Drift Protocol е хакнат за 285 милиона долара: Какво се обърка и какво се случва след това

На 1 април 2026 г. базираният на Solana Drift Protocol беше експлоатиран за приблизително 285 милиона долара, което го прави най-големият DeFi хак на годината до момента. Атакуващият използва многоседмична схема, включваща фалшив токен, манипулирани ценови емисии и предварително подписани транзакции, за да завземе администраторския контрол над протокола, след което източи средствата на реалните потребители за по-малко от 12 минути.

Какво се случи с Drift Protocol на 1 април?

Атаката не се е появила от нищото. Според екипа на Drift Protocol, тя е резултат от дни на подготовка, които стават видими едва когато щетите вече са нанесени.

Общата заключена стойност на Drift (TVL) спадна от приблизително 550 милиона долара до под 300 милиона долара за по-малко от час. Токенът DRIFT падна с повече от 40% по време на инцидента. Фирмата за сигурност PeckShield потвърди Загубата надхвърли 285 милиона долара, което представлява повече от 50% от TVL на протокола по това време.

Времето предизвика незабавно объркване. Екипът на Дрифт публикува в X, за да изясни дали ситуацията е реална, като написа: „Това не е първоаприлска шега. Бъдете внимателни до второ нареждане.“

Протоколът спря всички депозити и тегления с началото на разследването.

Как нападателят е подготвил експлойта дни предварително?

Според съобщенията нападателят е прекарал поне 9 дни в подготовка на условията за кражбата, преди да я извърши.

Фалшивият жетон и капанът на оракула

Атакуващият е създал токен, наречен CarbonVote Token (CVT), като са генерирали приблизително 750 милиона единици. Те са създали пул за ликвидност на Raydium само с $500 и са използвали „wash trading“, купувайки и продавайки токена между собствените си портфейли, за да изградят фалшива ценова история близо до $1. С течение на времето ценовите оракули във веригата са уловили тази изкуствена цена и са третирали CVT като легитимен актив на стойност приблизително $1 за токен.

Оракулът е услуга, която подава външни ценови данни към интелигентен договор. Когато на оракул се подават манипулирани данни, интелигентният договор няма начин да разбере, че цената е фалшива.

Атаката с траен Nonce

Отделно, нападателят използва функция на Solana, наречена „durable nonces“, за да подписва предварително транзакции и да забави тяхното изпълнение. „Durable nonce“ замества нормалния механизъм за изтичане на транзакциите, позволявайки подписана транзакция да бъде задържана и подадена по всяко време в бъдеще.

Открийте обещаващи проекти...

Перспективни проекти...

(Реклама)

Статията продължава...

Хронология:

• 23 март: Създадени са четири трайни еднократни акаунта. Два са свързани с реални членове на Drift Security Council с множество подписи. Два са контролирани от нападателя.
• 27 март: Drift мигрира своя Съвет за сигурност поради планирана промяна в състава му. Атакуващият е получил достъп и до двама подписващи в актуализирания мултиподпис.
• 30 март: За член на актуализирания мултиподпис беше създаден нов траен nonce акаунт.
• Април 1: Атакуващият е изпълнил две предварително подписани транзакции с траен nonce, през четири слота един от друг, завършвайки администраторски трансфер, който му е дал контрол над разрешенията на ниво протокол.

С осигурен администраторски достъп, нападателят е посочил CVT като валиден пазар в Drift, премахнал е всички ограничения за теглене, депозирал е стотици милиони CVT токени като обезпечение и след това е извършил 31 бързи тегления, източвайки реални активи, включително USDC, JLP, SOL, обвит BTC, Jito (JTO) и Fartcoin (FRT) memecoin, за приблизително 12 минути.

Drift потвърди, че атаката не е резултат от грешка в интелигентните им договори или компрометирани seed фрази. Вместо това, тя е включвала „неоторизирани или погрешно представени одобрения на транзакции, получени преди изпълнението им“.

Одитите за сигурност, извършени от Trail of Bits през 2022 г. и ClawSecure през февруари 2026 г., са изчистили Drift, но нито един от прегледите не е обхванал въвеждането на CVT на пазара, нито промените в управлението, които са направили атаката възможна.

Къде отидоха откраднатите средства?

След операцията нападателят се придвижил бързо, за да скрие следата.

Откраднатите активи са конвертирани в USDC и SOL, след което са прехвърлени от Solana към Ethereum, използвайки протокола за междуверижен трансфер (CCTP) на Circle. В Ethereum нападателят е конвертирал средствата в ETH. Според проследяване във веригата, нападателят в крайна сметка е натрупал 129 066 ETH, на стойност приблизително 273 милиона долара по това време.

Атакуващият е депозирал SOL както в HyperLiquid, така и в Binance, което усложнява проследяването на множество платформи и портфейли.

Направи ли Circle достатъчно, за да спре кражбата?

Изследовател на веригата ZachXBT публично критикуван Кръг след експлойта, посочващ, че големи количества откраднати USDC са били прехвърлени от Solana към Ethereum по време на работно време в САЩ, без да бъдат замразени.

ZachXBT сравни този отговор с неотдавнашното решение на Circle да замрази 16 несвързани корпоративни горещи портфейла в запечатано гражданско дело в САЩ, твърдейки, че Circle е имала както възможността, така и прецедента да се намеси, но не е действала достатъчно бързо, за да ограничи щетите.

Кои протоколи бяха засегнати отвъд дрейфа?

Последиците се разпростряха върху DeFi екосистемата на Solana. Няколко платформи, свързани с Drift Liquidity, преустановиха операции или отчетоха загуби:

• PiggyBank_fi отчете приблизително 106 000 долара експозиция чрез делта-неутрални стратегии и покри потребителите директно, използвайки екипни средства.
• Reflect Money спря пускането и обратното изкупуване на USDC+ и USDT+.
• Ranger Finance спря депозитите и тегленията в RGUSD, с очаквана експозиция над 900 000 долара.
• Project0 спря да взема заеми срещу позиции в Drift като предпазна мярка.
• TradeNeutral, GetPyra, xPlace, Uselulo и Elemental DeFi поставиха на пауза ключови функции или съобщиха за ограничено присъствие.
• Jupiter Exchange потвърди, че пулът ѝ от JLP остава напълно обезпечен.

Какво се случва след това с Дрифта?

Drift координира действията си с множество охранителни фирми, борси, мостове и правоохранителни органи, за да проследи и възстанови откраднатите активи. Мултиподписът е актуализиран, за да премахне компрометирания портфейл. Всички останали функции на протокола остават замразени.

Според Имунефи Главен изпълнителен директор Мичъл Амадор, въздействието върху цената на токена често надминава самата експлоатация. Данните на Immunefi показват, че 83% от местните токени от хакнати протоколи никога не се възстановяват до цените си преди хака.

Очаква се подробна аутопсия от Дрифт през следващите дни.

Ресурси

1. PeckShield на XПубликации (1-2 април)

2. Lookonchain на XПубликации (1-2 април)

3. Протокол за дрейф на XПубликации (1-2 април)

4. Мичъл Амадор на XПубликувано на 25 март