لقد قرأت للتو تحليلًا مثيرًا للقلق حول ما حدث مؤخرًا مع بروتوكول دريفت. يتضح أن الاستغلال الذي بلغ 270 مليون دولار لم يكن هجومًا عشوائيًا، بل عملية استخباراتية كورية شمالية مخططة بدقة واستمرت حوالي ستة أشهر.

الأمر الأكثر إثارة للقلق هو كيف قاموا بذلك. مجموعة مرتبطة بالدولة الكورية الشمالية تسللت إلى نظام دريفت متظاهرة بأنها شركة تداول كمي. لفهم ما هو دريفت وكيف يعمل، عليك أن تعرف أنه بروتوكول لتمويل اللامركزية يعتمد على توقيعات متعددة للأمان. حسنًا، كان هؤلاء المهاجمون صبورين للغاية ومتطورين بشكل مذهل. أولاً، تواصلوا حوالي خريف 2025 في مؤتمر مهم للعملات المشفرة، وقدموا أنفسهم كخبراء في التداول. كان لديهم أوراق اعتماد مهنية قابلة للتحقق، وتحدثوا لغة تقنية البروتوكول، وكانوا يعرفون بالضبط ماذا يقولون.

خلال شهور، حافظوا على محادثات جوهرية حول استراتيجيات وخزائن النظام البيئي، وهو أمر طبيعي تمامًا في كيفية اندماج الشركات في بروتوكولات التمويل اللامركزي. بين ديسمبر 2025 ويناير 2026، أضافوا خزينة للنظام البيئي، عقدوا جلسات عمل مع متعاونين من دريفت، وودعوا أكثر من مليون دولار من رأس مالهم الخاص، وأصبحوا جزءًا من النظام البيئي من الناحية التشغيلية. والأكثر جرأة هو أنهم التقوا شخصيًا مع فرق دريفت في عدة مؤتمرات مهمة خلال فبراير ومارس. بحلول أبريل، عندما شنوا الهجوم، كانت العلاقة قد استمرت تقريبًا نصف سنة.

تم التسلل عبر اثنين من الثغرات التقنية. أولاً، قاموا بتنزيل تطبيق من TestFlight، منصة أبل التي توزع التطبيقات في إصدار تجريبي بدون مراجعة أمنية، وقدموا أنفسهم كمنتج محفظة. ثانيًا، استغلوا ثغرة معروفة في VSCode وCursor، وهما من أكثر محرري الشيفرة استخدامًا في التطوير، حيث أن فتح ملف واحد ببساطة كان ينفذ رمزًا عشوائيًا بدون تنبيه. بمجرد اختراق الأجهزة، حصلوا على ما يلزم للحصول على التصديقات متعددة التوقيع التي سمحت بالهجوم في 1 أبريل، وسحبوا 270 مليون دولار في أقل من دقيقة.

نسب الباحثون كل ذلك إلى UNC4736، المعروف أيضًا باسم AppleJeus أو Citrine Sleet، وهو مجموعة مرتبطة بالدولة الكورية الشمالية. والأمر المثير هو أن الأفراد الذين التقوا شخصيًا لم يكونوا مواطنين كوريين شماليين، بل وسطاء بأهوية مُختلقة تمامًا، وسجلات عمل مزيفة، وشبكات مهنية مصممة لاجتياز أي تحقق.

هذا يكشف عن شيء غير مريح لصناعة التمويل اللامركزي بأكملها: إذا كان المهاجمون على استعداد لاستثمار ستة أشهر ومليون دولار لبناء حضور شرعي، واللقاء مع الفرق شخصيًا، والانتظار بصبر، فما هو النموذج الأمني الذي يُصمم فعليًا لاكتشاف ذلك؟ الآن، يحذر دريفت من أن الصناعة يجب أن تقوم بمراجعة عقود الوصول، ومعاملة كل جهاز يتفاعل مع التصديقات المتعددة كهدف محتمل. السؤال الأساسي هو: هل التصديقات المتعددة كنموذج أمني رئيسي في التمويل اللامركزي كافية لمواجهة خصوم من هذا المستوى؟