Hekerski napad na protokol Drift leta 2026: kaj se je zgodilo, kdo je izgubil denar in kaj sledi

Skupina Lazarus iz Severne Koreje osumljena kraje 286 milijonov dolarjev iz protokola Drift na Solani

Drift Protocol, največja decentralizirana borza večnih terminskih pogodb v omrežju Solana, je potrdila izkoriščanje ranljivosti, potem ko je v enem samem dopoldnevu opazila padec skupne vrednosti zaklenjenih sredstev (TVL) s približno 550 milijonov dolarjev na manj kot 250 milijonov dolarjev, ki zdaj znaša 232 milijonov dolarjev. Bitcoin.com News je bil prvi, ki je poročal o tej zadevi. Vrednost tokena DRIFT je v naslednjih urah padla za kar 37 %–42 % in dosegla dno pri 0,04–0,05 dolarja.

Poročila navajajo, da se napad ni začel z napako v kodi, ampak z izplačilom iz Tornado Cash. 11. marca je napadalec iz protokola za zasebnost, ki temelji na Ethereumu, izplačal ETH in ta sredstva 12. marca uporabil za izdajo tokena carbonvote ali CVT. Analitiki blockchaina so opazili, da je časovni žig izdaje ustrezal približno 09:00 po času v Pjongjangu, kar je takoj vzbudilo sum.

Več poročil podrobno opisuje, da je napadalec v naslednjih treh tednih zagotovil minimalno likvidnost za CVT na decentralizirani borzi Raydium in uporabil wash trading, da je ohranil ceno blizu 1,00 $. Driftovi oraklji so to ceno prepoznali kot legitimno. Napadalec je ustvaril lažno zavarovanje, ki je vsem avtomatiziranim sistemom, ki so ga spremljali, izgledalo resnično.

»Danes zjutraj je zlonameren akter pridobil nepooblaščen dostop do protokola Drift prek novega napada, ki je vključeval trajne nonce, kar je povzročilo hiter prevzem upravnih pooblastil Varnostnega sveta Drift,« je zapisala ekipa Drift.

X-račun projekta je dodal:

»To je bila zelo sofisticirana operacija, ki je očitno vključevala večtedensko pripravo in postopno izvedbo, vključno z uporabo trajnih računov nonce za vnaprejšnje podpisovanje transakcij, ki so odložile izvedbo.«

Navidezno se je napadalec Drift med 23. in 30. marcem premaknil na človeško raven. Z uporabo legitimne funkcije Solane, imenovane trajni nonci, je napadalec po poročanju člane večkratnega podpisa Varnostnega sveta Drift prepričal, da vnaprej podpišejo transakcije, ki so se zdele rutinske. Ti podpisi so postali vnaprej odobreni ključi za dostop, ki so bili shranjeni v rezervi, dokler napadalec ni bil pripravljen.

Vrzeli se je zaprla 27. marca, ko je Drift svoj varnostni svet preusmeril na prag 2 od 5 podpisov in v celoti odstranil časovno zaklepanje. Časovno zaklepanje običajno povzroči 24- do 72-urno zamudo pri upravnih ukrepih, kar skupnosti daje čas, da opazi in prepreči vse sumljivo. Brez njega je imel napadalec pooblastilo za izvedbo brez zamude. Predhodno podpisane transakcije so začele veljati v trenutku, ko je časovno zaklepanje izginilo.

1. aprila je napadalec aktiviral te transakcije, navedel CVT kot veljavno zavarovanje, povečal omejitve za dvig in deponiral več sto milijonov v CVT-tokenih, za katere je Driftov sistem za oceno tveganja izdal realna sredstva. Protokol je izročil milijone v JLP-tokenih, milijone v USDC, milijone v SOL ter manjše zneske v zaviti bitcoinih in ethereumu. Enaintrideset transakcij dviga je bilo izvedenih v približno 12 minutah.

Napadalec je ukradene žetone pretvoril v USDC z uporabo Jupitera, jih prenesel na Ethereum in zamenjal za deset tisoče ETH. Del sredstev je bil usmerjen prek Hyperliquida, del pa je bil prenesen neposredno na Binance. 3. aprila je Drift poslal sporočilo v verigi z naslova Ethereum na štiri denarnice, ki jih je nadzoroval heker. Spletna stran cryptonomist.ch poroča, da je sporočilo vsebovalo naslednje besedilo:

»Pripravljeni smo na pogovor.«

Varnostni podjetji Elliptic in TRM Labs sta napad pripisali akterjem, povezanim s Severno Korejo, pri čemer sta navedli izvor Tornado Cash, podpis razporeditve po času v Pjongjangu, osredotočenost na socialni inženiring ter hitrost pranja denarja po hekanju. Skupina Lazarus je uporabila enako potrpežljivost in pristop, usmerjen v ljudi, pri hekanju mostu Ronin leta 2022. Ameriška vlada je te kraje povezala s financiranjem severnokorejskega orožarskega programa, podjetje Elliptic pa je samo v prvem četrtletju leta 2026 izsledilo več kot 300 milijonov dolarjev ukradenih sredstev.

Okužba se je razširila na več kot 20 protokolov. Prime Numbers Fi je poročal o izgubah v višini več milijonov. Carrot Protocol je začasno ustavil funkcije izdajanja in odkupa, potem ko je bilo prizadetih 50 % njegove TVL. Pyra Protocol je popolnoma onemogočil izplačila, zaradi česar so bila vsa sredstva uporabnikov nedostopna. Piggybank je izgubil 106.000 dolarjev in uporabnikom povrnil škodo iz lastne blagajne ekipe.

DeFi Development Corp., podjetje, ki kotira na borzi Nasdaq in ima strategijo blagajne Solana, je 1. aprila potrdilo, da ni bilo izpostavljeno Driftu. Njegov okvir tveganj je protokol popolnoma izključil. To dejstvo je pritegnilo več pozornosti, kot je podjetje verjetno nameravalo.

Incident z Driftom je prinesel eno jasno lekcijo, ki jo je večina panoge že poznala, a je ni v celoti upoštevala: časovna blokada ni neobvezna. Odstranitev te edine zaščitne ukrepe 27. marca je spremenila zapleten, večtedenski napad v 12-minutno izplačilo. Upravljanje protokola brez mehanizma zamika je upravljanje z odprtimi vrati.

Naslednjih 48 ur po napadu na DeFi so opisali kot ključnih za sposobnost Drifta, da ohrani zaupanje uporabnikov in načrtuje pot do okrevanja. Do 3. aprila ni bil objavljen noben celovit načrt za povračilo.

Pogosta vprašanja 🔎

• Kaj se je zgodilo s protokolom Drift? Napadalci so 1. aprila 2026 iz protokola Drift izčrpali 286 milijonov dolarjev, pri čemer so uporabili lažno zavarovanje in vnaprej podpisane administrativne transakcije, da so v 12 minutah izpraznili glavne trezorje protokola.
• Kdo je odgovoren za hekerski napad na protokol Drift? Varnostna podjetja, vključno z Elliptic in TRM Labs, so napad pripisala akterjem, povezanim s Severno Korejo, pri čemer so navedla vzorce pranja denarja in časovne oznake v verigi, ki so skladne z delovnimi metodami skupine Lazarus.
• Ali je moj denar varen v protokolu Drift? Drift je po napadu začasno ustavil vse vplačila in izplačila; uporabniki v prizadetih protokolih, kot sta Pyra in Carrot, še vedno nimajo dostopa do sredstev (stanje na dan 3. aprila 2026).
• Kaj je trajni napad z nonce v Solana DeFi? Trajni napad z nonce uporablja legitimno funkcijo Solane za vnaprejšnje podpisovanje transakcij, ki izgledajo rutinsko, in jih hrani kot aktivne avtorizacijske ključe, dokler se napadalec ne odloči, da jih izvede.