Penggodaman Drift Protocol 2026: Apa Yang Berlaku, Siapa Yang Kehilangan Wang, dan Apa Seterusnya

Kumpulan Lazarus DPRK Disyaki Dalam Kecurian Solana $286 Juta Drift Protocol

Drift Protocol, bursa niaga hadapan kekal terdesentralisasi terbesar di rangkaian Solana, mengesahkan eksploit tersebut selepas melihat jumlah nilai terkunci (TVL) merudum daripada kira-kira $550 juta kepada bawah $250 juta dalam satu pagi, kini berada pada $232 juta. Bitcoin.com News adalah yang pertama melaporkan isu itu. Token DRIFT merosot setinggi 37%–42% dalam beberapa jam berikutnya, mencecah paras terendah sekitar $0.04 hingga $0.05.

Laporan menyatakan bahawa serangan bermula bukan dengan pepijat kod tetapi dengan pengeluaran Tornado Cash. Pada 11 Mac, penyerang mengeluarkan ETH daripada protokol privasi berasaskan Ethereum itu dan menggunakan dana tersebut untuk melancarkan token carbonvote, atau CVT, pada 12 Mac. Penganalisis rantaian blok menyatakan cap masa pelancaran itu sepadan dengan kira-kira jam 09:00 waktu Pyongyang, satu perincian yang segera membangkitkan kebimbangan.

Beberapa laporan memperincikan bahawa dalam tempoh tiga minggu berikutnya, penyerang menyemai kecairan minimum untuk CVT di bursa terdesentralisasi Raydium dan menggunakan dagangan cucian untuk mengekalkan harga hampir $1.00. Oracle Drift membaca harga itu sebagai sah. Penyerang telah membina cagaran palsu yang kelihatan benar kepada setiap sistem automatik yang memantaunya.

“Awal hari ini, seorang pelaku berniat jahat memperoleh akses tanpa kebenaran kepada Drift Protocol melalui serangan baharu yang melibatkan durable nonce, mengakibatkan pengambilalihan pantas kuasa pentadbiran Majlis Keselamatan Drift,” tulis pasukan Drift.

Akaun X projek itu menambah:

“Ini merupakan operasi yang sangat canggih yang nampaknya melibatkan persiapan selama beberapa minggu dan pelaksanaan berperingkat, termasuk penggunaan akaun durable nonce untuk menandatangani awal transaksi yang melambatkan pelaksanaan.”

Secara zahirnya, antara 23 Mac dan 30 Mac, penyerang Drift beralih kepada lapisan manusia. Dengan menggunakan ciri Solana yang sah dipanggil durable nonce, penyerang dilaporkan memperdaya ahli multisig Majlis Keselamatan Drift untuk menandatangani awal transaksi yang kelihatan rutin. Tandatangan itu menjadi kunci akses yang diluluskan terlebih dahulu, disimpan sebagai simpanan sehingga penyerang bersedia.

Peluang terbuka pada 27 Mac, apabila Drift memigrasikan Majlis Keselamatannya kepada ambang tandatangan 2-daripada-5 dan menghapuskan timelock sepenuhnya. Timelock biasanya memaksa kelewatan 24 hingga 72 jam bagi tindakan pentadbiran, memberi masa kepada komuniti untuk mengesan dan membalikkan apa-apa yang mencurigakan. Tanpanya, penyerang mempunyai kuasa pelaksanaan tanpa kelewatan. Transaksi yang telah ditandatangani awal menjadi aktif sebaik sahaja timelock tiada.

Pada 1 April, penyerang mengaktifkan transaksi tersebut, menyenaraikan CVT sebagai cagaran yang sah, menaikkan had pengeluaran, dan mendepositkan ratusan juta dalam token CVT yang digunakan oleh enjin risiko Drift untuk mengeluarkan aset sebenar. Protokol itu menyerahkan berjuta-juta token JLP, berjuta-juta USDC, berjuta-juta SOL, serta jumlah lebih kecil bitcoin dan ethereum berbalut. Tiga puluh satu transaksi pengeluaran selesai dalam kira-kira 12 minit.

Penyerang menukar token yang dicuri kepada USDC menggunakan Jupiter, menjambatani ke Ethereum, dan menukar kepada puluhan ribu ETH. Sebahagian dana dialirkan melalui Hyperliquid, dan sebahagian dipindahkan terus ke Binance. Pada 3 April, Drift menghantar mesej onchain daripada alamat Ethereum kepada empat dompet yang dikawal penggodam. Penerbitan cryptonomist.ch melaporkan bahawa mesej itu berbunyi:

“Kami bersedia untuk berbincang.”

Firma keselamatan Elliptic dan TRM Labs telah mengaitkan serangan itu dengan pelaku ancaman yang berkaitan DPRK, dengan merujuk kepada asal Tornado Cash, tandatangan pelancaran pada waktu Pyongyang, tumpuan kejuruteraan sosial, dan kelajuan pengubahan wang selepas serangan. Kumpulan Lazarus menggunakan kesabaran dan pendekatan menyasarkan manusia yang sama dalam penggodaman jambatan Ronin pada 2022. Kerajaan A.S. telah mengaitkan kecurian ini dengan pembiayaan program senjata Korea Utara, dan Elliptic telah menjejaki lebih $300 juta dicuri pada suku pertama 2026 sahaja.

Kesan penularan merebak kepada lebih daripada 20 protokol. Prime Numbers Fi melaporkan kerugian berjuta-juta. Carrot Protocol menghentikan fungsi mint dan tebus selepas 50% daripada TVL-nya terjejas. Pyra Protocol melumpuhkan pengeluaran sepenuhnya, menyebabkan semua dana pengguna tidak boleh diakses. Piggybank kehilangan $106,000 dan membayar balik pengguna daripada perbendaharaan pasukannya sendiri.

DeFi Development Corp., sebuah syarikat tersenarai Nasdaq dengan strategi perbendaharaan Solana, mengesahkan pada 1 April bahawa ia tidak mempunyai pendedahan kepada Drift. Rangka kerja risikonya mengecualikan protokol itu sepenuhnya. Hakikat itu menarik lebih perhatian daripada yang mungkin diinginkan syarikat tersebut.

Insiden Drift menghasilkan satu pengajaran jelas yang kebanyakan industri sudah tahu tetapi belum benar-benar diamalkan: timelock bukan pilihan. Penyingkiran perlindungan tunggal itu pada 27 Mac menukar serangan kompleks selama beberapa minggu kepada pengeluaran tunai 12 minit. Tadbir urus protokol tanpa mekanisme kelewatan ialah tadbir urus dengan pintu terbuka.

48 jam seterusnya selepas serangan DeFi itu digambarkan sebagai kritikal untuk kemampuan Drift mengekalkan kepercayaan pengguna dan memetakan laluan pemulihan. Sehingga 3 April, tiada pelan pembayaran balik menyeluruh diumumkan.

FAQ 🔎

• Apa yang berlaku kepada Drift Protocol? Penyerang menguras $286 juta daripada Drift Protocol pada 1 April 2026, menggunakan cagaran palsu dan transaksi pentadbiran yang ditandatangani awal untuk mengosongkan peti simpanan teras protokol dalam masa 12 minit.
• Siapakah yang bertanggungjawab atas penggodaman Drift Protocol? Firma keselamatan, termasuk Elliptic dan TRM Labs, telah mengaitkan serangan itu dengan pelaku ancaman yang berkaitan DPRK, dengan merujuk corak pengubahan wang dan cap masa onchain yang konsisten dengan taktik Kumpulan Lazarus.
• Adakah wang saya selamat di Drift Protocol? Drift menggantung semua deposit dan pengeluaran selepas serangan; pengguna dalam protokol terjejas seperti Pyra dan Carrot masih tidak dapat mengakses dana setakat 3 April 2026.
• Apakah itu serangan durable nonce dalam Solana DeFi? Serangan durable nonce menggunakan ciri Solana yang sah untuk menandatangani awal transaksi yang kelihatan rutin, menyimpannya sebagai kunci kebenaran aktif sehingga penyerang memilih untuk melaksanakannya.