Хакеры из Северной Кореи, вероятно, стоят за взломом протокола Drift Protocol на сумму 286 миллионов долларов: Elliptic

Компания Elliptic заявила в четверг, что взлом протокола Drift Protocol, крупнейший за этот год, имеет "несколько признаков", указывающих на причастность северокорейской государственной хакерской группы DPRK.

Исследовательская компания указала конкретно на поведение в блокчейне, методы отмывания и сетевые сигналы, которые соответствуют предыдущим атакам, связанным с государством.

Drift Protocol, токен которого упал более чем на 40% до примерно 0,06 доллара США после взлома, является крупнейшей децентрализованной биржей фьючерсов на бессрочной основе на блокчейне Solana.

"Если это будет подтверждено, этот инцидент станет восемнадцатым случаем деятельности DPRK, отслеживаемым компанией Elliptic в этом году, при этом украдено более 300 миллионов долларов США", - говорится в отчете.

"Это продолжение устойчивой кампании DPRK по краже криптовалютных активов, которую правительство США связывает с финансированием его программ вооружений. Считается, что субъекты, связанные с DPRK, несут ответственность за кражу криптовалютных активов на миллиарды долларов за последние годы", - добавила компания Elliptic.

За несколько часов до этого данные Arkham показали, что более 250 миллионов долларов США были переведены с Drift на промежуточный кошелек, а затем на различные другие адреса.

В декабре отчет Chainalysis показал, что северокорейские хакеры украли рекордные 2 миллиарда долларов США в криптовалюте в 2025 году, включая взлом Bybit на сумму 1,4 миллиарда долларов США, что на 51% больше, чем в предыдущем году. Министерство финансов США в прошлом месяце заявило, что Северная Корея использует украденные активы для финансирования своей программы создания оружия массового уничтожения.

Вместо того, чтобы сосредотачиваться на самом взломе, анализ Elliptic подчеркивает знакомый операционный шаблон. Эта деятельность, по-видимому, "была тщательно спланирована и подготовлена", с предварительными тестовыми транзакциями и заранее подготовленными кошельками, предшествующими основному событию.

В отчете объясняется, что после выполнения средства были быстро консолидированы и обменены, переведены между различными блокчейнами и преобразованы в более ликвидные активы, что отражает структурированный, повторяемый процесс отмывания, предназначенный для сокрытия происхождения при сохранении контроля.

Центральной проблемой, как отмечает Elliptic, является модель аккаунтов Solana. Поскольку каждый актив хранится в отдельном токеновом аккаунте, активность, связанная с одним субъектом, может казаться фрагментированной на нескольких адресах. Без связывания этих аккаунтов следователи рискуют видеть "фрагменты активности злоумышленника, а не полную картину".

Именно здесь отчет Elliptic подчеркивает подход кластеризации, который связывает токеновые аккаунты с одним субъектом, что позволяет выявлять связи независимо от того, какой адрес проверяется. В случае, когда задействовано более дюжины типов активов, такой взгляд на уровне субъекта становится критически важным.

Этот случай также подчеркивает, как отмывание стало по своей сути межсетевым, - добавляет компания Elliptic в своем отчете. Средства были переведены с Solana на Ethereum и другие сети, что демонстрирует необходимость того, что Elliptic называет "комплексными возможностями отслеживания между сетями".