Эксплуатация, которая меняет все
Всего 72 часа назад крупнейший кредитный протокол Solana, Drift, был опустошен. $285 миллионов пропало.
Не благодаря сложному коду.
Не благодаря гению флеш-займов.
Из-за одного скомпрометированного административного ключа.
Вот что пользователям Binance нужно знать прямо сейчас — потому что та же уязвимость существует в десятках протоколов, которые вы можете использовать.
Как один ключ сломал спину DeFi
Нападающий не взломал смарт-контракты. Они взломали разрешения.
Пошаговый разбор:
1. Нападающий получил административный ключ Drift (метод все еще неизвестен — внутренний утечка? фишинг? вредоносное ПО?)
2. Разместили фейковый токен под названием "CarbonVote Token" (CVT) на Drift
3. Манипулировали ценой CVT на Raydium с $0.0001 до $1
4. Вложили бесполезный CVT в качестве залога
5. Повышенные лимиты на вывод с использованием того же административного ключа
6. Опустошили $285M в USDC, SOL и других реальных активах
Нет кода эксплуатации. Нет ошибок в смарт-контрактах. Только один ключ с слишком большой властью.
Часть, о которой никто не говорит
Circle отказалась замораживать украденный USDC в рабочее время в США.
Эксплуатация произошла в четверг вечером (по времени Азии). К утру пятницы в Нью-Йорке средства уже были перемешаны через мосты. Официальный ответ Circle: "Мы следуем законному процессу, а не панике на рынке."
Перевод: $285M пропало навсегда.
Внутреннее предупреждение Binance — утечка к нам
Меморандум безопасности Binance (поделенный с нашей командой при условии анонимности) теперь предупреждает всех рецензентов листинга о том, чтобы:
"Помечайте любые протоколы, использующие архитектуру с одним административным ключом или не имеющие таймлоков. Сразу добавьте в список высокого риска."
Это первый случай, когда Binance публично признала риск административного ключа как критерий листинга. Ожидайте более быстрых делистингов для протоколов без защит мульти-подписи или таймлоков.
Человеческая цена — История одного трейдера
"Я потерял всю свою позицию. $40,000. Даже предупреждения от Drift не было."
— @SOLwhale_4, пользователь Binance с 2022 года
Drift прошел аудит ClawSecure всего шесть недель назад. Аудит проверял смарт-контракты — не административные разрешения. Различие, которое стоило реальным людям их сбережений.
Ваш план защиты в 3 этапа (прямо сейчас)
Перед тем как торговать или давать в долг на любом DeFi-протоколе, связанном с Binance:
1. Проверьте административные ключи — Ищите "мульти-подпись" или "таймлок" в документах. Один ключ = единственная точка отказа.
2. Проверьте недавний объем аудита — Они проверяли разрешения или только код? Спросите перед депозитом.
3. Установите лимиты на вывод вручную — Если протокол позволяет, ограничьте ежедневные выводы. Это не остановит взлом, но замедлит утечку.
Что будет дальше
· Токен DRIFT — упал на 67% с уровней до взлома. Ликвидность исчезает.
· TVL Solana — Упал на $900M за три дня. Страх распространяется.
· Действие Binance — Ожидайте официального заявления в течение 48 часов. Некоторые проекты Solana могут столкнуться с ускоренным пересмотром листинга.
Наконец:
Взлом Drift не был неудачей кода.
Это была неудача доверия.
Пока протоколы не докажут, что они не могут быть опустошены одним скомпрометированным ноутбуком, относитесь к каждому депозиту так, как будто он может исчезнуть за ночь.
Оставайтесь настороже. Оставайтесь параноидальными. И никогда не предполагайте, что "аудит" означает "безопасно."
#DriftProtocol #Solana #DeFiHack #SecurityAlert #BinanceAlert
