Giao thức Drift đã thông báo trên nền tảng X rằng cuộc điều tra sơ bộ về vụ tấn công ngày 1 tháng 4 năm 2026 cho thấy hoạt động này được dàn dựng bởi nhóm tin tặc UNC4736 (còn được gọi là AppleJeus hoặc Citrine Sleet) do chính phủ Triều Tiên hậu thuẫn. Từ mùa thu năm 2025, nhóm này đã liên hệ trực tiếp với những người đóng góp cho Drift trong sáu tháng, sử dụng các phương pháp như cử người trung gian đến các hội nghị tiền điện tử và thành lập các công ty giao dịch định lượng giả mạo, để dụ dỗ họ tải xuống các thư viện mã độc hoặc ứng dụng. Hiện tại, Drift đã đóng băng tất cả các chức năng của giao thức và loại bỏ các ví bị xâm phạm khỏi các hệ thống đa chữ ký. Mandiant đã được mời tham gia vào một cuộc điều tra pháp y chuyên sâu. Cuộc điều tra xác nhận rằng dòng tiền trên chuỗi được sử dụng để thử nghiệm hoạt động có thể được truy vết ngược lại đến những kẻ tấn công Radiant Capital vào tháng 10 năm 2024.