Como o programa de espionagem secreta de 6 meses da Coreia do Norte fez com que a comunidade criptográfica repensasse a segurança

Quando deriva divulgou os detalhes por trás da exploração de US$ 270 milhões, a parte mais perturbadora não foi a escala da perda — foi como ela aconteceu.

De acordo com a equipe por trás do protocolo, o ataque não foi um bug de contrato inteligente ou uma manipulação inteligente de código. Isto foi uma campanha de seis meses envolvendo identidades falsasreuniões presenciais em vários países e confiança cuidadosamente cultivada. Os atacantes, supostamente da Coreia do Norte, não encontraram apenas uma vulnerabilidade no sistema. Eles se tornaram parte disso.

Esta nova ameaça está agora a forçar uma avaliação mais ampla das finanças descentralizadas.

Durante anos, a indústria tratou a segurança como um problema técnico, algo que poderia ser resolvido com auditorias, verificação formal e código melhor. Mas o incidente do Drift sugere algo muito mais complexo: que o vulnerabilidades reais podem estar completamente fora da base de código.

Alexander Urbelis, diretor de segurança da informação (CISO) do ENS Labs, argumenta que o enquadramento em si já está desatualizado.

“Precisamos parar de chamar esses ‘hacks’ e começar a chamá-los pelo que são: operações de inteligência”, disse Urbelis ao CoinDesk. “As pessoas que compareceram às conferências, que conheceram pessoalmente os colaboradores do Drift em vários países, que depositaram um milhão de dólares do seu próprio dinheiro para construir credibilidade: isso é habilidade comercial. É o tipo de coisa que você esperaria de um oficial de caso, não de um hacker.”

Se essa caracterização for válida, então o Drift representa um novo manual: um em que os invasores se comportam menos como hackers oportunistas e mais como operadores pacientes, incorporando-se socialmente antes de fazer um movimento na cadeia.

“A Coreia do Norte não está mais procurando contratos vulneráveis. Eles estão procurando pessoas vulneráveis… Isso não é hacking. Isso é administrar agentes”, acrescentou Urbelis.

As táticas em si não são inteiramente novas.

Investigações nos últimos anos mostraram Operativos norte-coreanos se infiltram em empresas de criptografia se passando por desenvolvedores, passando em entrevistas de emprego e até garantindo cargos sob identidades falsas. Mas o incidente do Drift sugere que esses esforços aumentaram – desde a obtenção de acesso por meio de pipelines de contratação até a execução de operações presenciais de construção de relacionamento com duração de meses antes de executar um ataque.

‘O calcanhar de Aquiles’

Essa mudança é o que mais preocupa muitos líderes de segurança. Mesmo o protocolo auditado com mais rigor ainda pode falhar se um contribuidor for comprometido.

David Schwed, diretor de operações da SVRN e ex-CISO da Robinhood e da Galaxy, vê o caso Drift como um alerta.

“Os protocolos precisam entender o que estão enfrentando. Estas não são explorações simples. São operações bem planejadas, que duram meses, com recursos dedicados, identidades fabricadas e um elemento humano deliberado”, disse Schwed ao CoinDesk. “Esse elemento humano é o calcanhar de Aquiles para muitas organizações.”

Muitas equipes DeFi permanecem pequenas, dinâmicas e baseadas na confiança. Mas quando um punhado de indivíduos controla o acesso crítico, comprometer um deles pode ser suficiente.

Schwed argumenta que a resposta precisa ser atualizada. “A resposta é um programa de segurança bem fortalecido que proteja não apenas a tecnologia, mas as pessoas e o processo… A segurança precisa ser fundamental para o projeto e para a equipe.”

Alguns protocolos já estão se ajustando. Em Júpiter, uma das maiores plataformas DeFi de Solana, a base de auditorias e verificações formais permanece, mas os líderes afirmam que não é mais suficiente.

“Claramente, proteger o código por meio de múltiplas auditorias independentes, código aberto e verificação formal é apenas uma questão de mesa. A área de superfície para ataques se ampliou substancialmente”, disse o COO Kash Dhanda.

Essa superfície mais ampla inclui agora governação, contribuintes e segurança operacional. A Jupiter expandiu seu uso de multisigs e timelocks enquanto investe em sistemas de detecção e treinamento interno.

“Dado que a carne é mais vulnerável do que o código, também estamos atualizando o treinamento e o monitoramento de operações de segurança operacional para os principais membros da equipe”, disse Dhanda.

Mesmo assim, acrescentou, “não existe um estado final para a segurança” e a complacência continua a ser o maior risco.

Para protocolos como o dYdX, o incidente Drift reforça uma realidade que não pode ser totalmente eliminada.

“É um fato infeliz da vida que os projetos de criptografia sejam cada vez mais alvo de maus atores patrocinados pelo Estado… os desenvolvedores devem tomar precauções para prevenir e mitigar o impacto dos compromissos de engenharia social, mas os usuários também devem estar cientes de que, dada a crescente sofisticação dos maus atores, o risco de tais compromissos não pode ser totalmente eliminado”, disse David Gogel, COO da dYdX Labs.

Esse modelo de ameaça em evolução também está transferindo a responsabilidade para os próprios usuários.

“Os usuários ativos no DeFi devem dedicar algum tempo para entender a arquitetura técnica dos protocolos ou contratos inteligentes que mantêm seus fundos e devem levar em consideração em suas avaliações de risco o papel e a natureza de quaisquer multisigs para atualizações de software e a possibilidade de que eles possam ser comprometidos maliciosamente”, acrescentou Gogel.

‘Modelo de ameaça’

Para alguns fundadores, a exploração do Drift sublinha uma conclusão mais incómoda: que a própria confiança se tornou uma vulnerabilidade.

“A exploração do Drift não era uma vulnerabilidade de código. Foi uma operação de inteligência de seis meses que explorou a confiança entre humanos”, disse Lucas Bruder, CEO da Jito Labs.

Na prática, isso significa projetar sistemas que assumam comprometimento – e não apenas bugs.

“Auditorias de contratos inteligentes são apostas importantes. A verdadeira superfície de ataque é sua equipe, seus assinantes multisig e cada dispositivo que eles tocam.”

Essa mentalidade está se tornando central na forma como o DeFi aborda a segurança. Schwed, da SVRN, diz que começa perguntando não apenas como um protocolo funciona, mas como ele pode falhar.

“Comece com um modelo de ameaça. Pergunte a si mesmo: como posso ser explorado? Se um dos proprietários do projeto for comprometido, qual será o raio de explosão desse cenário?”

Nesse sentido, a exploração do Drift pode ser lembrada menos pelos fundos perdidos do que pelo que revelou – que os maiores riscos no DeFi podem não estar mais no código, mas nas pessoas que o administram.

Leia mais: Como a Coreia do Norte se infiltrou na indústria criptográfica