所有多重簽名簽署者都使用了冷錢包。它持續與執法部門和取證合作夥伴合作以完成調查。