Włamanie za 285 mln dolarów na Drift Protocol: inżynieria społeczna, fałszywe tokeny i walka o przetrwanie Solana DEX

Jak doszło do kradzieży 285 milionów dolarów

Atak trwał miesiące i wymagał starannego przygotowania. Można go podzielić na kilka kluczowych etapów:

1. Stworzenie fałszywego tokena. Hakerzy wyemitowali bezwartościowy token o nazwie CarbonVote Token (CVT), z początkową podażą 750 milionów jednostek .

2. Manipulacja ceną. Utworzyli malutką pulę płynności na platformie Raydium, zasilając ją zaledwie 500 dolarami, a następnie sztucznie zawyżali wolumen transakcji, aż wyrocznie Drift (oracle) uznały token CVT za wartościowe zabezpieczenie o wyimaginowanej cenie około 1 dolara .

3. Długotrwała kampania inżynierii społecznej. Przez kilka miesięcy atakujący podszywali się pod przedstawicieli legalnej firmy zajmującej się handlem kwantytatywnym. Nawiązali kontakt z sygnatariuszami multisig Drift podczas konferencji i stopniowo zdobywali ich zaufanie .

4. Podstęp z podpisanymi transakcjami. Nakłonili sygnatariuszy do wstępnego zatwierdzenia transakcji, które wyglądały na rutynowe, ale w rzeczywistości przekazywały atakującym uprawnienia administracyjne do Rady Bezpieczeństwa (Security Council) Drift .

5. Wykorzystanie funkcji „durable nonces” w Solanie. Atak wykorzystał funkcję blockchainu Solana, która umożliwia przygotowanie i późniejsze wykonanie transakcji bez ograniczeń czasowych. Pozwoliło to hakerowi przejąć pełną kontrolę administracyjną nad protokołem bez żadnego opóźnienia (timelock) .

6. Wyprowadzenie środków. Mając już kontrolę, atakujący dodał zawyżony token CVT jako akceptowalne zabezpieczenie, usunął zabezpieczenia przed wypłatami i przeprowadził 31 szybkich transakcji, wyprowadzając prawdziwe aktywa użytkowników — ETH, USDC, SOL i opakowanego BTC — o wartości 285 milionów dolarów w niecałe 12 minut .

TRM Labs określiło przyczynę ataku jako „połączenie socjotechnicznego nakłonienia sygnatariuszy multisig do podpisania ukrytych autoryzacji oraz migracji Rady Bezpieczeństwa bez opóźnienia, która usunęła ostatnią linię obrony protokołu” . Zespół Drift potwierdził, że exploit nie wynikał z błędu w kodzie, ale z naruszenia bezpieczeństwa operacyjnego .

Reakcja Drift Protocol

Natychmiastowe wstrzymanie. Drift wstrzymał depozyty i handel w ciągu godziny od wykrycia naruszenia, wydając publiczne ostrzeżenie: „To nie jest żart primaaprilisowy” .

Śledztwo. Zespół zaangażował organy ścigania i zewnętrzne firmy kryminalistyczne — TRM Labs, Chainalysis, Elliptic i Halborn — aby prześledzić przepływ środków i zidentyfikować sprawców . Wysłano wiadomości on-chain do czterech portfeli Ethereum, które przechowywały około 129 000 ETH skradzionych aktywów .

Fundusz naprawczy. Emitent stablecoina Tether zobowiązał się do poprowadzenia programu naprawczego o wartości 150 milionów dolarów, z czego 127,5 miliona dolarów pochodziło bezpośrednio od Tethera, a resztę dołożyli nieujawnieni partnerzy. Pieniądze te mają posłużyć do przywrócenia środków użytkownikom i ponownego uruchomienia platformy .

Model tokenów naprawczych. Poszkodowani użytkownicy otrzymali tokeny naprawcze, każdy wyceniony na około 1 dolara, odpowiadające ich potwierdzonym stratom. Tokeny te dają proporcjonalne prawo do roszczeń z puli naprawczej, która początkowo składała się z około 3,8 miliona dolarów pozostałych aktywów protokołu oraz zadeklarowanych 147,5 miliona dolarów od Tethera i partnerów .

Remont bezpieczeństwa. Drift wprowadził rygorystyczną weryfikację sygnatariuszy, kontrole dostępu oparte na rolach, weryfikację transakcji poza łańcuchem, monitorowanie behawioralne sygnatariuszy oraz wyeliminował ryzyko związane z wstępnie podpisanymi transakcjami .

Rebranding: od ogólnego DeFi do wyspecjalizowanej giełdy na Solanie

W czerwcu 2026 roku Drift ogłosił kompleksowy rebranding. Wbrew wcześniejszym spekulacjom, nowa nazwa to nie „Velocity DEX”. Zamiast tego Drift restartuje się jako dedykowana giełda kontraktów perpetual futures na Solanie („Solana Perp DEX”), skoncentrowana wyłącznie na handlu swapami perpetualnymi opartymi na USDT .

Kluczowe elementy rebrandingu:

• Zawężenie zakresu produktów. Odejście od szerokiego protokołu DeFi oferującego perpsy, pożyczki i handel spot na rzecz czystej giełdy kontraktów perpetualnych USDT, z celem bycia największą na Solanie .
• Model „przychody → rekompensata”. Wszystkie przychody generowane przez ponownie uruchomioną platformę będą przeznaczane na dedykowany fundusz kompensacyjny dla użytkowników .
• Nowe kierownictwo ds. bezpieczeństwa. Na stanowisko nowego lidera protokołu (Protocol Lead) powołano Noah Prince'a, byłego lidera inżynierii w Helium Protocol. Wsparcie techniczne zapewniają członkowie zespołu z firmy Gauntlet .
• Ambicja prymatu na Solanie. Drift deklaruje, że chce stać się podstawową warstwą kontraktów perpetualnych na Solanie, stawiając na to, że Solana stanie się głównym miejscem handlu instrumentami pochodnymi .

Znaczenie dla ekosystemu DeFi na Solanie

Atak na Drift był największym exploit DeFi w 2026 roku i drugim największym w historii Solany . Ujawnił krytyczne luki w bezpieczeństwie zarządzania oraz w ludzkiej warstwie operacji multisig — luki, których żaden audyt inteligentnych kontraktów nie byłby w stanie wychwycić.

Reakcja Drift i rebranding oznaczają zwrot od ogólnego centrum DeFi w kierunku jednowątkowej, wysokozabezpieczonej giełdy perp DEX — jest to milczące przyznanie, że poprzednia, wieloproduktowa powierzchnia ataku stwarzała zbyt duże ryzyko zarządcze i operacyjne. Zawężenie zakresu, w połączeniu z funduszem naprawczym wspartym przez Tether, nową architekturą bezpieczeństwa i doświadczonym kierownictwem, ma na celu odbudowę zaufania użytkowników i odzyskanie przez Drift pozycji dominującej giełdy kontraktów perpetual futures na Solanie.

Dla szerszego ekosystemu Solany incydent ten stał się punktem odniesienia, pokazującym, jak ważne jest rygorystyczne weryfikowanie sygnatariuszy, monitorowanie behawioralne i eliminowanie ryzyka związanego z wstępnie podpisanymi transakcjami w systemach zarządzania .