1. 범인은 매우 높은 확률로 북한 해킹 그룹 UNC4736으로 추정
2. 2025년 가을부터 퀀트트레이딩 회사로 위장, 드리프트에 볼트를 연동하고 싶다며 주요 컨퍼런스에 참여하며 오프라인으로 접근.
3. 텔레그램으로 전략/볼트운용 등 진짜 비즈니스를 6개월간 진행, 1월에는 1M 예치
4. 이 과정에서 볼트 프론트엔드를 배포하겠다며 깃허브 레포 공유. 해당 레포는 IDE로 열기만 해도 악성코드 실행
5. 자기들이 만든 지갑 앱이라며 앱스토어 테스트앱 링크 전송 (또한 악성파일)
그동안에는 코드 취약점을 공격하거나 개발자로 취업해 인프라 탈취 / 백도어 설치 등의 방식을 선택했다면, 이제는 진짜 비즈니스를 하면서 공격하는 방식을 선택한 것으로 보입니다.
이번 공격은 물론 드리프트 내부 보안 설계가 헐렁하게 되어 즉시 탈취가 가능했었던 탓도 분명히 있지만, 누구든 이미 공격 타겟이 되어있고 시기만 미결정된 상태라는 것을 의미하는 것이기도 합니다. 디파이 생태계는 당분간 학습비용이라기에는 너무나 많은 돈을 지불하게 될 것 같네요..
https://x.com/DriftProtocol/status/2040611161121370409?s=20