Investigação preliminar do incidente de hacking da Drift: organização suspeita de ligação à Coreia do Norte planeou uma operação de infiltração de seis meses

Mensagens da BlockBeats, 5 de abril: De acordo com informações oficiais, a Drift afirma que está a colaborar com as autoridades de aplicação da lei, parceiros de recolha de evidências e a equipa do ecossistema para investigar de forma abrangente o ataque informático que ocorreu a 1 de abril de 2026. Neste momento, todas as funcionalidades dos protocolos foram suspensas, as carteiras afetadas foram removidas do multisig e os endereços do(s) atacante(s) também já foram assinalados nas plataformas de trading e em pontes cross-chain. A empresa de segurança Mandiant já interveio na investigação. Os resultados preliminares indicam que este ataque não foi um ato de curto prazo, mas sim uma operação de recolha de informação com duração aproximada de 6 meses, com um background organizado e recursos suficientes para a sua sustentação. Já no outono de 2025, um grupo de indivíduos que se fazia passar por empresas de trading quantitativo contactou membros da equipa da Drift em várias conferências internacionais de cripto e, nos meses seguintes, continuou a estabelecer relações, a desenvolver a colaboração e até a investir mais de 1 milhão de dólares na plataforma para criar credibilidade.

A investigação descobriu que estes indivíduos tinham formação profissional e capacidades técnicas, mantendo uma comunicação prolongada com a equipa por meio de grupos do Telegram para discutir estratégias de trading e a integração de produtos, e tendo-se reunido diversas vezes presencialmente com os principais contribuidores. Após a ocorrência do ataque de abril de 2026, os registos de conversas relevantes e o malware foram rapidamente apagados. A Drift acredita que esta intrusão poderá ter sido levada a cabo por múltiplos caminhos, incluindo induzir membros da equipa a clonarem um repositório com código malicioso, ou a descarregarem uma aplicação de testes disfarçada de produto de carteira. Além disso, o ataque poderá ter explorado vulnerabilidades do VSCode e do Cursor que, na altura, já tinham sido alertadas pela comunidade de segurança, executando código malicioso sem que os utilizadores se apercebessem.

Com base na análise dos fluxos de fundos on-chain e dos padrões de comportamento, a equipa de segurança concluiu preliminarmente que esta ação estará relacionada com a organização de ameaças por detrás do ataque à 2024 Radiant Capital, organização essa atribuída a um grupo de hackers com ligação à Coreia do Norte (como UNC4736 / AppleJeus). Importa notar que as pessoas contactadas presencialmente não são de nacionalidade norte-coreana, mas sim intermediários terceirizados. A Drift afirma que os atacantes construíram um sistema de identidade completo e credível, incluindo currículos profissionais e antecedentes públicos, para obter confiança através do contacto prolongado. Neste momento, a investigação continua em curso, e a equipa apela a que a indústria reforce a auditoria de segurança dos equipamentos e a gestão de permissões.