Drift Protocol が窃盗に遭い 2.85 億ドル：北朝鮮のハッカーは 6 か月前から準備し、Durable Nonce を使って多重署名を回避していた

Solana 鏈上の有名なデリバティブ取引プロトコル Drift Protocol は4月1日にハッカー攻撃を受け、約2.85億ドルの損失を出した。プラットフォームのロック額（TVL）は事故前のおよそ5.5億ドルから、事故後に急落しておよそ2.3億ドルになった。Driftチームはその後、詳細な調査報告書を公開し、これは6か月にわたる、国家級リソースによって支えられたソーシャルエンジニアリング攻撃だったと明らかにした。

6か月の潜伏：暗号資産カンファレンスからコードリポジトリまで

Driftの調査によると、攻撃者は早くも2025年秋季には展開を開始していた。彼らは合法的な量的取引会社という身分で複数の暗号資産カンファレンスに参加し、Driftの貢献者と接触して、見かけ上は現実味のある職業関係を構築した。6か月に及ぶ長期の浸透期間のあいだに、攻撃者は：

Telegramのグループを作り、Driftチームと取引戦略を議論

実資金（100万ドル超）でエコシステムのVaultに構築して信頼性を確立

複数の国で複数回の会議を実施

最終的な侵入は、2つの経路で完了した可能性がある。1人の貢献者が、VSCode/Cursorで悪用できる可能性のある既知の脆弱性を利用し得るコードリポジトリをコピーしたこと、もう1人の貢献者が、攻撃者が「ウォレット製品」を名目に提供したTestFlight Appをダウンロードしたことだ。

技術手法：Durable Nonceの事前署名取引で多重署名を回避

技術面では、攻撃者はSolana上の「Durable Nonce」アカウントの仕組みを使用していた。これは、取引を事前に署名し、実行を遅らせることを可能にする機能だ。攻撃者はこれを利用して、悪意のあるすべての取引の署名を事前に準備し、十分な権限を取得した後に瞬時に実行した。その結果、防御側の反応時間はほとんど残されなかった。

攻撃者は迅速にDriftのセキュリティ委員会の管理権を取得し、その後関連資産を空にした。Driftは事後に、すべての多重署名メンバーはコールドウォレットを使用していたが、それでも攻撃を阻止できなかったと強調し、「攻撃が人的なレイヤーにロックオンされると、厳格なハードウェア管理であっても回避され得る」ことを示している。

北朝鮮 UNC4736を指し示す：Radiant Capital 攻撃と同じ一団

Driftは、今回の攻撃をUNC4736（別名：Citrine Sleet、AppleJeus）に「中〜高い確信度」で帰属させると述べた。同組織は北朝鮮政府に関連するハッカー集団だ。調査では、同イベントのパターンが、2024年10月にRadiant Capitalが5,800万ドルの損失を出した攻撃と非常に高度に一致しており、同じ一群の犯行によるものだと見ている。

Circleへの批判：なぜ盗まれたUSDCをすぐに凍結できなかったのか？

攻撃後のもう一つの論点は、Circleの対応スピードだった。PeckShieldのデータによると、攻撃者はDriftから約7,100万ドルのUSDCを盗み、その後ほかの盗難資産をUSDCに転換してから、Circleのクロスチェーン送金プロトコル（CCTP）を通じて、約2.32億ドルのUSDCをSolanaからイーサリアムへブリッジした。これにより、返還の追及は大幅に難しくなった。

著名なオンチェーン調査員ZachXBTはCircleの行動が遅すぎると批評し、皮肉な対比も指摘した。攻撃者がDurable Nonceアカウントを設定した同日（3月23日）に、Circleは数分以内に16の商業用ホットウォレットを凍結していた。理由は米国の民事訴訟によるものだったが、桁違いに大きい9桁台以上のDeFi攻撃に直面していたにもかかわらず、同等の迅速さでの行動はなかったという。

Circleの回答はこうだ。「Circleは規制対象の企業であり、制裁規定、法執行の命令、裁判所の命令に従って適切に運用しています。法律上求められる場合には、法の支配の原則に従い、ユーザーの権利とプライバシーを保護するために資産を凍結します。」Plumeの法律顧問はさらに、立法機関に「セーフ・ハーバー」メカニズムを整備するよう呼びかけ、安定コイン発行者が資金が違法に関与していると合理的根拠に基づいて信じる場合に、民事責任を問われずに資産を凍結できるようにすべきだとした。

DeFi業界への警告

Driftの発表は業界で大きな注目を集めた。今回の攻撃は、国家級のハッカー組織がDeFiプロトコルに対して、技術的な脆弱性だけでなく、数か月にわたる人的情報（HUMINT）活動を行っていることをはっきり示している。重要な教訓には次が含まれる。生産用の秘密鍵や多重署名の機器に外部リポジトリをそのまま複製しないこと、第三者アプリをインストールしないこと、正体不明のリンクを開かないこと。装置とアクセス権限の隔離を徹底して実施しなければならない。

この記事：Drift Protocolが2.85億ドルを盗まれた：北朝鮮ハッカーは6か月かけ、Durable Nonceを使って多重署名を回避。最初に掲載されたのは：鏈新聞 ABMedia。