Хакери з Північної Кореї, ймовірно, стоять за експлойтом Drift Protocol на $286 млн: Elliptic

Аналітична компанія Elliptic у четвер заявила, що експлойт Drift Protocol на 285 мільйонів доларів США, найбільший цього року, має «кілька індикаторів» причетності державної хакерської групи Північної Кореї — угруповання DPRK.

Дослідницька фірма зокрема вказала на ончейн-поведінку, методології відмивання коштів і сигнали на мережевому рівні — усе це узгоджується з попередніми атаками, які пов’язували з державою.

Drift Protocol, чий токен впав більш ніж на 40% до приблизно $0.06 з моменту злому, є найбільшою децентралізованою біржею безстрокових ф’ючерсів на блокчейні Solana.

«Якщо це підтвердиться, цей інцидент означатиме 18-й акт DPRK, який Elliptic відстежувала цього року, при цьому вже викрадено понад $300 мільйонів», — йдеться у звіті.

«Це продовження тривалої кампанії DPRK зі злочинного викрадення криптоактивів у масштабах. Як пов’язало з цим уряд США, фінансування її програм озброєнь здійснюється за рахунок коштів, здобутих через такі крадіжки. Вважається, що пов’язані з DPRK актори відповідальні за викрадення криптоактивів на мільярди доларів упродовж останніх років», — додала Elliptic.

За кілька годин до того дані Arkham показали, що понад $250 мільйонів було переведено з Drift на тимчасовий гаманець, а потім — на різні інші адреси.

У грудні звіт Chainalysis розкрив, що хакери DPRK викрали рекордні $2 мільярди криптовалюти у 2025 році, зокрема злом на $1.4 мільярда на Bybit, що становить 51% зростання порівняно з попереднім роком. У минулому місяці Міністерство фінансів США заявило, що Північна Корея використовує викрадені активи для фінансування програми зброї масового знищення країни.

Замість того, щоб зосереджуватися саме на експлойті, аналітика Elliptic підкреслює знайомий операційний патерн. Дія виглядає «спланованою наперед і ретельно підготовленою»: спостерігаються ранні тестові транзакції та завчасно розміщені гаманці перед основною подією.

У звіті пояснюється, що після виконання кошти швидко консолідували та обмінювали, перекидали через мости між ланцюгами і конвертували в більш ліквідні активи, що відображає структурований, повторюваний сценарій відмивання коштів — щоб приховати походження, зберігаючи контроль.

Одне з ключових викликів, зауважує Elliptic, — модель облікових записів у Solana. Оскільки кожен актив зберігається в окремому токен-акаунті, активність, пов’язана з одним актором, може виглядати фрагментованою між кількома адресами. Без прив’язки цих елементів розслідувачі ризикують бачити «фрагменти діяльності атакувальника, а не повну картину».

Саме тут у звіті Elliptic висвітлюється підхід до кластеризації: він пов’язує токен-акаунти назад в єдину сутність, дозволяючи ідентифікувати експозицію незалежно від того, яку адресу перевіряють. У інциденті, що стосувався понад десятка типів активів, такий погляд на рівень сутності стає критично важливим.

Кейс також підкреслює, додає Elliptic у своєму звіті, що відмивання коштів стало за своєю суттю міжланцюговим. Кошти, переведені з Solana на Ethereum і далі, демонструють потребу в тому, що Elliptic описала як «цілісні можливості трасування між ланцюгами».