Drift Protocol（DRIFT）遭疑北韓駭客滲透：DeFi 供應鏈資安升級為國安風險

根據《CoinDesk Korea》的報導，於 1 日（當地時間），有安全研究人員警告指出，與北韓相關的駭客與 IT 人員，已經在「去中心化金融(DeFi)」、虛擬資產企業與各類區塊鏈專案中，長期潛伏與滲透。近期「Drift Protocol（DRIFT）」遭駭事件，更讓「內部人員」風險被放大為結構性「資安」問題，引發整個虛擬資產產業高度關注。

安全研究者兼「MetaMask」開發人員泰勒·莫나漢（Taylor Monahan）近日在社群平台「X」上表示，北韓 IT 人力自 DeFi 創生初期便已經開始滲透產業，將近 7 年間參與超過 40 個以上專案。這些成員先透過真實的區塊鏈開發經歷累積履歷，再配合「偽造或竄改身分」資料，通過一般公司的人才招募流程，實際進入團隊之中。

莫納漢的爆料，是回應 Solana 生態系去中心化交易聚合器「Titan」的開發者「tim」所分享的經驗。tim 指出，他曾在面試過程中遇到過能力異常突出的工程師，事後才發現對方與北韓「拉撒路集團（Lazarus）」有關。鏈上追蹤人士 ZachXBT 也加入討論，補充說明北韓的金融網路犯罪並不只限於拉撒路集團，還包括「APT38」「AppleJeus」等多個組織，整體架構被認為是在北韓「偵察總局」統一指揮下運作。

美國財政部海外資產控制辦公室（OFAC）的制裁名單與「Chainalysis」的區塊鏈分析結果，也從側面印證這個趨勢。Chainalysis 估計，北韓 IT 網路單在 2024 年就累積約 8 億美元收益，自 2017 年以來，透過駭入虛擬資產相關平台所竊取的資產規模已達數十億美元級別。這些「非法收益」被普遍認為用於資助北韓的大規模毀滅性武器與飛彈計畫。

評論 北韓相關駭客長年滲透，使得 DeFi 項目和虛擬資產公司在「人員審查」與「開發流程控管」的薄弱環節全面曝險，業界過去只聚焦「智慧合約漏洞」的資安觀念，勢必面臨重新校正。

根據 Drift Protocol 官方在 1 日披露的資訊，該平台遭遇約 2.85 億美元規模的「Drift Protocol（DRIFT）」駭客攻擊後，團隊在週末期間進一步調查，並承認外界猜測「攻擊源自北韓駭客組織」的說法相當接近事實。Drift 表示，相關跡象顯示本次攻擊與「UNC4736」這一北韓支持的國家級駭客團體存在「中度可信」關聯。

依照 Drift 說明，攻擊者先以「假造職涯背景」「精心包裝的身分資料」以及「在線下會議與開發者建立互動」等方式，長時間建立信任。之後，再將惡意指令部署到「VS Code 與 Cursor 設定檔」之中，並向開發者提供已被操控的原始碼儲存庫，使對方在本機環境中不知不覺執行這些惡意操作。這種模式更接近「供應鏈攻擊」與「社交工程」的結合，而非傳統只針對「智慧合約漏洞」下手的單點技術攻擊。

兩天後，「Ledger」首席技術長夏爾·吉耶姆（Charles Guillemet）指出，本次攻擊手法與先前「Bybit」遭駭、損失約 14 億美元的事件有高度相似之處。區塊鏈分析公司「Elliptic」隨後也發布研究稱，Drift 駭客在鏈上的「資金洗白路徑」及使用的「網路基礎設施」，與過往多起被認定為北韓相關行動的案例高度雷同。

評論 本次 Drift 駭客事件凸顯「供應鏈安全」與「社交工程」疊加後，足以在未觸碰核心合約程式碼的前提下，仍對整體協議造成毀滅性打擊，也將 DeFi 專案的「人員信任機制」推上風口浪尖。

在北韓 IT 網路相關的國際制裁與執法行動持續升級的背景下，此次事件已被放大為虛擬資產產業的「國家安全風險」議題。未來，交易所與 DeFi 專案不僅需要強化對開發者與合作夥伴的「身分驗證」與「背景調查」，還可能被監管機構要求導入更嚴格的「開發環境管控」「程式碼審計流程」與「權限分層」機制，來降低國家級駭客滲透的可能性。

從市場角度來看，這類國家級攻擊事件的後續影響可能廣泛蔓延。大型協議一旦被證實遭到「國家支援」駭客鎖定，保險成本上升、「交易所上幣審查」趨嚴、「治理社群」內部的責任與補償爭議拉長，都將成為常態風險。此外，與 DeFi 協議掛鉤的代幣與衍生性商品交易量，也可能因市場反覆出現「風險趨避」情緒而出現結構性波動。

截至發稿時，比特幣(BTC)在日線級別維持於約 6.9 萬美元附近震盪。北韓相關駭客動向短期內尚未成為左右價格走勢的直接因素，但對整體虛擬資產產業而言，此次事件再度強調「資安即信任」的現實：不論是中心化交易所還是 DeFi 協議，如何建立「多層次防護」與「嚴謹的人員驗證」，將成為未來能否持續吸引機構與主流資金進場的關鍵。

評論 若北韓駭客持續將 DeFi 與虛擬資產企業視為「高報酬標的」，市場勢必需要把「資安風險溢價」納入定價邏輯，從專案估值、代幣流動性到監管對話，虛擬資產產業都將被迫以更接近傳統金融的標準來檢視自身安全水位。