朝鲜关联黑客团伙窃取2.7亿美元加密资产

核心提要：Drift协议遭遇重大网络安全事件，损失高达2.7亿美元。调查揭示一个代号UNC4736的朝鲜关联组织历时六个月策划攻击，通过伪装身份渗透系统并利用开发工具漏洞获取权限，最终在4月1日完成资金转移。

代号UNC4736的黑客组织被锁定为盗币主谋

针对Drift协议的重大网络安全事件持续发酵，最新披露显示此次攻击造成的经济损失预估达2.7亿美元。该协议开发团队指出，一个与朝鲜存在关联的恶意组织已确认为幕后黑手，其行动周期长达六个月，采用高度隐蔽的技术手段突破了核心防护体系。

伪装成专业机构成员实现深度渗透

攻击者于2025年末在一场国际知名加密货币峰会上悄然进入系统环境，以量化交易公司代表身份出现，展现出精准的技术理解力与符合行业语境的行为模式。这种高度拟真的表现逐步赢得内部成员信任，为其后续操作铺平道路。

借社区互动建立信任链并植入恶意组件

自2025年10月起，该组织通过Telegram平台主动参与Drift社区讨论，发布具有说服力的DeFi策略建议，成功吸引关键决策者的关注。为进一步巩固关系，他们在2025年12月至2026年1月间向协议注入超百万美元资金，以此证明自身利益一致性，从而获得核心贡献者认可。

随后数月内，借助全球范围内的线下行业活动，攻击者与项目成员建立起实质性的社交纽带。这种基于人际信任的关系网络最终成为攻破安全防线的核心突破口。

技术分析表明，攻击主要依赖两类技术路径：一是通过苹果TestFlight渠道分发伪装成合规工具的钱包应用，规避常规审查；二是利用VSCode与Cursor等主流代码编辑器的已知漏洞，在用户打开特定文件时实现设备远程控制。

上述手段使攻击者得以绕过多重验证机制，并获取执行关键操作所需的多重签名权限。提前部署的恶意指令在系统中潜伏超过一周，直至4月1日被统一触发，导致协议资金被迅速清空。

大量证据指向名为UNC4736的组织，该团体此前曾以“AppleJeus”和“Citrine Sleet”为代号活跃于暗网，已被多个国际安全机构认定为朝鲜支持的网络攻击实体。其近期行为与多起加密资产被盗案件存在明确关联。

值得注意的是，出现在公开场合的嫌疑人可能并非真实朝鲜籍人员，而是依托高度伪造的身份信息与精心构建的职业履历进行渗透，极大增加了溯源难度。

事件发生后，Drift团队呼吁全行业加强多重签名权限管理规范，并对终端设备安全展开全面审计。面对日益复杂的威胁态势，他们强调必须重新审视去中心化金融生态中多重签名机制作为核心安全模型的可靠性。

“本次事件再次敲响警钟，整个生态系统亟需提升整体防御层级。”Drift协议官方代表表示。