朝鲜5.77亿美元DeFi闪电战：Drift和Kelp在18天内被黑客攻击

北朝鲜关联黑客在一个月内执行了历史上两次规模最大的去中心化金融（DeFi）攻击，从 Drift Protocol 和 Kelp DAO 共计窃取超过 5.77 亿美元。区块链分析公司、跨链基础设施提供商以及独立安全研究人员均将这两起攻击（置信度各异）指向北朝鲜国家机器下属的黑客单位，分析人士称这标志着针对 DeFi 基础设施的协调化攻击行动正在升级。

Drift Protocol 漏洞攻击：为期六个月的渗透

2026 年 4 月 1 日，攻击者从 Drift Protocol（Solana 上最大的去中心化永续期货交易所）窃取了约 2.85 亿美元。这成为当时今年最大的 DeFi 黑客事件，也是 Solana 历史上第二大攻击事件，仅次于 2022 年 Wormhole 跨链桥 3.26 亿美元的被盗案。 Drift 的事后分析将此次攻击描述为“筹备了六个月”，并以中等置信度将其归因于 UNC4736。这是一个受北朝鲜支持的威胁行为者，也被追踪为 AppleJeus、Citrine Sleet 和 Gleaming Pisces——该组织至少从 2018 年起就有针对加密货币领域的记录。 此次攻击向量并非智能合约漏洞。相反，它结合了社会工程学、治理操纵和特制的伪造代币：

• 在 2025 年 12 月至 2026 年 1 月期间，冒充量化交易公司的特工在 Drift 上入驻了一个生态系统金库（Ecosystem Vault），提交了策略文件，并存入了超过 100 万美元的自有资金以建立信誉。
• 攻击者制造了一种名为 CarbonVote (CVT) 的虚假代币，注入极低的流动性和伪造的交易量，随后操纵 Drift 的预言机（oracles）将其视为有效抵押品。
• 在 3 月 23 日至 30 日期间，攻击者利用 Solana 的“持久随机数”（durable nonce）功能，诱骗 Drift 安全委员会成员预先签署恶意交易，从而获得了 5 分之 2 的多重签名（multisig）批准，使得这些授权在执行日前一直处于潜伏状态。
• 4 月 1 日触发时，金库在约 12 分钟内被洗劫一空，大部分被盗资金在数小时内通过跨链桥转移至以太坊。
• 攻击发生后，DRIFT 代币下跌超过 40%，协议的总锁定价值（TVL）从约 5.5 亿美元暴跌至不足 2.5 亿美元。十余个依赖 Drift 的 Solana 协议暂停了运营。

Kelp DAO 漏洞攻击：大规模基础设施毒化

4 月 18 日，Kelp DAO（一个通过 EigenLayer 路由用户 ETH 的流动性再质押协议）遭受了 2.92 亿美元的攻击。此举已被证实为受北朝鲜支持的 Lazarus Group 所为，具体为其 TraderTraitor 亚单位。这超越了 Drift，成为 2026 年最大的单起 DeFi 攻击事件。 攻击者入侵了 LayerZero 验证器所依赖的两个 RPC 节点，用报告虚假数据的恶意版本替换了节点软件。随后，他们对剩余的正常节点发起了分布式拒绝服务（DDoS）攻击，强制系统故障切换（failover）至受控的端点——从而欺骗 LayerZero 的验证器批准虚假的跨链交易，向攻击者释放了 116,500 枚 rsETH。 LayerZero 将此次违规部分归咎于 Kelp 自身的安全配置：该协议运行的是“1/1 验证器”设置，这意味着 LayerZero Labs 是验证往返 rsETH 跨链桥消息的唯一实体——LayerZero 表示此前曾就此类配置发出过警告。 恐慌情绪在 DeFi 领域迅速蔓延：

• 4 月 18 日的攻击引发了 Aave 100 亿美元的资金外流，原因是用户担心可能出现坏账。
• 攻击发生后的 24 小时内，整个 DeFi 领域的总锁定价值下降了约 7%，从约 995 亿美元降至 863 亿美元。
• 包括 Ethena、ether.fi、Tron DAO 和 Curve Finance 在内的多个 DeFi 团队随后暂停了其 LayerZero 全链同质化代币（OFT）桥接。

转型与升级的威胁

同一个北朝鲜单位在 18 天内通过两种结构截然不同的攻击向量从 DeFi 中抽走了超过 5.77 亿美元：一是在 Drift 利用社会工程学操纵治理签名者，二是在 Kelp 毒化基础设施 RPC。 分析人士指出，Kelp 攻击信号表明北朝鲜的 Lazarus Group 正在超越孤立的黑客行为，迅速从社会工程学转向利用加密基础设施的结构性弱点——这表明这是一场持续的、国家驱动的运动，而非偶发事件。 如果这两起事件均归因于朝鲜（DPRK），这将使该政权在 2026 年确认的加密货币盗窃总额超过 6 亿美元。美国政府此前曾将这些收益与平壤的武器计划联系起来。 LayerZero 随后宣布将不再为任何运行“1/1 验证器”配置的项目签署消息，并正在加速向多 DVN 设置迁移。安全研究人员和协议开发人员敦促更广泛的 DeFi 行业将治理时间锁（timelocks）、预言机深度防御和跨链验证冗余视为不可逾越的基准要求，而非可选配置。

由 Coinplurk.com 发布