Как Северная Корея полгода притворялась трейдерами и украла $280M с протокола Drift
Говорят, терпение - добродетель. Северокорейские хакеры явно читали не те книги.
Осень 2025 года. На крупной крипто-конференции к команде протокола Drift подходят ребята из “квантового трейдингового фонда”.
Технически грамотные, с проверяемыми биографиями, нормальная тусовка - таких на каждом мероприятии десятки.
Дальше - классическое выстраивание доверия. Встречи вживую в нескольких странах.
Переписка в Telegram. Рабочие сессии.
В декабре они заходят как реальный участник экосистемы и вносят $1M собственных средств - просто чтобы выглядеть легитимно.
Шесть месяцев совместной работы. Уже не чужие люди.
Потом рутинный обмен репозиториями. Ничего подозрительного.
Вектор атаки - уязвимость в VSCode/Cursor, о которой сообщество предупреждало ещё в конце 2025-го. Открыть файл было достаточно. Никаких запросов, никаких предупреждений.
В момент срабатывания эксплойта вся переписка в Telegram и следы вредоноса были зачищены автоматически. Ноль следов.
Итог - $280M утекло из протокола.
Баг уже запатчен. Но настоящим вектором атаки была не техника - а полгода терпения и выстроенное доверие.
Самый дорогой нетворкинг в истории крипты. С той стороны.
x.com/dbcrypt0/status/2040626989846171747
Говорят, терпение - добродетель. Северокорейские хакеры явно читали не те книги.
Осень 2025 года. На крупной крипто-конференции к команде протокола Drift подходят ребята из “квантового трейдингового фонда”.
Технически грамотные, с проверяемыми биографиями, нормальная тусовка - таких на каждом мероприятии десятки.
Дальше - классическое выстраивание доверия. Встречи вживую в нескольких странах.
Переписка в Telegram. Рабочие сессии.
В декабре они заходят как реальный участник экосистемы и вносят $1M собственных средств - просто чтобы выглядеть легитимно.
Шесть месяцев совместной работы. Уже не чужие люди.
Потом рутинный обмен репозиториями. Ничего подозрительного.
Вектор атаки - уязвимость в VSCode/Cursor, о которой сообщество предупреждало ещё в конце 2025-го. Открыть файл было достаточно. Никаких запросов, никаких предупреждений.
В момент срабатывания эксплойта вся переписка в Telegram и следы вредоноса были зачищены автоматически. Ноль следов.
Итог - $280M утекло из протокола.
Баг уже запатчен. Но настоящим вектором атаки была не техника - а полгода терпения и выстроенное доверие.
Самый дорогой нетворкинг в истории крипты. С той стороны.
x.com/dbcrypt0/status/2040626989846171747