Drift Protocol hakiranje 2026: Što se dogodilo, tko je izgubio novac i što slijedi

Sumnja na sjevernokorejsku skupinu Lazarus (DPRK) u krađi 286 milijuna dolara na Solani iz Drift Protocola

Drift Protocol, najveća decentralizirana burza perpetualnih terminskih ugovora na mreži Solana, potvrdio je iskorištavanje ranjivosti nakon što je promatrao kako mu ukupna zaključana vrijednost (TVL) pada s otprilike 550 milijuna dolara na ispod 250 milijuna u jednom jutru, a sada iznosi 232 milijuna dolara. Bitcoin.com News bio je prvi koji je izvijestio o problemu. Token DRIFT pao je čak 37%–42% u satima koji su uslijedili, spustivši se na dno blizu 0,04 do 0,05 dolara.

Izvješća navode da je napad započeo ne programerskom greškom, već povlačenjem sredstava putem Tornado Casha. Dana 11. ožujka napadač je povukao ETH iz privatnosnog protokola na Ethereum mreži i ta sredstva iskoristio za implementaciju tokena carbonvote, odnosno CVT-a, 12. ožujka. Blockchain analitičari primijetili su da je vremenska oznaka implementacije odgovarala približno 09:00 po vremenu u Pjongjangu, što je odmah izazvalo sumnju.

Nekoliko izvješća navodi da je tijekom sljedeća tri tjedna napadač posijao minimalnu likvidnost za CVT na decentraliziranoj burzi Raydium i koristio wash trading kako bi održavao cijenu blizu 1,00 dolara. Driftovi orakuli tu su cijenu očitavali kao legitimnu. Napadač je izgradio lažni kolateral koji je svakom automatiziranom sustavu koji ga je promatrao izgledao stvarno.

“Ranije danas, zlonamjerni akter dobio je neovlašten pristup Drift Protocolu putem novog napada koji uključuje durable nonceove, što je rezultiralo brzim preuzimanjem administrativnih ovlasti Driftova Sigurnosnog vijeća,” napisao je Drift tim.

X račun projekta dodao je:

“Ovo je bila vrlo sofisticirana operacija koja je, čini se, uključivala višenedeljnu pripremu i fazno izvršenje, uključujući korištenje računa s trajnim nonceovima za unaprijed potpisivanje transakcija koje su odgodile izvršenje.”

Navodno je između 23. i 30. ožujka Driftov napadač prešao na ljudski sloj. Koristeći legitimnu Solaninu značajku zvanu durable nonceovi, napadač je navodno naveo članove multisiga Sigurnosnog vijeća Drifta da unaprijed potpišu transakcije koje su djelovale rutinski. Ti su potpisi postali unaprijed odobreni pristupni ključevi, čuvani u rezervi dok napadač ne bude spreman.

Prozor se zatvorio 27. ožujka, kada je Drift migrirao svoje Sigurnosno vijeće na prag potpisa 2-od-5 i u potpunosti uklonio timelock. Timelock obično nameće odgodu od 24 do 72 sata za administrativne radnje, dajući zajednici vrijeme da uoči i poništi bilo što sumnjivo. Bez njega, napadač je imao ovlasti izvršenja bez odgode. Unaprijed potpisane transakcije postale su aktivne čim je timelock uklonjen.

Dana 1. travnja napadač je aktivirao te transakcije, uvrstio CVT kao važeći kolateral, povisio limite povlačenja i položio stotine milijuna u CVT tokenima, protiv kojih je Driftov sustav upravljanja rizikom izdao stvarnu imovinu. Protokol je predao milijune JLP tokena, milijune u USDC-u, milijune u SOL-u te manje iznose wrapped bitcoina i ethereuma. Trideset i jedna transakcija povlačenja prošla je u otprilike 12 minuta.

Napadač je ukradene tokene pretvorio u USDC koristeći Jupiter, prebacio ih mostom na Ethereum i zamijenio u desetke tisuća ETH-a. Dio sredstava je prošao kroz Hyperliquid, a dio je prebačen izravno na Binance. Dana 3. travnja Drift je poslao onchain poruku s Ethereum adrese na četiri novčanika pod kontrolom hakera. Publikacija cryptonomist.ch izvještava da je poruka glasila:

“Spremni smo razgovarati.”

Sigurnosne tvrtke Elliptic i TRM Labs pripisale su napad akterima prijetnje povezanim s DPRK-om, navodeći podrijetlo iz Tornado Casha, potpis implementacije u skladu s vremenom u Pjongjangu, fokus na socijalni inženjering i brzinu pranja sredstava nakon hakiranja. Skupina Lazarus koristila je isti strpljiv pristup i ciljanja ljudi u hakiranju mosta Ronin 2022. godine. Američka vlada povezala je ove krađe s financiranjem programa naoružanja Sjeverne Koreje, a Elliptic je pratio više od 300 milijuna dolara ukradenih samo u prvom kvartalu 2026.

Zaraza se proširila na više od 20 protokola. Prime Numbers Fi prijavio je gubitke u milijunima. Carrot Protocol pauzirao je funkcije mint i redeem nakon što je pogođeno 50% njegova TVL-a. Pyra Protocol u potpunosti je onemogućio isplate, ostavljajući sva korisnička sredstva nedostupnima. Piggybank je izgubio 106.000 dolara i nadoknadio korisnicima iz vlastite timske riznice.

DeFi Development Corp., tvrtka uvrštena na Nasdaq s strategijom trezora na Solani, potvrdila 1. travnja da nije bila izložena Driftu. Njezin okvir upravljanja rizikom u potpunosti je isključio taj protokol. Ta činjenica privukla je više pažnje nego što je tvrtka vjerojatno namjeravala.

Incident s Driftom iznjedrio je jednu jasnu lekciju koju je većina industrije već znala, ali je nije u potpunosti primjenjivala: timelock nije opcionalan. Uklanjanje te jedne zaštitne mjere 27. ožujka pretvorilo je složen, višenedeljni napad u 12-minutno unovčavanje. Upravljanje protokolom bez mehanizma odgode je upravljanje s otvorenim vratima.

Sljedećih 48 sati nakon DeFi napada opisano je kao ključno za Driftovu sposobnost da zadrži povjerenje korisnika i ocrta put oporavka. Do 3. travnja nije bio najavljen sveobuhvatan plan nadoknade.

FAQ 🔎

• Što se dogodilo s Drift Protocolom? Napadači su 1. travnja 2026. ispraznili 286 milijuna dolara iz Drift Protocola, koristeći lažni kolateral i unaprijed potpisane administrativne transakcije kako bi u 12 minuta ispraznili ključne trezore protokola.
• Tko je odgovoran za hakiranje Drift Protocola? Sigurnosne tvrtke, uključujući Elliptic i TRM Labs, pripisale su napad akterima prijetnje povezanim s DPRK-om, navodeći obrasce pranja i onchain vremenske oznake usklađene s metodama skupine Lazarus.
• Je li moj novac siguran na Drift Protocolu? Drift je nakon napada obustavio sve uplate i isplate; korisnici u pogođenim protokolima poput Pyre i Carrota i dalje ne mogu pristupiti sredstvima na dan 3. travnja 2026.
• Što je napad s durable nonceovima u Solana DeFi-ju? Napad s durable nonceovima koristi legitimnu Solaninu značajku za unaprijed potpisivanje transakcija koje izgledaju rutinski, čuvajući ih kao aktivne autorizacijske ključeve dok napadač ne odluči izvršiti ih.