Квітень 2026 року став «чорним місяцем» для DeFi, коли сумарні втрати від зламів перевищили $640 млн. Атака на Drift Protocol стала найбільшим зламом в історії Solana, продемонструвавши, що головною вразливістю сучасних протоколів є не код, а людський фактор та «отруєні» ланцюжки довіри всередині команд.
Якщо раніше хакери шукали дірки в математиці смарт-контрактів, то тепер вони грають у «довгу гру». Злам Drift готувався пів року: зловмисники втиралися в довіру до розробників під виглядом поважної фірми, щоб у потрібний момент одним ударом вивести сотні мільйонів доларів. Розберемося детальніше.
Точка входу атаки
Точкою входу стала соціальна інженерія. Хакери під виглядом представників кількісної трейдингової фірми протягом 6 місяців спілкувалися з командою Drift на конференціях та у приватних чатах. Через шкідливі посилання на репозиторії коду вони скомпрометували пристрої підписантів мультисіг-гаманців.
Площа подій
Отримавши доступ до підписів ради безпеки, хакери відключили часову затримку на оновлення протоколу. Вони створили фіктивний актив CarbonVote Token (CVT), штучно розкрутили його ціну через внутрішні операції та змусили оракули Drift визнати його як легальну заставу вартістю в сотні мільйонів доларів. Під заставу цього «сміття» вони миттєво випозичили та вивели реальні активи (USDC, SOL, ETH).
Простими словами
Щоб зрозуміти, що зробили хакери, уявіть собі автоматизований банк, який працює без людей — тільки за програмою.
Підготовка та довіра
Хакери не ламали двері банку, не спускались через вентиляцію, як в красивих бойовиках і не майстрували сверхмасштабні технологічні пристрої. Замість цього вони пів року вдавали з себе поважних клієнтів та експертів. Вони настільки заговорили зуби власникам, що ті дали їм «ключ адміністратора», який дозволяє додавати в банк нові види активів, під які можна брати кредити.
Створення «цінних активів»
Зловмисники створили власну монету-пустушку. На вільному ринку вона не вартувала нічого. Але, маючи доступ до налаштувань банку, хакери внесли цю монету в список цінних активів.
Надування ціни
За допомогою спеціальних маніпуляцій всередині системи, вони змусили системи банку повірити, що цей «актив» дорожчий за золото. Вони просто переміщували цю монету між своїми гаманцями за захмарними цінами, і комп’ютер банку повірив: «Ого, цей актив дуже популярний і дорогий!».
Головний акт
Хакери приносять у банк цілу валізу своїх безкоштовних «цінних активів». Розумна система бачить «скарб» і, згідно з правилами, видає під його заставу реальні гроші (USDC та SOL), які в касі залишили звичайні люди.
Відхід та легалізація
Більшість коштів ($285 млн) була виведена через міст Circle CCTP в екосистему Ethereum протягом перших годин. Далі зловмисники використовували протокол THORChain для конвертації активів у Bitcoin, оскільки цей шлях наразі найскладніше заблокувати.
Хто стоїть за атакою
Аналітичні компанії Chainalysis та TRM Labs з високою впевненістю приписують атаку північнокорейському угрупованню UNC4736 (також відомому як AppleJeus або Citrine Sleet), яке раніше зламало Radiant Capital.
Команди розслідування
Drift Labs та команда безпеки
Команда безпеки Drift спільно з групою швидкого реагування, що спеціалізується на таких інцидентах, провели технічний аудит, виявили скомпрометовані підписи та заблокували функції протоколу, щоб врятувати залишки коштів.
Arbitrum Security Council
Хоча атака почалася на Solana, значна частина коштів проходила через мережу Arbitrum, де рада безпеки координувала дії з розслідувачами.
FBI (Cyber Division)
Проводить ідентифікацію зловмисників та відстежує зв'язки з державними структурами КНДР.
Tether
Відіграли ключову роль, оперативно заблокувавши значну частину вкрадених коштів у стейблкоїнах USDT. Chainalysis та TRM Labs надають інструменти для відстеження «брудних» грошей у реальному часі через міксери та міжмережеві мости.
Компенсація
Завдяки швидкій реакції та допомозі емітентів стейблкоїнів (зокрема Tether), частину коштів вдалося заморозити. На даний момент розроблено пакет відновлення, який покриває близько 52% втрачених активів користувачів.
Урок для всієї індустрії
Злам Drift та Kelp DAO у 2026 році позначив нову еру кіберзагроз — перехід від технічних експлуатацій до глибокої соціальної інфільтрації. Це урок для всієї індустрії: безпека починається не з аудиту коду, а з перевірки тих, хто цей код пише та підписує.
#DriftProtocol #solana #security #news #BinanceSquare