区块链分析公司 Elliptic 在 4 月 3 日发布报告指出，Solana 生态去中心化永续合约交易所 Drift Protocol 遭遇的 2.85 亿美元 黑客攻击，很可能由朝鲜政府支持的黑客组织（DPRK）实施。该事件成为 2026 年迄今最大的一起加密货币漏洞。
Elliptic 在分析中发现了多项“明确指标”，包括链上行为模式、资金洗白方法论以及网络层面信号，均与以往朝鲜黑客的攻击手法高度吻合。
代币暴跌与链上信号
Drift Protocol 的原生代币 DRIFT 在攻击发生后急剧下挫，累计跌幅超过 40%，当前交易价格约为 0.06 美元。Drift 是 Solana 上最大的永续合约交易平台，此次攻击对其生态造成实质性冲击。
Elliptic 在报告中写道：“如果确认，这将是今年 Elliptic 追踪到的第 18 起朝���黑客攻击事件，相关被盗资金总额已超过 3 亿美元。” 报告补充称，该行为是“朝鲜持续的大规模加密资产盗窃战役的延续”，美国政府已将此类盗窃与朝鲜武器计划融资联系起来。
链上数据分析平台 Arkham 的数据显示，攻击发生数小时内，超过 2.5 亿美元 的资金已从 Drift 转移至一个中间钱包，随后分散至多个其他地址。
2025 年朝鲜黑客创纪录
2025 年 12 月，Chainalysis 报告曾揭示朝鲜黑客在当年盗取了创纪录的 20 亿美元 加密资产，其中包括针对 Bybit 的 14 亿美元攻击，较前一年增长了 51%。美国财政部上月指出，朝鲜政权利用这些被盗资产为其大规模杀伤性武器项目提供资金。
Elliptic 的焦点并非攻击过程本身，而是背后的“可复现操作模式”。攻击似乎“经过预谋且精心策划”，在主要攻击之前出现了小额测试交易和预先布置的钱包。
洗钱手法：跨链与账户聚类
资金一旦得手，攻击者迅速进行归集、兑换，并在不同链之间进行桥接，最终转换为流动性更高的资产。Elliptic 认为，这种洗钱流程“结构化且可重复”，目的是在保持控制的同时模糊资金来��。
一个核心挑战在于 Solana 的账户模型。由于每种资产存放在独立的代币账户中，同一攻击者控制的多个地址呈现“碎片化”特征。Elliptic 强调：“若不将这些账户链接起来，调查者看到的只是攻击者活动的碎片，而非完整图景。”
为此，Elliptic 采用了聚类分析方法，将代币账户关联回单一实体。在涉及十几种资产类型的复杂事件中，这种实体级视角变得至关重要。该案例还凸显了洗钱活动的跨链本质——资金从 Solana 转移至以太坊及其他网络，Elliptic 指出行业需要“全局性的跨链追踪能力”。