漂移协议因朝鲜背景黑客攻击暂停运营

核心提要：基于Solana的去中心化衍生品交易所漂移协议因发现长期渗透而宣布暂停运营。调查揭示其与朝鲜关联黑客组织存在关联，攻击者通过高度伪装的社会工程手段逐步获取信任并植入恶意代码。

漂移协议曝出深度渗透事件后全面停摆

运行于Solana生态的去中心化衍生品平台漂移协议于2026年4月1日宣布中止全部服务，起因为一项持续数月、技术隐蔽性极强的外部入侵。经数字取证机构确认，此次攻击由具备国家支持背景的黑客团体实施，被认定为当前去中心化金融领域最系统化的网络渗透案例之一。该协议自2021年上线以来，以提供高杠杆交易工具和创新流动性机制著称，是Solana链上重要基础设施。

多阶段伪装渗透构建信任闭环

攻击行动可追溯至2025年秋季，攻击者在一次国际加密行业峰会上首次接触协议核心开发成员，假扮为专业量化交易机构代表，提出将机构资金管理系统对接漂移协议的整合方案。

此后六个月内，对方频繁参与全球多地技术会议，以稳定且专业的形象与开发者建立线下互动关系。初期沟通通过专属电报群展开，聚焦产品功能设计与接口规范；随后进入定期视频会议模式，深入讨论底层架构优化与风控模型细节。

2025年12月，攻击者成功在协议生态金库中注入超过百万美元资产，并获得关键权限访问资格。2026年初持续输出“技术支持”与“开发建议”，逐步深化团队信任关系，为其后续操控埋下伏笔。

内部审计显示，攻击者伪造了完整的职业履历、社交媒体活动记录及工作经历证明材料，所有信息均具备可验证性，极大增强了其可信度。相关对话持续至2026年3月，形成常态化协作假象，最终实现对核心系统的深度控制。

多重隐蔽攻击路径暴露系统脆弱性

4月1日异常信号触发后，协议团队联合第三方安全公司启动溯源分析，从设备操作日志中识别出三类典型攻击载体。其一是伪装成金库前端代码仓库的恶意脚本，可在开发者使用VSCode等工具打开文件时自动执行任意指令；其二是诱导安装的所谓“定制钱包插件”测试程序，具备远程命令执行能力。

上述恶意组件未触发任何系统级警告或权限弹窗，运行后完全隐藏于正常进程之中。攻击完成后，所有通信记录及软件痕迹被迅速清除，不留技术足迹。

安全专家确认，本次攻击与编号为UNC4736的黑客组织存在高度重合性，该组织亦被标记为AppleJeus或Citrine Sleet，长期活跃于针对DeFi基础设施的定向攻击。此次事件与2024年10月发生的同类安全漏洞存在战术延续性，攻击者刻意通过第三方中介进行实体接触，以规避追踪。

漂移协议已向整个去中心化金融生态发出预警，呼吁各项目立即审查权限分配机制，强化第三方依赖组件的安全审计流程，并提高对复杂社会工程攻击的防范意识。