# Drift Protocol perde cerca de US$ 285 milhões após infiltração de seis meses atribuída a grupo ligado à Coreia do Norte

- Publicado: 07.Nov.2026
- Assunto: Perícia digital
- Endereço: https://nexocausal.eng.br/artigos/drift-protocol-285-milhoes-infiltracao-de-seis-meses-solana/
- Fonte original: Cointurk News, https://en.coin-turk.com/drift-protocol-blames-state-linked-actors-after-285m-hack-follows-six-month-infiltration/, 05.Abr.2026 (inglês)
- Marcadores: Drift Protocol, Solana, ataque hacker, engenharia social, Coreia do Norte, criptomoedas
- Como citar: NEXO CAUSAL, "Drift Protocol perde cerca de US$ 285 milhões após infiltração de seis meses atribuída a grupo ligado à Coreia do Norte", 07.Nov.2026, https://nexocausal.eng.br/artigos/drift-protocol-285-milhoes-infiltracao-de-seis-meses-solana/

## O que importa

- A plataforma descentralizada de derivativos Drift, da rede Solana, perdeu cerca de US$ 285 milhões em 1 de abril de 2026, depois de meses de contato com pessoas que se apresentaram como traders profissionais.
- A equipe publicou um relato técnico do caso, com investigação da Mandiant e atribuição ainda sem confirmação pública formal.

A Drift Protocol, plataforma descentralizada de derivativos construída sobre a blockchain Solana, sofreu em 1 de abril de 2026 um roubo de cerca de US$ 285 milhões, e o relato técnico publicado pela própria equipe descreve uma operação que começou meses antes do ataque.

## Como a infiltração começou

A operação começou em 2025, em uma grande conferência do setor de criptomoedas, quando integrantes da Drift conheceram um grupo que se apresentou como uma empresa de negociação quantitativa.

Ao longo de cerca de seis meses, essas pessoas ganharam a confiança da equipe em conversas sobre estratégias de negociação e sobre o desenvolvimento de cofres de fundos, por mensagens no Telegram e em encontros presenciais em vários países.

Em dezembro de 2025, o grupo incorporou um cofre do ecossistema à plataforma e depositou mais de US$ 1 milhão, o que aprofundou a integração e multiplicou as sessões de trabalho com a equipe.

Em 1 de abril de 2026, as conversas pararam de repente, as contas no Telegram foram apagadas e o ataque foi lançado, drenando os fundos do protocolo.

## Os pontos de comprometimento

Segundo a análise publicada pela equipe, um dos caminhos passou por um repositório de código compartilhado para a publicação da interface do cofre, e o clone desse código pode ter explorado uma vulnerabilidade já conhecida dos editores VSCode e Cursor, que permitia executar código sem aviso ao usuário.

Um segundo ponto de entrada envolveu um integrante da equipe convencido a instalar um aplicativo do TestFlight apresentado como carteira de criptomoedas, o que podia abrir mais acesso aos invasores.

Na época da divulgação, a análise dos equipamentos comprometidos ainda estava em andamento.

## Quem o relato aponta como responsável

A Mandiant e a equipe SEAL 911 associaram o ataque, com confiança média a alta, ao grupo UNC4736, ligado à Coreia do Norte e conhecido pelo roubo da Radiant Capital, ocorrido em outubro de 2024.

A própria Mandiant não emitiu atribuição pública formal sobre o caso, e a investigação continua em andamento.

Segundo o relato, as pessoas que estiveram presencialmente com a equipe provavelmente não eram norte-coreanas, mas intermediários contratados pelo grupo.

## Congelamento e rastro do dinheiro

Depois do ataque, a Drift congelou todas as funções restantes da plataforma, retirou as carteiras comprometidas da estrutura de multiassinatura e sinalizou as contas dos atacantes a corretoras e operadores de pontes entre blockchains.

Um levantamento da Blockaid, publicado em outubro de 2026, aponta que cerca de US$ 229 milhões do roubo ainda estavam, em 2 de setembro de 2026, em cerca de 107.165 ETH guardados em três endereços dos atacantes.

Esses endereços podem ser acompanhados por rastreamento, mas o bloqueio depende de o dinheiro ir para uma corretora ou para um ativo que alguém consiga congelar.

Se os fundos passarem por um misturador de criptomoedas, a recuperação fica bem mais difícil, segundo a mesma análise.

## O que o caso mostra para a perícia

O caso reúne três frentes que a perícia digital costuma separar: a relação que abriu o acesso, o código e os equipamentos de quem recebeu o acesso e o caminho do dinheiro na blockchain.

A intrusão começou fora do sistema técnico, com uma conversa, um repositório compartilhado e um aplicativo instalado por confiança, e isso muda o que deve ser preservado e analisado logo no início.

Como o relato da equipe ainda não foi acompanhado de uma análise independente completa, as causas exatas e o valor final devem ser tratados como informação em apuração.

Para quem trabalha com prova digital, o episódio reforça que o registro das comunicações, dos repositórios e dos equipamentos usados por terceiros pode ser decisivo para reconstruir a invasão.