Il 1° aprile 2026 Drift Protocol, il più grande exchange decentralizzato di futures perpetui su Solana, è stato svuotato di circa 285 milioni di dollari in 12 minuti. Il TVL del protocollo è crollato da 550 milioni a meno di 250 milioni in una sola mattina, mentre il token DRIFT ha perso oltre il 40% in poche ore. Non si è trattato di una vulnerabilità nel codice sorgente, ma del risultato di un'operazione di intelligence pianificata per sei mesi, attribuita con "medium confidence" al gruppo nordcoreano UNC4736, noto anche come AppleJeus, Citrine Sleet, Golden Chollima e, più in generale, come Lazarus Group.
🎭 Sei mesi di social engineering alle conferenze crypto
Secondo la ricostruzione pubblicata da The Hacker News, l'operazione è iniziata nell'autunno 2025. Individui con identità professionali costruite ad hoc hanno avvicinato i contributor di Drift a conferenze crypto internazionali, presentandosi come membri di una società di trading quantitativo. Le persone presenti fisicamente non erano nordcoreane: il Lazarus Group utilizza intermediari di terze parti per le interazioni faccia a faccia, con profili professionali verificabili, presenze su LinkedIn e background lavorativi coerenti.
È stato creato un gruppo Telegram nel quale si sono svolte per mesi conversazioni tecniche su strategie di trading e potenziali integrazioni vault. Tra dicembre 2025 e gennaio 2026, il gruppo ha aperto un Ecosystem Vault su Drift, depositando oltre 1 milione di dollari di fondi propri. L'obiettivo era costruire una presenza operativa credibile all'interno dell'ecosistema del protocollo. Le interazioni con i contributor sono proseguite fino a febbraio e marzo 2026, con la condivisione di link a progetti, strumenti e applicazioni che il gruppo affermava di stare sviluppando. Questi materiali si sono rivelati probabili vettori di infezione malware.
🪙 Il token fantasma: CarbonVote Token
L'11 marzo 2026 l'attaccante ha prelevato 10 ETH da Tornado Cash, il mixer su Ethereum. Il timestamp del deployment, corrispondente alle ore 09:00 di Pyongyang, ha immediatamente attirato l'attenzione degli analisti. Con quei fondi è stato creato il CarbonVote Token (CVT), un asset completamente fittizio con 750 milioni di unità. L'attaccante ha inserito una liquidità minima di circa 500 dollari su Raydium e ha utilizzato il wash trading per costruire uno storico di prezzo stabile intorno a 1 dollaro. Gli oracoli di Drift hanno recepito quel segnale artificiale e hanno trattato CVT come un collaterale legittimo.
⚙️ L'exploit: durable nonce e rimozione del timelock
Tra il 23 e il 30 marzo l'attaccante ha creato molteplici "durable nonce accounts", una funzione legittima di Solana che consente di pre-firmare transazioni da eseguire in un secondo momento senza scadenza. Attraverso il rapporto di fiducia costruito nei mesi precedenti, ha indotto i firmatari del multisig del Security Council di Drift a pre-firmare transazioni che apparivano di routine, ma che contenevano autorizzazioni nascoste per azioni amministrative.
Il passaggio determinante è avvenuto il 27 marzo, quando Drift ha migrato il proprio Security Council a una configurazione 2/5 con timelock zero. Un timelock impone normalmente un ritardo di 24-72 ore sulle azioni amministrative, dando alla comunità il tempo di individuare e annullare operazioni sospette. La sua rimozione ha eliminato l'ultima linea di difesa del protocollo.
Il 1° aprile le transazioni pre-firmate sono state attivate. L'attaccante ha inserito CVT come collaterale valido su Drift, innalzato i limiti di prelievo a livelli estremi e depositato centinaia di milioni in CVT contro il prezzo manipolato. In 31 transazioni eseguite in circa 12 minuti sono stati drenati USDC, JLP, SOL, WBTC e altri asset reali.
💸 Il riciclaggio dei fondi rubati
Gli asset sottratti sono stati convertiti in USDC tramite Jupiter, trasferiti su Ethereum via Circle CCTP (Cross-Chain Transfer Protocol) e poi convertiti in decine di migliaia di ETH. Alcuni fondi sono passati da Hyperliquid, altri sono stati trasferiti direttamente su Binance. Secondo l'analisi di TRM Labs, la velocità e l'aggressività del riciclaggio hanno superato persino quelle dell'hack Bybit del febbraio 2025, con singole transazioni di bridging nell'ordine dei milioni di dollari.
L'investigatore on-chain ZachXBT ha criticato Circle per non aver congelato i fondi rubati in USDC durante l'orario lavorativo statunitense, nonostante la possibilità tecnica di farlo, contrapponendo questa inerzia al recente congelamento di 16 wallet aziendali non correlati nell'ambito di un procedimento civile sigillato negli USA.
🌐 Il contagio: oltre 20 protocolli coinvolti
L'impatto dell'hack si è esteso ben oltre Drift. Oltre 20 protocolli con esposizione alla liquidità o alle strategie di Drift hanno subìto conseguenze dirette. Prime Numbers Fi ha riportato perdite milionarie. Carrot Protocol ha sospeso le funzioni di mint e redeem dopo che il 50% del suo TVL è stato colpito. Pyra Protocol ha disattivato interamente i prelievi, bloccando l'accesso ai fondi degli utenti. PiggyBank ha perso 106.000 dollari e ha rimborsato gli utenti con fondi propri del team. Ranger Finance, Reflect Money, TradeNeutral, GetPyra e altri hanno sospeso operazioni in via precauzionale.
🇰🇵 Il quadro generale: la Corea del Nord e i furti crypto
L'attacco a Drift si inserisce in un modello consolidato. Secondo i dati di Chainalysis, la Corea del Nord ha rubato 2,02 miliardi di dollari in criptovalute nel solo 2025, un incremento del 51% rispetto all'anno precedente, portando il totale cumulativo a 6,75 miliardi. Il Lazarus Group ha già utilizzato lo stesso approccio basato sulla pazienza e sul targeting umano nell'hack del Ronin bridge nel 2022, nel compromesso della supply chain X_TRADER/3CX nel 2023 e nell'hack da 53 milioni di Radiant Capital nell'ottobre 2024. I flussi on-chain dell'attacco a Drift sono stati ricondotti proprio agli stessi attaccanti di Radiant.
Il programma nordcoreano non si limita ai furti diretti. Come documentato da Flare e IBM X-Force, migliaia di operativi vengono impiegati come lavoratori IT con identità false in aziende occidentali, generando entrate e ottenendo accesso privilegiato a infrastrutture sensibili. Le criptovalute svolgono un ruolo centrale nel trasferire questi compensi verso Pyongyang aggirando le sanzioni internazionali.
⚖️ Le criticità emerse
L'hack di Drift Protocol evidenzia tre punti su cui l'intero settore DeFi è chiamato a riflettere. La rimozione del timelock il 27 marzo è stata la falla determinante: ha trasformato un attacco complesso e lungo mesi in un cash-out di 12 minuti. Gli audit di sicurezza condotti da Trail of Bits nel 2022 e da ClawSecure nel febbraio 2026 non avevano rilevato il rischio, perché la vulnerabilità non risiedeva nel codice ma nella governance. Il design degli oracoli si è dimostrato insufficiente a filtrare un token con liquidità di poche centinaia di dollari.
Il 3 aprile Drift ha inviato un messaggio on-chain alle quattro wallet dell'attaccante: "We are ready to speak". Alla data odierna non è stato annunciato alcun piano di rimborso per gli utenti colpiti.
#driftprotocol #lazarusgroup #hackcrypto
