Крупный взлом криптовалютного протокола Drift на колоссальную сумму в 280 миллионов долларов был осуществлен посредством фишинговой атаки. Эта атака, получившая широкое освещение в крипто-сообществе, была совершена известной северокорейской хакерской группировкой Lazarus, также идентифицируемой как TraderTraitor. Такой вывод подтверждается аналитическими данными сразу от нескольких авторитетных платформ, включая Diverg, TRM Labs и Elliptic.
Особое внимание блокчейн-специалистов привлек тот факт, что операции, проведенные злоумышленниками, совершались исключительно по будням. Такое совпадение с типичными рабочими часами в Пхеньяне стало одним из ключевых указаний на причастность Lazarus. Кроме того, были отмечены характерные для этой группировки методы, такие как использование миксера Tornado Cash для прикрытия следов, применение социальной инженерии и стремительный перевод средств через различные блокчейны, с первоочередным фокусом на сеть Ethereum.
По данным Elliptic, инцидент с Drift является уже 18-й по счету атакой, организованной группой Lazarus с начала текущего года. Это подчеркивает неустанную активность и изощренность данной хакерской организации. Анализ показал, что никаких уязвимостей в коде протокола, компрометации приватных ключей или манипуляций с оракулами обнаружено не было, что еще больше склонило исследователей к версии о фишинговой атаке.
Эксперты по безопасности, включая председателя фонда поддержки сети Solana Лили Лю и основателя платформы DRiP Вибху Норби, выдвинули предположение о компрометации ключа администратора через фишинговую атаку. В ходе взлома злоумышленники задействовали функцию durable nonces в сети Solana. Эта функция, позволяющая транзакциям оставаться действительными неограниченное время после подписания, была использована для создания механизма отложенных транзакций, что позволило хакерам осуществить мошеннический перевод средств.
В конечном итоге, неизвестные создали цепочку событий, где под видом обычных технических операций и тестов на безопасность были получены подписи от пользователей, позволяющие одобрять транзакции. Затем, воспользовавшись этой возможностью, хакеры запустили вывод средств из страхового фонда Drift, успешно похитив активы, что стало очередным напоминанием о постоянных угрозах в крипто-пространстве.
