Arturo TrenardAtaque de $280M a Drift Protocol Fue una “Operación de Inteligencia” de 6 Meses, Vinculada a Corea del Norte
El exchange descentralizado (DEX) Drift Protocol ha revelado que la explotación que le costó $280 millones la semana pasada fue el resultado de una campaña de infiltración de seis meses, altamente coordinada y con posible respaldo estatal. Los atacantes, haciéndose pasar por una firma de trading, establecieron contacto presencial con desarrolladores en conferencias de la industria antes de ejecutar el ataque. Drift afirma con “confianza medio-alta” que los responsables están vinculados al hackeo de Radiant Capital de 2024, atribuido a Corea del Norte.
El Mecanismo del Ataque: Infiltración Presencial y Paciencia
La investigación preliminar del equipo de Drift Protocol, detallada en comunicados oficiales, describe una operación de inteligencia estructurada que requirió respaldo organizacional, recursos significativos y meses de preparación deliberada. Lejos de ser un asalto técnico puro, la estrategia se basó en una meticulosa ingeniería social.
El Punto de Partida en una Conferencia
El primer contacto ocurrió alrededor de octubre de 2025 en un importante congreso del sector cripto. En ese escenario, los atacantes se presentaron ante contribuidores de Drift como representantes de una firma de trading cuantitativo legítima, expresando un genuino interés en integrarse con el protocolo.
Seis Meses de Construcción de Relación
A partir de ese momento, el grupo interactuó repetida y presencialmente con miembros específicos de la comunidad de Drift en múltiples eventos a lo largo de aproximadamente medio año. Su perfil fue clave para ganar confianza: se mostraron técnicamente competentes, con antecedentes profesionales verificables y un conocimiento detallado del funcionamiento interno del protocolo.
“Eran técnicamente fluidos, tenían antecedentes profesionales verificables y estaban familiarizados con cómo operaba Drift”, señaló Drift Protocol en su comunicado.
La Ejecución y la Huida
Una vez establecida una relación de confianza y obtenido el acceso necesario, los atacantes pusieron en marcha la fase final. Utilizaron enlaces y herramientas compartidos en el contexto de esas relaciones para comprometer los dispositivos de sus objetivos. Tras ejecutar el exploit que drenó fondos por un valor de $280 millones, borraron meticulosamente su rastro digital para dificultar la investigación.
La Posible Conexión con Corea del Norte y Radiant Capital
El análisis post-mortem llevó a los investigadores de Drift a establecer un vínculo con un incidente anterior de gran magnitud en el ecosistema DeFi.
Un Vínculo con “Confianza Medio-Alta”
Drift Protocol afirmó tener una “confianza medio-alta” en que los atacantes detrás de su exploit son los mismos actores responsables del hackeo a Radiant Capital en octubre de 2024. En diciembre de ese año, Radiant Capital atribuyó directamente ese ataque a un hacker alineado con Corea del Norte, quien utilizó un archivo malicioso distribuido a través de Telegram.
“Este archivo ZIP, cuando se compartió para recibir comentarios entre otros desarrolladores, finalmente entregó malware que facilitó la intrusión posterior”, explicó Radiant en su momento.
El Uso de Intermediarios
Drift aclaró un punto crucial: las personas que interactuaron físicamente con sus contribuidores en las conferencias “no eran ciudadanos norcoreanos”. Esta distinción se alinea con el modus operandi conocido de grupos patrocinados por el estado.
“Los actores de amenazas de la RPDC [República Popular Democrática de Corea] que operan a este nivel son conocidos por desplegar intermediarios de terceros para realizar la construcción de relaciones cara a cara”, explicó el protocolo.
Esto sugiere una operación donde los mandos finales podrían estar en Corea del Norte, utilizando intermediarios para la fase de infiltración presencial.
Impacto, Investigación y Lecciones para la Industria
El ataque, ejecutado el 1 de abril de 2026, deja una de las mayores pérdidas en el historial reciente de DeFi y expone vulnerabilidades más allá del código.
La Magnitud y la Respuesta
Con una pérdida estimada en $280 millones, el exploit representa un golpe significativo. Drift Protocol informó que está colaborando estrechamente con las fuerzas del orden y otros actores relevantes de la industria para investigar todos los aspectos del ataque y perseguir a los responsables.
Una Advertencia para los Espacios Presenciales
El incidente subraya una evolución alarmante en las tácticas de los atacantes sofisticados, transformando las conferencias y encuentros de la industria en terrenos de alto riesgo para la seguridad. La combinación de ingeniería social presencial, paciencia operativa y alto nivel técnico representa una amenaza compleja. El caso sirve como una advertencia crítica para todos los participantes del ecosistema cripto sobre la necesidad de mantener un escepticismo operativo incluso en interacciones cara a cara que parecen legítimas, especialmente cuando involucran el intercambio de información o herramientas.
