Drift-hacket: Falsk token, social engineering og en kamp for Solanas største perp-børs

Den 1. april 2026 mistede Drift Protocol – den største decentraliserede børs for perpetual futures på Solana – omkring 285 millioner dollar på under 12 minutter. Platformen havde før angrebet en daglig handelsvolumen på over 800 millioner dollar, og tabet svarede til mere end halvdelen af dens samlede låste værdi (TVL) .

Det var ikke et traditionelt angreb på Drift Protocols smart contracts. Ifølge TRM Labs, Elliptic og Chainalysis var der tale om et flerfaset angreb på mennesker, processer og governance, som blev knyttet til den nordkoreansk tilknyttede gruppe UNC4736 – også kendt under navnene AppleJeus, Citrine Sleet og Lazarus Group .

Sådan foregik angrebet

Angriberne brugte måneder på at opbygge tillid og gøre Drift Protocols sikkerhedsprocedurer klar til et præcist angreb.

1. En falsk token blev oprettet. Angriberne skabte CarbonVote Token (CVT), en værdiløs kryptovaluta med en oprindelig beholdning på 750 millioner tokens .

2. Prisen blev pustet kunstigt op. De oprettede en lille likviditetspulje på Raydium med omkring 500 dollar og handlede CVT frem og tilbage – såkaldt wash trading. På den måde fik tokenen en prishistorik, som Drift Protocols orakler kunne opfatte som legitim, med en tilsyneladende værdi på cirka 1 dollar .

3. Tillid blev opbygget over længere tid. I flere måneder udgav angriberne sig for at være repræsentanter for et legitimt kvantitativt handelsselskab. Kontakten til Drift-teamet og platformens multisig-signere blev blandt andet opbygget gennem konferencemøder og løbende dialog .

4. Rutineprægede transaktioner skjulte den reelle hensigt. Multisig-signerne blev overtalt til på forhånd at godkende transaktioner, der så normale ud, men i praksis gav tilladelse til at overtage Drift Protocols Security Council – det organ, der havde centrale administrative rettigheder .

5. Solanas durable nonces blev udnyttet. Et angreb, som Drift beskrev som nyt og involverede durable nonces, gjorde det muligt at overtage den fulde administrative kontrol uden en timelock – en forsinkelse, der ellers kunne have givet tid til at opdage og blokere ændringen .

6. De rigtige aktiver blev hævet. Efter overtagelsen blev CVT registreret som godkendt sikkerhed, mens beskyttelser mod hævninger blev fjernet. Derefter gennemførte angriberne 31 hurtige hævninger og tømte platformen for ægte brugeraktiver som ETH, USDC, SOL og wrapped BTC til en samlet værdi af cirka 285 millioner dollar på under 12 minutter .

TRM Labs beskrev den centrale fejl som en kombination af social engineering, der fik multisig-signere til at forhåndsgodkende skjulte tilladelser, og en migration af Security Council uden timelock. Dermed blev Drift Protocols sidste forsvarslinje fjernet . Drift har samtidig understreget, at tabet skyldtes en operationel sikkerhedsfejl – ikke en fejl i selve smart contract-koden .

Drift Protocols reaktion

Drift satte indbetalingsfunktioner og handel på pause inden for en time efter, at bruddet blev opdaget. I en offentlig advarsel skrev platformen, at hændelsen "ikke var en aprilsnar" .

Teamet samarbejdede med myndigheder og eksterne efterforskningsfirmaer som TRM Labs, Chainalysis, Elliptic og Halborn for at spore pengene og identificere angriberne . Drift sendte også beskeder direkte på blockchainen til fire Ethereum-wallets, som tilsammen indeholdt omkring 129.000 ETH i stjålne aktiver .

Genopretningsprogrammet

Stablecoin-udstederen Tether forpligtede sig til at lede et genopretningsprogram på 150 millioner dollar. Tether bidrog selv med 127,5 millioner dollar, mens resten skulle komme fra yderligere, ikke-offentliggjorte partnere .

Berørte brugere fik tildelt såkaldte recovery tokens. Hver token repræsenterer omkring 1 dollar i dokumenteret tab og fungerer som et forholdsmæssigt krav på en genopretningspulje. Puljen begyndte med cirka 3,8 millioner dollar i tilbageværende protokolaktiver og Tether-ledede tilsagn på 147,5 millioner dollar .

Som en del af sikkerhedsarbejdet indførte Drift blandt andet strengere kontrol af signere, rollebaserede adgangsrettigheder, verifikation af transaktioner via separate kanaler, adfærdsmonitorering af signere og tiltag, der skal fjerne risikoen ved forhåndsgodkendte transaktioner .

Fra bred DeFi-platform til fokuseret Solana-børs

I juni 2026 annoncerede Drift en omfattende relancering. Trods tidligere spekulationer blev platformen ikke omdøbt til "Velocity DEX". Den nye retning er i stedet en dedikeret Solana-baseret børs for perpetual futures – omtalt som en Solana Perp DEX – med fokus på handel med USDT-baserede perpetual swaps .

De vigtigste ændringer er:

• Et smallere produktudbud: Drift bevæger sig fra en bred DeFi-platform med perpetuals, udlån og spot-handel til en ren handelsplads for USDT-perpetuals. Målet er at blive den største af sin slags på Solana .
• Omsætning til brugerkompensation: Al omsætning fra den relancerede platform skal kanaliseres til en særskilt fond til kompensation af de berørte brugere .
• Ny teknisk ledelse: Noah Prince, tidligere engineering lead hos Helium Protocol, blev udnævnt til Protocol Lead. Medarbejdere fra DeFi-specialisten Gauntlet skal desuden bidrage med teknisk støtte .
• En større rolle for Solana: Drift vil være det grundlæggende lag for perpetual trading på Solana og satser på, at blockchainen bliver en central markedsplads for handel med derivater .

Hvad sagen betyder for Solana DeFi

Drift-hacket blev det største DeFi-angreb i 2026 og det næststørste i Solanas historie . Sagen viste, at governance-systemer og multisig-processer kan være lige så kritiske som selve koden. Selv omfattende smart contract-audits ville ikke nødvendigvis have stoppet et angreb, der først og fremmest udnyttede menneskelig tillid og svage arbejdsgange.

Relanceringen er derfor mere end et nyt fokusområde. Den er også et forsøg på at begrænse Drift Protocols angrebsflade: færre produkter, mere specialiseret governance og en sikkerhedsarkitektur, der i højere grad kontrollerer, hvem der godkender hvilke administrative handlinger.

Sammen med Tethers genopretningsfond og den nye sikkerhedsledelse skal strategien genopbygge brugernes tillid og hjælpe Drift tilbage som en førende platform for perpetual futures på Solana. For resten af Solana-økosystemet er hændelsen blevet et konkret eksempel på behovet for streng signer-verifikation, løbende adfærdsmonitorering og færre risici ved forhåndsgodkendte transaktioner i governance-systemer .