Drift 해킹 사건 초기 조사: 북한과 연관된 조직이 6개월 동안 침투 작전을 계획했다고 의심됨

BlockBeats 뉴스, 4월 5일, 공식 발표에 따르면 Drift는 법 집행 기관, 포렌식 협력 파트너 및 생태 시스템 팀과 협력하여 2026년 4월 1일 발생한 해킹 사건을 철저히 조사 중이라고 밝혔습니다. 현재 모든 프로토콜 기능이 일시 중지되었고, 영향을 받는 지갑은 다중 서명에서 제거되었으며, 공격자의 주소는 거래소 및 크로스 체인 브릿지에서 마킹되었습니다. 보안 회사 Mandiant가 수사에 참여하였습니다. 초기 결과에 따르면, 이번 공격은 단기 행위가 아닌 약 6개월에 걸친, 조직화된 배경과 충분한 자원 지원을 갖춘 정보 침투 작전임이 밝혀졌습니다. 2025년 가을에는 양측이 양자 거래 회사라고 자칭한 인원들이 다수의 국제 암호화폐 컨퍼런스에서 Drift 팀 구성원과 소통을 시작하였으며, 이후 수개월 동안 계속적인 관계를 구축하고 협력을 확대하였으며, 심지어 플랫폼에 100만 달러 이상을 투자하여 신뢰도를 확립하였습니다.

조사 결과에 따르면, 이러한 인원들은 전문적인 배경과 기술 능력을 보유하고 있으며, Telegram 그룹을 통해 팀과 장기간 거래 전략 및 제품 통합에 대한 대화를 하였으며, 여러 차례 오프라인 회의에서 주요 기여자와 인터뷰를 진행하였습니다. 2026년 4월 공격 직후, 관련 대화 기록 및 악성 소프트웨어가 신속히 삭제되었습니다. Drift는 이번 침입은 팀 구성원을 유혹하여 악성 코드가 포함된 리포지토리를 복제하도록 하거나, 지갑 제품으로 위장한 테스트 앱을 다운로드하도록 유도하는 등 여러 경로를 통해 실행된 것으로 판단하고 있습니다. 또한, 공격은 당시 보안 커뮤니티에서 경고된 VSCode 및 커서 취약점을 활용하여 사용자가 악의적인 코드를 인지하지 못한 채 실행되었을 수도 있습니다.

체인 상 자금 흐름 및 행위 패턴 분석을 바탕으로, 보안 팀은 이 작전이 2024년 Radiant Capital 공격 사건의 배후에 있는 위협 조직과 관련이 있을 것으로 예상하며, 이 조직은 북한 배경 해커 그룹 (UNC4736 / AppleJeus와 같은)으로 귀속되었습니다. 주목할 점은 오프라인 접촉자가 북한 국적자가 아니라 제삼자 중개인임을 밝혔습니다. Drift는 공격자가 장기간 접촉을 통해 신뢰를 얻기 위해 직업과 공개적 배경을 갖춘 완전하고 신뢰할 수 있는 정체성 구축하였다고 밝혔습니다. 현재 조사는 계속되고 있으며, 팀은 업계가 장비 보안 검토 및 권한 관리를 강화하기를 촉구하고 있습니다.