Hackerský útok na Drift Protocol v roce 2026: Co se stalo, kdo přišel o peníze a co bude dál

Skupina Lazarus z KLDR podezřelá z krádeže 286 milionů dolarů ze sítě Solana v rámci protokolu Drift

Drift Protocol, největší decentralizovaná burza s nekonečnými futures v síti Solana, potvrdila tento útok poté, co sledovala, jak její celková uzamčená hodnota (TVL) během jediného rána klesla z přibližně 550 milionů dolarů na méně než 250 milionů dolarů a nyní činí 232 milionů dolarů. Bitcoin.com News jako první informoval o tomto problému. Token DRIFT v následujících hodinách klesl až o 37–42 % a dosáhl dna poblíž 0,04 až 0,05 USD.

Zprávy uvádějí, že útok nezačal chybou v kódu, ale výběrem z Tornado Cash. 11. března útočník vybral ETH z protokolu na ochranu soukromí založeného na Ethereu a tyto prostředky použil k nasazení tokenu carbonvote (CVT) 12. března. Analytici blockchainu si všimli, že časový údaj nasazení odpovídal přibližně 09:00 pchjongjangského času, což byl detail, který okamžitě vzbudil podezření.

Několik zpráv podrobně popisuje, že během následujících tří týdnů útočník nasadil minimální likviditu pro CVT na decentralizované burze Raydium a pomocí wash tradingu udržoval cenu blízko 1,00 $. Oracle protokolu Drift tuto cenu vyhodnotily jako legitimní. Útočník vytvořil falešné zajištění, které vypadalo reálně pro každý automatizovaný systém, který jej sledoval.

„Dnes brzy ráno získal zlovolný aktér neoprávněný přístup k protokolu Drift prostřednictvím nového útoku zahrnujícího trvalé nonce, což vedlo k rychlému převzetí administrativních pravomocí Bezpečnostní rady Driftu,“ napsal tým Driftu.

Účet projektu na X dodal:

„Jednalo se o velmi sofistikovanou operaci, která zřejmě vyžadovala několik týdnů příprav a postupné provedení, včetně použití účtů s trvalými nonces k předběžnému podepsání transakcí, které zpozdily provedení.“

Údajně se útočník na Drift mezi 23. a 30. březnem přesunul na lidskou úroveň. Pomocí legitimní funkce Solany zvané trvalé nonce údajně přiměl členy multisig Bezpečnostní rady Driftu k předběžnému podepsání transakcí, které vypadaly jako rutinní. Tyto podpisy se staly předem schválenými přístupovými klíči, které byly drženy v rezervě, dokud nebyl útočník připraven.

Mezeru uzavřela 27. března společnost Drift, která změnila svůj bezpečnostní výbor na prahovou hodnotu 2 z 5 podpisů a zcela odstranila časový zámek. Časový zámek obvykle vynucuje 24- až 72hodinové zpoždění administrativních akcí, což dává komunitě čas zachytit a zvrátit cokoli podezřelého. Bez něj měl útočník pravomoc k provedení bez zpoždění. Předem podepsané transakce byly aktivní v okamžiku, kdy časový zámek zmizel.

1. dubna útočník tyto transakce aktivoval, zařadil CVT jako platnou záruku, zvýšil limity výběru a vložil stovky milionů v tokenech CVT, proti kterým rizikový engine Driftu vydal reálná aktiva. Protokol předal miliony v tokenech JLP, miliony v USDC, miliony v SOL a menší částky v zabalených bitcoinech a ethereu. Třicet jedna výběrových transakcí bylo zúčtováno zhruba za 12 minut.

Útočník převedl ukradené tokeny na USDC pomocí Jupiteru, propojil je s Ethereum a vyměnil za desítky tisíc ETH. Část prostředků byla směrována přes Hyperliquid a část byla přesunuta přímo na Binance. 3. dubna poslal Drift on-chain zprávu z adresy Ethereum do čtyř peněženek ovládaných hackerem. Publikace cryptonomist.ch uvádí, že zpráva zněla:

„Jsme připraveni jednat.“

Bezpečnostní firmy Elliptic a TRM Labs přisoudily útok aktérům spojeným s KLDR, přičemž se odvolávají na původ v Tornado Cash, podpis nasazení v pyongyanském čase, zaměření na sociální inženýrství a rychlost praní peněz po hacku. Skupina Lazarus použila stejnou trpělivost a přístup zaměřený na lidi při hacku mostu Ronin v roce 2022. Americká vláda spojila tyto krádeže s financováním severokorejského zbrojního programu a společnost Elliptic zaznamenala jen v prvním čtvrtletí roku 2026 krádeže v hodnotě přes 300 milionů dolarů.

Nákaza se rozšířila na více než 20 protokolů. Prime Numbers Fi oznámilo ztráty v řádu milionů. Carrot Protocol pozastavil funkce ražby a výplaty poté, co bylo zasaženo 50 % jeho TVL. Pyra Protocol zcela deaktivovala výběry, čímž zablokovala přístup ke všem prostředkům uživatelů. Piggybank přišla o 106 000 dolarů a uživatelům uhradila ztráty z vlastní pokladny.

DeFi Development Corp., společnost kótovaná na burze Nasdaq s investiční strategií zaměřenou na Solanu, 1. dubna potvrdila, že neměla žádnou expozici vůči Driftu. Její rámec řízení rizik tento protokol zcela vylučoval. Tato skutečnost přitáhla více pozornosti, než společnost pravděpodobně zamýšlela.

Incident s Driftem přinesl jedno jasné ponaučení, které většina odvětví již znala, ale plně neuplatňovala: časový zámek není volitelný. Odstranění této jediné bezpečnostní pojistky 27. března proměnilo komplexní, několik týdnů trvající útok v 12minutový výběr hotovosti. Správa protokolu bez mechanismu zpoždění je správa s otevřenými dveřmi.

Následujících 48 hodin po útoku na DeFi bylo popsáno jako kritické pro schopnost Driftu udržet si důvěru uživatelů a naplánovat cestu k zotavení. K 3. dubnu nebyl oznámen žádný komplexní plán náhrady.

Často kladené otázky 🔎

• Co se stalo s protokolem Drift? Útočníci 1. dubna 2026 vybrali z protokolu Drift 286 milionů dolarů pomocí falešného kolaterálu a předem podepsaných administrativních transakcí, čímž za 12 minut vyprázdnili hlavní trezory protokolu.
• Kdo je zodpovědný za hack Drift Protocol? Bezpečnostní firmy, včetně Elliptic a TRM Labs, přisuzují útok aktérům spojeným s KLDR, přičemž se odvolávají na vzorce praní peněz a časová razítka v blockchainu, které odpovídají postupům skupiny Lazarus.
• Jsou moje peníze v protokolu Drift v bezpečí? Drift po útoku pozastavil všechny vklady a výběry; uživatelé v postižených protokolech, jako jsou Pyra a Carrot, nemají k 3. dubnu 2026 stále přístup ke svým prostředkům.
• Co je to útok typu „durable nonce“ v Solana DeFi? Útok typu „durable nonce“ využívá legitimní funkci Solany k předběžnému podepsání transakcí, které vypadají jako rutinní, a uchovává je jako živé autorizační klíče, dokud se útočník nerozhodne je provést.