Furto $270M a Drift legato a cellula spia nordcoreana

Paragrafo introduttivo

Drift, una piattaforma di derivati decentralizzata, ha comunicato che un exploit da 270 milioni di USD all'inizio di aprile 2026 è stato il risultato di un'operazione d'intelligence durata sei mesi che attribuisce a operativi nordcoreani, secondo un rapporto di CoinDesk datato Apr 5, 2026 (CoinDesk, Apr 5, 2026). Gli aggressori avrebbero costituito una società di trading di comodo, incontrato di persona contributori di Drift in più Paesi e iniettato nella piattaforma circa 1 milione di dollari del proprio capitale per costruire credibilità prima di eseguire il prelievo. Il racconto di Drift sulla sequenza — social engineering premeditato, imitazione persistente on-chain e attacco differito — mette in discussione la visione convenzionale secondo cui la maggior parte delle perdite in DeFi è opportunistica piuttosto che diretta da Stati. La portata (270M$) colloca l'evento tra le intrusioni DeFi più grandi dopo il 2022 e solleva immediatamente interrogativi sulla governance dei protocolli, sulla due diligence delle controparti e sull'efficacia degli attuali strumenti di sorveglianza on-chain. Partecipanti istituzionali, custodi e assicuratori rivedranno probabilmente gli standard di onboarding delle controparti e le valutazioni delle minacce per i mercati decentralizzati.

Contesto

La dichiarazione di Drift, amplificata dall'inchiesta di CoinDesk del Apr 5, 2026, inquadra l'exploit non come una singola violazione tecnica ma come un'operazione d'intelligence che ha combinato contatti umani off-chain con manipolazione on-chain. Drift ha affermato che gli aggressori si sono spacciati per una società di trading e hanno incontrato di persona contributori in più giurisdizioni — passaggi volti a creare fiducia e a eludere controlli di base. Gli aggressori poi hanno depositato circa 1 milione di dollari del proprio capitale e hanno atteso circa sei mesi prima di eseguire l'exploit, secondo lo stesso reportage, che indica una pazienza strategica atipica rispetto alla maggior parte delle attività white-hat/black-hat osservate in DeFi. Questa cronologia, se corroborata da team forensi indipendenti, segnerebbe un'evoluzione significativa nella tecnica degli attaccanti: la fusione di operazioni sul terreno in stile HUMINT con exploit a livello di blockchain.

Lo sfondo geopolitico più ampio è rilevante. Le agenzie statunitensi e alleate da tempo attribuiscono una serie di attività di furto informatico a gruppi nordcoreani — in particolare il Lazarus Group — inclusi grandi furti di criptovalute come il colpo al bridge Ronin nell'aprile 2022 (circa 625 milioni di dollari) e altri incidenti che hanno utilizzato le crypto come fonte di ricavi per regimi sanzionati. Sebbene l'attribuzione in incidenti cyber e blockchain possa essere contestata, il pattern di furti su larga scala legati ad attori statali è documentato in report pubblici di cybersecurity e in atti sanzionatori. La caratterizzazione di Drift, pertanto, va valutata sia sulla base delle evidenze tecniche sia su come si inserisce in un coerente quadro dell'intelligence.

Per gli investitori istituzionali che valutano il rischio di controparte, l'episodio Drift modifica i calcoli. In precedenza, la due diligence si concentrava fortemente su audit dei contratti intelligenti, custody multisignature e analytics on-chain. L'uso segnalato di incontri in persona e di un finanziamento iniziale di piccolo taglio come meccanismo di credibilità suggerisce che i protocolli e gli operatori di mercato professionali debbano estendere i controlli oltre la revisione del codice per includere verifiche reputazionali e operative sulle controparti. Questo è particolarmente vero per le piattaforme che offrono integrazioni permissionless o che fanno affidamento su un ampio insieme di contributori esterni per liquidità e feed oracolari.

Analisi dei dati

Punti dati empirici chiave ancorano la narrazione: i 270 milioni di USD sottratti (Drift/CoinDesk, Apr 5, 2026), una finestra operativa di sei mesi e un deposito iniziale di 1 milione di dollari da parte dei perpetratori per stabilire legittimità. Le prove on-chain — hash delle transazioni, timestamp dei depositi e movimenti verso servizi di mixing sospetti — saranno centrali per la verifica indipendente. L'allerta pubblica di Drift e le successive tracce forensi on-chain dovrebbero permettere alle società di analytics blockchain di ricostruire i flussi; tali società hanno precedentemente tracciato fondi in casi di alto profilo e segnalato schemi coerenti con tecniche note di riciclaggio.

Comparativamente, la perdita di Drift si colloca tra due dei più grandi colpi dell'era DeFi: l'attacco al bridge Ronin (~625M$ nell'apr 2022) e l'exploit Nomad (~190M$ nell'ago 2022). In termini assoluti, i 270M$ si posizionano tra i primi cinque furti DeFi segnalati dal 2021, evidenziando vulnerabilità sistemiche persistenti. I confronti anno su anno per i furti aggregati in crypto sono utili: analisi pubbliche (es. report forensi di settore) hanno mostrato picchi drammatici nel 2021-22 seguiti da una certa moderazione con l'irrobustimento dei controlli on-chain e delle pratiche di custodia; tuttavia, il caso Drift sottolinea che i cali aggregati non escludono operazioni episodiche su larga scala legate ad avversari sofisticati.

Fonti: CoinDesk (Apr 5, 2026) ha fornito la narrazione primaria; i confronti storici fanno riferimento a incidenti ampiamente riportati come l'hack del bridge Ronin (Apr 2022) e Nomad (Aug 2022). Analisi in corso a livello di singole transazioni da parte di società di analytics blockchain saranno necessarie per quantificare le quote spostate verso mixer, bridge cross-chain o convertite in fiat nelle settimane successive. Gli stakeholder istituzionali dovrebbero monitorare pubblicazioni forensi e depositi regolamentari per conferme e possibili azioni legali.

Implicazioni per il settore

Per il settore DeFi le implicazioni sono molteplici. I team dei protocolli e i detentori di token di governance potrebbero accelerare verso onboarding più permissioned per le integrazioni di controparti, aumentare i requisiti KYC per grandi fornitori di liquidità e adottare monitoraggio comportamentale continuo per i wallet dei contributori. La sequenza riportata da Drift — social engineering seguito da semina di capitale e poi sfruttamento — suggerisce che difese esclusivamente orientate al codice sono insufficienti; la governance e la sicurezza operativa (OPSEC) devono essere elevate. Market-maker, LP istituzionali e custodi probabilmente rivaluteranno i premi di rischio per fornire liquidità su piattaforme largamente permissionless.

Gli exchange e i custodi che elencano token o forniscono margini attorno ai derivati DeFi potrebbero vedere volat