6 Апр 2026

Северокорейская UNC4736 взломала DeFi‑протокол Drift и вывела $270 млн

2 мин

UNC4736 вывела $270 млн из Drift после шестимесячного внедрения. Drift называет это крупнейшим нативным dApp‑эксплойтом в Solana.

Ключевые факты

- UNC4736, связанная с КНДР, выступала под легендой квант‑фонда.
- Внедрение длилось около шести месяцев. Исполнение — 1 апреля 2026 года.
- Ущерб — $270 млн. Drift указывает на крупнейший нативный dApp‑эксплойт в экосистеме Solana.

Хронология

- Первое контакты — осень 2025 на крупной криптоконференции, по обновлению инцидента Drift, на которое ссылаются участники индустрии here и here.
- В декабре 2025 — январе 2026 группа оформила Ecosystem Vault и внесла свыше $1 млн.
- Контрибьюторы встречались с ними лично в нескольких странах в феврале — марте 2026. Посредники использовали полностью проработанные профессиональные легенды.

Векторы вторжения

- Вредоносное приложение «кошелёк» через TestFlight.
- Известная с конца 2025 года уязвимость автозапуска в VSCode и Cursor.

Компрометация и исполнение

- После компрометации устройств атакующие перехватили два одобрения в мультисиге.
- Предподписали транзакции Solana с durable nonce. Они ждали исполнения более недели.
- 1 апреля транзакции исполнены менее чем за 60 секунд.
- $270 млн выведены из хранилищ протокола, включая 41,72 млн JLP. Эти токены обменяли через Jupiter, Raydium, Orca и Meteora, затем вывели мостом в Ethereum.

Атрибуция

- Drift связывает атаку с UNC4736 (aka Citrine Sleet, AppleJeus).
- Ончейн‑транзакции ведут к кошелькам из эксплойта Radiant Capital в октябре 2024.
- Отмечено операционное пересечение по данным Mandiant и SEALS 911, cited in discussion.

Оценка защиты

- Drift называет операцию разведывательно‑ориентированной.
- По их заявлению, стандартные DeFi‑чеклисты и аудиты смарт‑контрактов недостаточны при таких временных горизонтах, per the shared update.