Пару дней назад робот Ларион принес новость о взломе децентрализованной биржи Drift, работающей в сети Solana: оттуда вывели активы на $285 млн.

Вчера пострадавшие рассказали, как именно их обманули.

По версии самой Drift, атака была не просто взломом, а результатом заранее спланированной шестимесячной операции по внедрению в экосистему через доверие, личные контакты и рабочие отношения.

Осенью 2025 года злоумышленники познакомились с участниками Drift на крупных криптоконференциях, представились легитимной фирмой, занимающейся алгоритмической торговлей. Реально существующей фирмой, созданной специально ради атаки. Затем продолжили общение в Telegram, проводили рабочие сессии, обсуждали стратегии и интеграции и даже внесли более 1 млн долларов собственного капитала, чтобы выглядеть убедительно. К началу 2026 года их уже воспринимали как реальных партнеров.

На всём протяжении этого периода они делились ссылками на проекты, инструменты и приложения, которые якобы разрабатывали, и для трейдинговых фирм это считалось обычной практикой.
Вектор атаки: уязвимость в VSCode/Cursor, о которой эксперты предупреждали в течение второй половины 2025 года. Как только эксплойт сработал, все сообщения в Telegram и следы вредоносного ПО были полностью зачищены.

За этой операцией, вероятно, стоят те же злоумышленники, что и за взломом Radiant Capital в октябре 2024 года, который Mandiant связывала с UNC4736, северокорейской государственной группой, также известной как AppleJeus или Citrine Sleet. При этом люди, лично встречавшиеся с командой Drift, не были корейцами: такие группы давно используют посредников для очного выстраивания доверия.

P.S. На картинке сверху - доход группы Lazarus за год. Атака на Drift не включена.

@gostev_future