Det centrala i händelsen är att angreppet inte beskrivs som en traditionell sårbarhet i ett smart contract. I stället kombinerade angriparna social engineering, manipulerad prisdata och ett övertagande av protokollets styrning. TRM Labs och Elliptic kopplade operationen till den nordkoreanska, statsanknutna gruppen UNC4736, som också går under namnen AppleJeus och Citrine Sleet och ofta kopplas till Lazarus-gruppen . Chainalysis betonade samtidigt att den formella attributionen fortfarande byggde på preliminära indikatorer och Drift-teamets efteranalys .

Så byggdes attacken upp

Angreppet var inte ett plötsligt infall. Enligt utredningsmaterialet lade angriparna månader på att skapa de förutsättningar som behövdes för en snabb tömning.

1. En värdelös token skapades. Angriparna gav ut CarbonVote Token (CVT) med en ursprunglig mängd på 750 miljoner tokens .
2. Priset blåstes upp. De startade en Raydium-pool med omkring 500 dollar i likviditet och genomförde så kallad wash trading – handel som i praktiken sker för att skapa en falsk bild av aktivitet och pris. På så sätt fick CVT ett skenbart värde på ungefär en dollar, vilket gjorde att Drift Protocols orakel kunde uppfatta tokenen som giltig säkerhet .
3. Förtroende byggdes över tid. Angriparna utgav sig för att representera ett legitimt kvantitativt handelsbolag. Genom konferensmöten och långvarig kontakt skapade de en relation till personer som hade tillgång till Drifts multisignaturplånböcker .
4. Till synes rutinmässiga transaktioner godkändes. Multisignatörer fick förhandsgodkänna transaktioner som såg normala ut, men som i själva verket öppnade för ett administrativt övertagande av Drifts Security Council, det råd som hade en central roll i protokollets styrning .
5. Så kallade durable nonces utnyttjades. Funktionen i Solanas transaktionsarkitektur gjorde det möjligt att förbereda och senare verkställa transaktioner. I kombination med en migration utan tidsfördröjning kunde angriparen ta full administrativ kontroll utan den timelock som normalt skulle ha gett teamet tid att ingripa .
6. Riktiga tillgångar tömdes. När kontrollen var säkrad listades CVT som godkänd säkerhet, uttagsspärrar togs bort och 31 snabba uttag genomfördes. Därefter försvann verkliga användartillgångar som ETH, USDC, SOL och inlindad bitcoin för omkring 285 miljoner dollar .

TRM Labs beskrev grundorsaken som en kombination av att multisignatörer lurades att förhandsunderteckna dolda auktoriseringar och att en Security Council-migrering utan tidslås tog bort protokollets sista försvarslinje . Drift-teamet bekräftade att det handlade om ett operativt säkerhetsfel snarare än ett fel i smart-contract-koden .

Drifts svar efter intrånget

Drift stoppade insättningar och handel inom ungefär en timme efter att den ovanliga aktiviteten upptäckts . Teamets första offentliga varning betonade att detta inte var något aprilskämt och uppmanade användare att inte sätta in mer pengar .

Därefter tog Drift hjälp av brottsbekämpande myndigheter och externa säkerhetsföretag, däribland TRM Labs, Chainalysis, Elliptic och Halborn. Arbetet har handlat om att spåra pengarna, identifiera angriparna och försöka frysa eller återvinna tillgångar . Drift skickade även meddelanden direkt till fyra Ethereum-adresser som tillsammans höll omkring 129 000 ETH kopplade till stölden .

Stablecoin-utgivaren Tether lovade att leda ett återhämtningsprogram på 150 miljoner dollar. Tether stod för 127,5 miljoner dollar, medan ytterligare medel skulle komma från andra, inte namngivna partner .

Den föreslagna modellen ger drabbade användare så kallade recovery tokens. Varje token motsvarar ungefär en dollar av en verifierad förlust och fungerar som ett proportionellt anspråk på en återhämtningspool. Poolen startade med omkring 3,8 miljoner dollar i kvarvarande protokolltillgångar och ett Tether-lett åtagande på 147,5 miljoner dollar .

Säkerhetsarbetet har samtidigt fokuserat på striktare kontroll av undertecknare, rollbaserad åtkomst, verifiering av transaktioner utanför den vanliga kanalen, beteendeövervakning och åtgärder för att minska riskerna med förhandsundertecknade transaktioner .

Nystarten: från bred DeFi-plattform till renodlad perp-börs

I juni 2026 meddelade Drift en omfattande omprofilering. Trots tidiga spekulationer finns det inget stöd i det tillgängliga materialet för att den nya plattformen skulle heta Velocity DEX. Den beskrivs i stället som en renodlad, Solana-baserad börs för perpetual futures – en så kallad Solana Perp DEX – med fokus på handel i USDT-baserade perpetual swaps .

Förändringen innebär framför allt fyra saker:

• Ett smalare produktutbud. Drift går från en bred DeFi-plattform med perpetuals, utlåning och spot-handel till en renodlad handelsplats för USDT-perpetuals, med ambitionen att bli störst på Solana .
• Intäkter kopplas till ersättning. Intäkterna från den återlanserade plattformen ska styras till en särskild fond för att kompensera drabbade användare .
• Ny teknisk ledning. Noah Prince, tidigare engineering lead på Helium Protocol, har utsetts till Protocol Lead. Även medarbetare från DeFi-forsknings- och modellföretaget Gauntlet ska bidra med tekniskt stöd .
• En större Solana-satsning. Drift vill bli ett grundläggande lager för perpetual-handel på Solana och räknar med att nätverket kan bli en viktig handelsplats för derivat .

Vad hacket säger om Solana och DeFi

Drift-incidenten beskrivs som 2026 års största DeFi-angrepp och det näst största i Solanas historia . Den visar att säkerhet i decentraliserade finansprotokoll inte bara handlar om kodgranskning. Multisignaturer, administrativa roller, sociala relationer och mänskliga beslut kan vara minst lika avgörande.

Omprofileringen är därför mer än ett nytt marknadsföringsbudskap. Den signalerar ett skifte från en bred DeFi-hubb till en mer avgränsad och säkerhetsinriktad derivatbörs. Ett mindre produktområde kan innebära färre administrativa beroenden och en mindre angreppsyta – även om det inte i sig garanterar säkerhet.

För Drift blir den avgörande frågan om en ny teknisk arkitektur, Tethers återhämtningsstöd och en tydligare kompensationsmodell räcker för att återvinna användarnas förtroende. För resten av Solana-ekosystemet har händelsen redan blivit ett varnande exempel på varför signerare måste verifieras strikt, ovanliga beteenden övervakas och riskerna med förhandsundertecknade transaktioner elimineras .

Det centrala i händelsen är att angreppet inte beskrivs som en traditionell sårbarhet i ett smart contract. I stället kombinerade angriparna social engineering, manipulerad prisdata och ett övertagande av protokollets styrning. TRM Labs och Elliptic kopplade operationen till den nordkoreanska, statsanknutna gruppen UNC4736, som också går under namnen AppleJeus och Citrine Sleet och ofta kopplas till Lazarus-gruppen . Chainalysis betonade samtidigt att den formella attributionen fortfarande byggde på preliminära indikatorer och Drift-teamets efteranalys .

Så byggdes attacken upp

Angreppet var inte ett plötsligt infall. Enligt utredningsmaterialet lade angriparna månader på att skapa de förutsättningar som behövdes för en snabb tömning.

1. En värdelös token skapades. Angriparna gav ut CarbonVote Token (CVT) med en ursprunglig mängd på 750 miljoner tokens .
2. Priset blåstes upp. De startade en Raydium-pool med omkring 500 dollar i likviditet och genomförde så kallad wash trading – handel som i praktiken sker för att skapa en falsk bild av aktivitet och pris. På så sätt fick CVT ett skenbart värde på ungefär en dollar, vilket gjorde att Drift Protocols orakel kunde uppfatta tokenen som giltig säkerhet .
3. Förtroende byggdes över tid. Angriparna utgav sig för att representera ett legitimt kvantitativt handelsbolag. Genom konferensmöten och långvarig kontakt skapade de en relation till personer som hade tillgång till Drifts multisignaturplånböcker .
4. Till synes rutinmässiga transaktioner godkändes. Multisignatörer fick förhandsgodkänna transaktioner som såg normala ut, men som i själva verket öppnade för ett administrativt övertagande av Drifts Security Council, det råd som hade en central roll i protokollets styrning .
5. Så kallade durable nonces utnyttjades. Funktionen i Solanas transaktionsarkitektur gjorde det möjligt att förbereda och senare verkställa transaktioner. I kombination med en migration utan tidsfördröjning kunde angriparen ta full administrativ kontroll utan den timelock som normalt skulle ha gett teamet tid att ingripa .
6. Riktiga tillgångar tömdes. När kontrollen var säkrad listades CVT som godkänd säkerhet, uttagsspärrar togs bort och 31 snabba uttag genomfördes. Därefter försvann verkliga användartillgångar som ETH, USDC, SOL och inlindad bitcoin för omkring 285 miljoner dollar .

TRM Labs beskrev grundorsaken som en kombination av att multisignatörer lurades att förhandsunderteckna dolda auktoriseringar och att en Security Council-migrering utan tidslås tog bort protokollets sista försvarslinje . Drift-teamet bekräftade att det handlade om ett operativt säkerhetsfel snarare än ett fel i smart-contract-koden .

Drifts svar efter intrånget

Drift stoppade insättningar och handel inom ungefär en timme efter att den ovanliga aktiviteten upptäckts . Teamets första offentliga varning betonade att detta inte var något aprilskämt och uppmanade användare att inte sätta in mer pengar .

Därefter tog Drift hjälp av brottsbekämpande myndigheter och externa säkerhetsföretag, däribland TRM Labs, Chainalysis, Elliptic och Halborn. Arbetet har handlat om att spåra pengarna, identifiera angriparna och försöka frysa eller återvinna tillgångar . Drift skickade även meddelanden direkt till fyra Ethereum-adresser som tillsammans höll omkring 129 000 ETH kopplade till stölden .

Stablecoin-utgivaren Tether lovade att leda ett återhämtningsprogram på 150 miljoner dollar. Tether stod för 127,5 miljoner dollar, medan ytterligare medel skulle komma från andra, inte namngivna partner .

Den föreslagna modellen ger drabbade användare så kallade recovery tokens. Varje token motsvarar ungefär en dollar av en verifierad förlust och fungerar som ett proportionellt anspråk på en återhämtningspool. Poolen startade med omkring 3,8 miljoner dollar i kvarvarande protokolltillgångar och ett Tether-lett åtagande på 147,5 miljoner dollar .

Säkerhetsarbetet har samtidigt fokuserat på striktare kontroll av undertecknare, rollbaserad åtkomst, verifiering av transaktioner utanför den vanliga kanalen, beteendeövervakning och åtgärder för att minska riskerna med förhandsundertecknade transaktioner .

Nystarten: från bred DeFi-plattform till renodlad perp-börs

I juni 2026 meddelade Drift en omfattande omprofilering. Trots tidiga spekulationer finns det inget stöd i det tillgängliga materialet för att den nya plattformen skulle heta Velocity DEX. Den beskrivs i stället som en renodlad, Solana-baserad börs för perpetual futures – en så kallad Solana Perp DEX – med fokus på handel i USDT-baserade perpetual swaps .

Förändringen innebär framför allt fyra saker:

• Ett smalare produktutbud. Drift går från en bred DeFi-plattform med perpetuals, utlåning och spot-handel till en renodlad handelsplats för USDT-perpetuals, med ambitionen att bli störst på Solana .
• Intäkter kopplas till ersättning. Intäkterna från den återlanserade plattformen ska styras till en särskild fond för att kompensera drabbade användare .
• Ny teknisk ledning. Noah Prince, tidigare engineering lead på Helium Protocol, har utsetts till Protocol Lead. Även medarbetare från DeFi-forsknings- och modellföretaget Gauntlet ska bidra med tekniskt stöd .
• En större Solana-satsning. Drift vill bli ett grundläggande lager för perpetual-handel på Solana och räknar med att nätverket kan bli en viktig handelsplats för derivat .

Vad hacket säger om Solana och DeFi

Drift-incidenten beskrivs som 2026 års största DeFi-angrepp och det näst största i Solanas historia . Den visar att säkerhet i decentraliserade finansprotokoll inte bara handlar om kodgranskning. Multisignaturer, administrativa roller, sociala relationer och mänskliga beslut kan vara minst lika avgörande.

Omprofileringen är därför mer än ett nytt marknadsföringsbudskap. Den signalerar ett skifte från en bred DeFi-hubb till en mer avgränsad och säkerhetsinriktad derivatbörs. Ett mindre produktområde kan innebära färre administrativa beroenden och en mindre angreppsyta – även om det inte i sig garanterar säkerhet.

För Drift blir den avgörande frågan om en ny teknisk arkitektur, Tethers återhämtningsstöd och en tydligare kompensationsmodell räcker för att återvinna användarnas förtroende. För resten av Solana-ekosystemet har händelsen redan blivit ett varnande exempel på varför signerare måste verifieras strikt, ovanliga beteenden övervakas och riskerna med förhandsundertecknade transaktioner elimineras .