Principales conclusiones
- Drift Protocol aclara que el ataque reciente involucró al atacante utilizando un nonce duradero.
- El hacker robó más de $280 millones en cripto del protocolo utilizando aprobaciones presignadas.
- El ataque fue bien planificado, con el hacker obteniendo acceso primero el 23 de marzo.
Drift Protocol ha atribuido el reciente exploit de $280 millones a un ataque que involucró nonces duraderos. En una publicación que confirma el incidente, la plataforma DeFi basada en Solana describió el ataque como un enfoque ‘novedoso’ que permitió al hacker asumir el control del poder administrativo del Consejo de Seguridad de Drift.
En el momento del incidente, que ocurrió el 1 de abril, el exchange descentralizado suspendió los depósitos y retiros. Posteriormente se describió como un ataque complejo y sofisticado. Tras el incidente han surgido críticas, el cual es el mayor crypto hack de 2026.
El atacante explotó el nonce duradero para prefirmar aprobaciones
Las señales del hack se detectaron por primera vez a principios del 1 de abril, cuando los fondos se transfirieron desde la bodega de monedero del DEX a una dirección de Solana. Esto comenzó con 41 millones de tokens JLP, seguido de otros tokens.
El incidente generó especulaciones sobre cómo el atacante obtuvo acceso a las bodegas de Drift Protocol, con muchos sugiriendo que podría haberse tratado de una compromisión de la clave privada. El plataforma DeFi ha aclarado ahora, indicando que involucró nonces duraderos.
Decía:
Esta fue una operación altamente sofisticada que parece haber involucrado una preparación de varias semanas y una ejecución por etapas, incluyendo el uso de cuentas nonce duraderas para pre-firmar transacciones que retrasaron la ejecución.
Los nonces duraderos son una función de Solana que permite que las transacciones persistan sin expirar. Esto permite a los usuarios crear transacciones programadas, realizar firmas fuera de línea y enviar transacciones firmadas previamente más tarde.
Según el informe preliminar del protocolo, el ataque no se debió a ningún error en su contrato inteligente ni a la compromisión de frases semilla. En cambio, el atacante obtuvo aprobaciones de transacciones no autorizadas o mal representadas utilizando nonces duraderos y ingeniería social.
Estas aprobaciones se utilizaron posteriormente para ejecutar el exploit que afectó a varios protocolos dentro del ecosistema de Solana. Piggybank_fi, Ranger Finance, TradeNeutral, Elemental DeFi, Reflect Money y otros confirmaron una exposición mínima o pausaron depósitos.
Mientras tanto, el incidente ha provocado una caída del 5% en el valor de Solana, con el token descendiendo hasta los $78 más temprano hoy. La caída significó una mayor presión para SOL, que ya ha disminuido un 37% este año, mientras que el token DRIFT también bajó un 25%.
Ataque planeado desde marzo
Interesantemente, el ataque parece estar bien planificado. El hacker obtuvo acceso al multisig de Drift tan temprano como el 23 de marzo, cuando se estableció el nonce inicial. El informe señaló que el atacante controlaba dos de las cuatro cuentas de nonce creadas en ese momento, mientras que los miembros del Consejo de Seguridad de Drift controlaban las otras dos.
Esto les dio efectivamente al actor de amenaza el control de 2/5 de los firmantes multisig, que utilizaron para firmar transacciones vinculadas a cuentas de nonce duraderas, permitiendo la ejecución diferida. Continuaron manteniendo este multisig incluso cuando ocurrió otra migración multisig el 27 de marzo debido a un cambio en la membresía del consejo.
Antes del exploit, el atacante realizó un retiro de prueba desde el fondo de seguros. Más tarde completó un takeover de administrador, durante el cual ejecutó transacciones de nonce duradero previamente firmadas.
El protocolo dijo:
Este ataque fue posible gracias a una combinación de transacciones con nonces duraderos prefirmados, que permiten la ejecución diferida (y) la compromisión de las aprobaciones de múltiples firmantes de multisignatura, probablemente mediante ingeniería social dirigida o representación falsa de transacciones.
Aunque afirmó que está coordinando con empresas de seguridad, autoridades judiciales y otros interesados para rastrear y congelar los activos robados, está atrayendo críticas. Muchos usuarios señalaron que el requisito de 2/5 para aprobar una transacción es muy temerario y permitió el ataque.
La publicación Solana-based Drift Protocol Blames $270 Million Hack on ‘Durable Nonce’ apareció por primera vez en The Market Periodical.