Seis meses de silêncio: grupo norte-coreano se infiltra na Drift antes de roubar US$ 285 milhões

Operação atribuída ao UNC4736 expõe ponto cego de governança em DeFi, desloca liquidez da Solana e reacende debate regulatório

O que parecia um exploit de fim de semana foi, na verdade, o ato final de uma operação paciente. O Drift Protocol, principal DEX de perpétuos na rede Solana, confirmou que o ataque de 1º de abril que drenou entre US$ 270 milhões e US$ 285 milhões foi conduzido por um grupo afiliado ao Estado norte-coreano após seis meses de infiltração. Segundo o relatório do protocolo, os invasores construíram relacionamentos presenciais com contribuidores, coordenaram-se via Telegram, criaram um Ecosystem Vault e chegaram a depositar mais de US$ 1 milhão de capital próprio para solidificar a narrativa de “parceiro legítimo”. No instante da drenagem, chats foram apagados e rastros digitais desapareceram.

A pergunta óbvia é desconfortável: estamos diante de um nível de ameaça já industrializado por atores estatais, contra o qual auditorias e testes de contrato não bastam? Ou o calcanhar de Aquiles segue sendo a segurança operacional de times e acessos, um terreno onde protocolos descentralizados raramente investem com o mesmo vigor dedicado ao código? Em ambos os cenários, a assimetria entre a paciência dos atacantes e a capacidade de detecção das organizações ficou exposta. E não há conforto estatístico quando o prejuízo soma nove dígitos em dólares.

Como a operação foi montada

A linha do tempo começa no outono de 2025, em uma conferência relevante do setor, quando membros do grupo se apresentaram como uma gestora quantitativa interessada em integrar sistemas ao Drift. O relacionamento escalou com reuniões presenciais, coordenação diária e a criação de um vault no ecossistema — onde, entre dezembro e janeiro, os atacantes aportaram mais de US$ 1 milhão. Em retrospecto, o capital serviu como prova de vida para a farsa e como ensaio operacional do alvo. No dia do ataque, identidades fabricadas, aplicativos e a infraestrutura de comunicação foram limpos com precisão cirúrgica.

Os vetores técnicos

A investigação forense, conduzida com apoio da SEAL911 e da Mandiant, apontou três portas de entrada: um repositório clonado com código malicioso explorando vulnerabilidades silenciosas em VSCode/Cursor capazes de execução sem interação do usuário; um aplicativo falso distribuído via TestFlight, disfarçado de carteira; e links compartilhados em sessões de trabalho que carregavam payloads embutidos. A atribuição ao UNC4736 — também rastreado como AppleJeus ou Citrine Sleet — foi classificada como de “confiança média-alta”, combinando sobreposição de endereços on-chain, padrões de movimentação de fundos e modus operandi.

Não se trata de um estreante. O mesmo grupo é vinculado ao hack da Radiant Capital em outubro de 2024, com perdas superiores a US$ 50 milhões, e integra uma engrenagem estatal cujo saque acumulado em cripto entre 2017 e 2024 supera US$ 3 bilhões segundo estimativas de especialistas. A operação contra o Drift adiciona um componente incômodo: redundância de vetores para garantir ao menos um acesso funcional no momento da execução. Isso é logística de inteligência, não improviso de fim de semana.

Impacto de mercado e mudança de risco

O efeito imediato foi a migração de liquidez: parte do capital alocado em perpétuos na Solana buscou alternativas como GMX no Arbitrum, Hyperliquid e dYdX. Historicamente, fluxos desse tipo demoram de três a seis meses para normalizar — quando normalizam — e o TVL da Solana vira o termômetro semanal de confiança institucional. Mais relevante, o modelo de ameaça dominante para protocolos com mais de US$ 100 milhões de liquidez deixou de ser o bug de contrato isolado; o adversário, agora, se parece mais com uma unidade de inteligência com identidades profissionais, paciência e caixa. Como resumiu Michael Pearl, da Cyvers: “Times de cripto estão enfrentando adversários que operam mais como unidades de inteligência do que como hackers, e a maioria das organizações não está estruturalmente preparada para esse nível de ameaça.”

Sinais on-chain e níveis críticos

No preço, dois marcadores importam para a Solana: US$ 110 como “piso” onde compradores institucionais historicamente reentram após choques idiossincráticos, e US$ 145 como teto a ser superado com três confirmações — fechamento do vetor de ataque, auditoria independente e anúncio de compensação. Sem isso, repiques tendem a ser saída. O token DRIFT, por sua vez, já acumulava queda próxima de 98% desde o pico antes mesmo do exploit; qualquer tese de recuperação exigirá reativação verificável, plano de compensação e depósitos retornando a pelo menos 30% do TVL pré-incidente.

O que o investidor brasileiro deve fazer agora

Para quem interagiu diretamente com o protocolo, a primeira ação é revogar aprovações de contratos do seu endereço — ferramentas como o Revoke.cash ajudam no processo. Usuários de exchanges brasileiras com custódia não têm exposição direta, desde que não tenham enviado ativos a carteiras conectadas ao Drift. Com o dólar acima de R$ 5,80, o “efeito BRL” amplifica prejuízos e coloca alavancados em SOL sob risco de liquidação por contágio de sentimento. Do ponto de vista fiscal, a Lei 14.754/2023 e a Instrução Normativa 1.888 seguem válidas: perdas por hack podem ser registradas para compensação futura, mas exigem documentação imediata — hashes das transações, screenshots pré-exploit e comunicações sobre eventual compensação — com reporte via DARF e registro no GCAP quando cabível.

Riscos a monitorar

• Vetor replicável: se o acesso decorreu de supply chain (VSCode/Cursor) e engenharia social, protocolos que compartilham dependências, fornecedores ou contribuidores com o Drift podem estar sob risco. Mitigações já foram publicadas no VSCode (1.109 e 1.110), mas ambientes desatualizados seguem expostos.
• Fuga estrutural de TVL: monitorar semanalmente o TVL DeFi da Solana; queda superior a 20% em sete dias costuma sinalizar saída institucional e pode desencadear liquidações em cadeias interconectadas.
• Lavagem via bridges/mixers: movimentações das carteiras associadas ao UNC4736 em direção a bridges cross-chain, seguidas de interação com mixers, reduzem drasticamente a chance de recuperação de ativos.
• Resposta regulatória: atribuição estatal combinada com perdas bilionárias em reais dá munição para exigir padrões mínimos de governança, controle de acesso e reporte de incidentes a protocolos que superem certos patamares de liquidez.
• Contágio: integrações com o ecossistema Jupiter e tokens de liquidez (como JLP) merecem perícia adicional até a conclusão do laudo forense completo.

O cenário é binário: com o vetor mapeado e fechado, auditoria independente publicada e um plano de compensação crível, há precedentes de sobrevida — ainda que com TVL permanentemente menor. Sem esses elementos, a combinação de fuga de liquidez e lavagem cross-chain empurra o protocolo para a seção de obituário do DeFi. Para quem deseja compreender melhor como engenharia social, supply chain e fraudes digitais se entrelaçam em casos como este — e o que fazer para reduzir superfície de ataque no dia a dia — o BlockTrends oferece o curso Como se Proteger de Fraudes e Golpes, que explora sinais de alerta, práticas de higiene digital e tomada de decisão sob risco.