Как хакеру удалось украсть 280 миллионов долларов у Drift, крупнейшей DEX для фьючерсов на Solana?

• Хакер использовал постоянные nonce для предварительной подписи транзакций и их выполнения через несколько недель.

• Протокол заморожен; украденные средства были переведены на Ethereum.

Команда Drift Protocol 2 апреля опубликовала отчет о причинах взлома, произошедшего накануне, в результате которого было украдено около 280 миллионов долларов из протокола.

Согласно отчету, в результате атаки не была обнаружена уязвимость в коде протокола: это была многоэтапная операция, которая сочетала в себе технику предварительной подписи транзакций с обманом членов управляющего органа платформы.

Общая сумма, указанная командой, составляет 280 миллионов долларов, что немного больше, чем 270 миллионов долларов, о которых сообщалось в первые часы после взлома. Все депозиты в функциях кредитования, хранилищ и торговли были затронуты. На момент написания этого текста протокол остается замороженным.

Drift Protocol является ведущей децентрализованной биржей (DEX) для фьючерсов на Solana, и совершенная атака является самым крупным инцидентом в экосистеме Solana, как сообщало CriptoNoticias, после взлома моста Wormhole в 2022 году.

Как произошла атака?

Согласно заявлению Drift, хакер воспользовался механизмом сети Solana, который позволяет предварительно подписывать транзакции и поддерживать их действительными в течение неопределенного времени для выполнения в любое время в будущем.

Эти предварительно подписанные транзакции называются постоянными nonce и являются законным инструментом протокола, обычно используемым для автоматизации запланированных платежей. В данном случае хакер использовал их для получения предварительных одобрений, необходимых от Совета безопасности Drift, органа, управляющего административными разрешениями протокола, и выполнения их через несколько недель.

Совет работает по схеме мультиподписи 2 из 5: для утверждения любых административных действий требуется не менее двух подписей из пяти возможных. Имея две подписи, полученные с помощью постоянных nonce, хакер имел все необходимое для получения контроля, не зная, что именно он авторизовал.

Earlier today, a malicious actor gained unauthorized access to Drift Protocol through a novel attack involving durable nonces, resulting in a rapid takeover of Drift’s Security Council administrative powers.

This was a highly sophisticated operation that appears to have involved…

— Drift (@DriftProtocol) April 2, 2026

Хронология атаки

Как объяснил команда Drift, операция была проведена в три этапа в течение десяти дней:

23 марта злоумышленник создал четыре учетные записи с постоянным nonce: две, связанные с участниками мультиподписи, и две, находящиеся под его контролем. На тот момент, по крайней мере, два из пяти подписантов Совета одобрили транзакции, связанные с этими учетными записями, не зная, что они предварительно авторизуют действия, которые будут выполнены позже.

27 марта Drift провела запланированную смену Совета безопасности. Три дня спустя, 30 марта, злоумышленник создал новую учетную запись с постоянным nonce, связанную с одним из новых членов совета, тем самым восстановив эффективный доступ к двум из пяти подписей новой мультиподписи.

1 апреля началась фаза реализации. Сначала Drift выполнила легитимную тестовую транзакцию из своего страхового фонда. Через минуту злоумышленник выполнил две предварительно подписанные транзакции: первая создала и одобрила вредоносную административную транзакцию, а вторая ее выполнила. В течение нескольких минут он получил полный контроль над административными разрешениями протокола, внедрил вредоносный актив, удалил все установленные лимиты на вывод средств и опустошил фонды.

Согласно заявлению, команда не исключает, что подписанты могли стать жертвами социальной инженерии или вводящей в заблуждение презентации транзакций, которые они одобрили, хотя эта причина не подтверждена, и расследование продолжается.

Какие операции Drift затронуты?

Согласно заявлению, пользователи, имеющие средства, размещенные в протоколе для кредитования, торговли или в хранилищах Drift, пострадали.

Токены DSOL, которые не были размещены в Drift, не пострадали, включая активы, находящиеся в стейкинге в собственном валидаторе платформы. Активы страхового фонда были изъяты из протокола в качестве меры предосторожности.

Мультиподпись была обновлена для удаления скомпрометированного кошелька. Drift заявляет, что координирует действия с компаниями, занимающимися информационной безопасностью, биржами, мостами и властями, для отслеживания и замораживания украденных активов.

Мнения представителей экосистемы

Ончейн-исследователь ZachXBT отметил компанию Circle, эмитента USDC, за то, что она не предприняла действий, когда большие объемы этой стейблкоина были переведены с Solana на Ethereum во время атаки.

Своп, выполненный злоумышленником Drift. Источник: ZachXBT / X.

Согласно ZachXBT, перемещение средств произошло в течение нескольких часов без какого-либо вмешательства (при этом известно, что у них есть возможность заморозить токены USDC), через кросс-чейн протокол передачи CCTP, созданный компанией Circle. Он также отметил, что отслеживание Circle относительно местонахождения средств содержало ошибки: SOL, принадлежавшие злоумышленнику, не были отправлены на Hyperliquid или Binance, а были переведены с Solana на Ethereum через Chainflip.

Чарльз Гиллемет, технический директор компании Ledger, производителя аппаратных кошельков, отметил, что схема атаки похожа на взлом Bybit в прошлом году, который был приписан лицам, связанным с Северной Кореей: это была терпеливая и сложная операция, направленная на человеческий и операционный аспекты, а не на код.

Гиллемет предположил, что подписанты, возможно, полагали, что одобряют законную операцию, тем самым невольно санкционируя вывод средств с протокола.

Руководитель компании Ledger также призвал повысить стандарты безопасности в отрасли, включая улучшенное обнаружение скомпрометированных сред, управление ключами с использованием аппаратного обеспечения и четкую видимость того, что подписывается.

Drift Protocol, один из ведущих децентрализованных бирж бессрочных контрактов на Solana, был взломан на сумму примерно 213 миллионов долларов. Это самый крупный взлом за 2026 год и один из крупнейших в истории блокчейна Solana, уступающий только взлому моста Wormhole в 2022 году.

Подробности об этом…

— Charles Guillemet (@P3b7_) 2 апреля 2026 г.

В заключение, команда Jupiter, крупнейшей децентрализованной биржи Solana по объему торгов, заявила, что их протокол не имеет никакой связи с рынками Drift, и что токен JLP полностью обеспечен соответствующими активами.

В заявлении Drift описывается тщательно спланированная операция. Недели подготовки, восстановление доступа после миграции безопасности и выполнение за менее чем минуту. Команда продолжает координировать действия с компаниями, занимающимися информационной безопасностью, биржами и властями, чтобы отследить средства, но на данный момент подтвержденных результатов нет.

Теги: Биржи Криптовалюты Хакеры Новости Solana (SOL)

Есть ли у вас важная информация для наших журналистов? Свяжитесь с нами