1 апреля 2026 года крупнейшая децентрализованная биржа перпетуальных контрактов в экосистеме Solana, Drift Protocol, понесла сокрушительный удар. Всего за несколько минут криптоактивы на сумму 285 миллионов долларов были опустошены, что стало крупнейшим инцидентом безопасности в сфере DeFi с начала года.
По мере анализа данных в блокчейне и углубленного расследования безопасности, полная картина этой предполагаемой APT-атаки, возглавляемой северокорейской хакерской группировкой, постепенно прояснилась. Примечательно, что разрушение этого DeFi-форта на сотни миллионов долларов произошло не из-за какого-то гениального zero-day эксплойта, а в результате многомесячной охоты с применением социальной инженерии, направленной на человеческую природу.
Эта катастрофа стала не только самым тёмным часом для Drift, но и обнажила «любительский» подход современной индустрии DeFi к управлению и управлению ключами.
Запланированная охота: как Drift шаг за шагом оказался под ударом?
Анализируя путь атаки хакеров, мы видим чрезвычайно тщательную, многоэтапную операцию, требующую терпения и координации. Злоумышленники мастерски использовали слепую веру Web3-сообщества в «код как закон» и пренебрежение к «человеку» как самому слабому звену.
Шаг 1: Маскировка под «маркет-мейкера»
Ещё за полгода до инцидента атакующие замаскировались под хорошо финансируемую организацию количественной торговли. Они не только общались с ключевой командой Drift на крипто-саммитах, но и реально внесли миллионы долларов в протокол. Участвуя в тестировании продукта и предлагая качественные стратегические рекомендации, хакеры успешно проникли во внутренние чаты Drift,建立起建立致命тельное доверие.
Шаг 2: Использование «устойчивого нонса» для закладки бомбы замедленного действия
Получив доверие ключевых контрибьюторов, хакеры начали использовать специфический механизм Solana — «устойчивый нонс (Durable Nonces)». Этот механизм позволяет заранее подписывать транзакции офлайн и транслировать их для выполнения в любое время в будущем. С помощью искусной риторики и замаскированных тестовых требований хакеры убедили членов комитета безопасности Drift провести «слепую подпись (Blind Signing)» нескольких, казалось бы, обычных транзакций. Однако реальной полезной нагрузкой этих транзакций была передача высших прав управления администратором (Admin) протокола.
Шаг 3: Фатальная мультиподпись 2/5 и отсутствие временной блокировки
27 марта Drift провёл фатальное обновление управления: миграцию комитета безопасности на новую архитектуру мультиподписи 2/5 и удаление временной блокировки (Timelock). Это означало, что для мгновенного выполнения любой инструкции, изменяющей базовую логику протокола, достаточно всего двух подписей, не оставляя даже времени на реакцию.
Шаг 4: Мираж «фейковой» монеты для вывода средств
1 апреля хакеры одновременно привели в действие все развёрнутые компоненты. Они транслировали заранее полученные мультиподписные инструкции, мгновенно захватив права администратора протокола. Затем хакеры добавили в белый список поддельный токен под названием CVT (CarbonVote Token) и установили его лимит займа на максимум. Совместно с манипуляцией цен оракула, хакеры использовали кучу воздушных монет в качестве залога, чтобы «законно» и «соответствуя правилам» забрать из казны Drift 285 миллионов долларов в USDC, SOL и ETH.
Законная подпись ≠ Законное намерение: Ахиллесова пята безопасности DeFi
В случае с Drift самым удручающим является то, что с точки зрения виртуальной машины блокчейна каждый шаг хакеров был «законным». Они не использовали уязвимости переполнения, не проводили атаки повторного входа, они просто получили законные ключи администратора и затем спокойно вошли в казну.
Это выявляет огромный дисбаланс в текущем управлении фондами DeFi-протоколов: использование инструментов уровня розничного инвестора для управления сотнями долларов для управления казной институционального уровня на миллиарды долларов.
В настоящее время большинство основных протоколов DeFi по-прежнему сильно зависят от традиционных мультиподписей на основе смарт-контрактов (таких как Safe или нативные механизмы мультиподписи). Эта архитектура имеет два фатальных недостатка:
- Не защищает от социальной инженерии: Достаточно хакерам обойти (фишинг, принуждение или подкуп) нескольких ключевых лиц, владеющих приватными ключами, и оборона рушится.
- Отсутствие проверки намерения: Мультиподпись проверяет только «подписали ли эти люди», но не «подписали ли они кабальный договор».
От гиковского эксперимента к финансовой инфраструктуре: Неизбежная эволюция безопасности Web3
Drift заплатил 285 миллионов долларов за极其 дорогой урок: по мере ускорения интеграции Web3 с традиционными финансами, протоколы DeFi должны отказаться от моделей управления, полагающихся solely на самодисциплину разработчиков и простые мультиподписи, и стремиться к институциональным стандартам безопасности.
В настоящее время ведущие отраслевые организации и наблюдатели безопасности пришли к консенсусу, что следующая итерация безопасности инфраструктуры DeFi должна включать обновление по следующим核心овым направлениям:
Апгрейд криптографической основы: переход к HSM (аппаратным модулям безопасности)
По сравнению с программной агрегацией мультиподписей, HSM хранит приватные ключи протокола в сертифицированных чипах с военным уровнем шифрования, откуда ключи невозможно экспортировать. Этот аппаратный уровень физической изоляции и контроля безопасности从根本上 исключает риски, связанные с атаками социальной инженерии на внутренний персонал или взломом устройств, обеспечивая защиту ключей казны протокола, значительно превосходящую традиционные мультиподписи.
Внедрение «основанного на намерениях» механизма политик (Policy Engine)
Будущее утверждение управляющих разрешений в DeFi не должно ограничиваться этапом «проверки подписи». Система должна иметь встроенную логику управления рисками, например: когда транзакция пытается изменить лимит займа для неизвестного токена (например, CVT в деле Drift) на неограниченный, механизм политик должен автоматически распознать её аномальное намерение, активировать механизм остановки и потребовать проверки более высокого уровня (например, многоуровневый ручной risk-контроль, видео-верификация или принудительная временная блокировка).
Принятие независимых сил комплаенс-кастоди
С постоянным ростом TVL, разработчики протоколов должны сосредоточиться на логике кода и бизнес-инновациях, передав контроль над казной в миллиарды долларов и защиту профессионалам сторонних комплаенс-кастоди организаций. Как и в традиционных финансах, биржи не хранят активы пользователей в личном сейфе владельца. Внедрение институциональных процессов управления рисками, обладающих мощными возможностями атаки и защиты и прошедших аудит, является необходимым путём для DeFi на пути к массовости.
Как пропагандируют такие поставщики институциональных услуг, как Cactus Custody, long занимающиеся безопасностью цифровых активов: децентрализация DeFi не должна быть оправданием для уклонения от системного управления рисками.
Взлом Drift, возможно, станет поворотным моментом. Он объявляет о банкротстве управления в стиле «любительской команды» и предвещает появление новой парадигмы безопасности, основанной на аппаратной архитектуре, проверке намерений и профессиональном кастоди. Только укрепив эту линию обороны, Web3 сможет по-настоящему нести будущее триллионного масштаба.
