Los piratas informáticos norcoreanos probablemente estén detrás del exploit Drift Protocol de 286 millones de dólares: Elliptic
Elliptic dijo el jueves que el exploit Drift Protocol, valorado en 285 millones de dólares y el mayor de este año, conlleva “múltiples indicadores” de la participación de un grupo de hackers de la RPDC patrocinado por el Estado de Corea del Norte.
La firma de investigación señaló específicamente el comportamiento en cadena, las metodologías de lavado y las señales a nivel de red, todo lo cual se alinea con ataques anteriores vinculados al estado.
Drift Protocol, cuyo token ha caído más del 40% a aproximadamente 0,06 dólares desde el hackeo, es el mayor intercambio de futuros perpetuo descentralizado en la cadena de bloques de Solana.
"Si se confirma, este incidente representaría el decimoctavo acto de la RPDC que Elliptic ha seguido este año, con más de 300 millones de dólares robados hasta el momento", dice el informe.
"Es una continuación de la campaña sostenida de la RPDC de robo de criptoactivos a gran escala, que el gobierno de Estados Unidos ha vinculado con la financiación de sus programas de armas. Se cree que los actores vinculados a la RPDC son responsables de miles de millones de dólares en robo de criptoactivos en los últimos años", añadió Elliptic.
Horas antes, los datos de Arkham mostraban que más de 250 millones de dólares se habían movido de Drift a una billetera provisional y luego a varias otras direcciones.
En diciembre, un informe de Chainalysis reveló que los piratas informáticos de la RPDC robaron un récord de 2.000 millones de dólares en criptomonedas en 2025, incluida la filtración de Bybit de 1.400 millones de dólares, lo que representa un aumento del 51% con respecto al año anterior. El Departamento del Tesoro de Estados Unidos dijo el mes pasado que Corea del Norte utiliza los activos robados para financiar el programa de armas de destrucción masiva del país.
En lugar de centrarse en el exploit en sí, el análisis de Elliptic destaca un patrón operativo familiar. La actividad parece “premeditada y cuidadosamente organizada”, con transacciones de prueba tempranas y billeteras preposicionadas antes del evento principal.
El informe explica que una vez ejecutados, los fondos se consolidaron e intercambiaron rápidamente, se conectaron entre cadenas y se convirtieron en activos más líquidos, lo que refleja un flujo de lavado estructurado y repetible diseñado para ocultar el origen y al mismo tiempo mantener el control.
Un desafío central, señala Elliptic, es el modelo de cuenta de Solana. Debido a que cada activo se mantiene en una cuenta simbólica separada, la actividad vinculada a un solo actor puede aparecer fragmentada en múltiples direcciones. Sin vincularlos, los investigadores corren el riesgo de ver "fragmentos de la actividad del atacante, no el panorama completo".
Aquí es donde el informe de Elliptic destaca el enfoque de agrupación, que conecta cuentas simbólicas con una sola entidad, lo que permite identificar la exposición independientemente de qué dirección se analice. En un incidente que involucra más de una docena de tipos de activos, esa vista a nivel de entidad se vuelve crítica.
El caso también enfatiza, añade Elliptic en su informe, cómo el blanqueo se ha vuelto inherentemente entre cadenas. Los fondos se trasladaron de Solana a Ethereum y más allá, lo que demuestra la necesidad de lo que Elliptic describió como "capacidades holísticas de seguimiento entre cadenas".