Principais Insights
- O Drift Protocol esclarece que o ataque recente envolveu o atacante utilizando um nonce durável.
- O hacker roubou mais de US$ 280 milhões em cripto do protocolo usando aprovações pré-assinadas.
- O ataque foi bem planejado, com o hacker obtendo acesso primeiro em 23 de março.
O Drift Protocol atribuiu o recente exploit de US$ 280 milhões a um ataque envolvendo nonces duráveis. Em uma postagem confirmando o incidente, a plataforma DeFi baseada na Solana descreveu o ataque como uma abordagem “novel” que permitiu ao hacker assumir o controle do poder administrativo do Drift Security Council.
No momento do incidente, que ocorreu em 1º de abril, a exchange descentralizada pausou depósitos e saques. Foi posteriormente descrito como um ataque complexo e sofisticado. Críticas seguiram o incidente, que é o maior crypto hack de 2026.
Atacante explorou o nonce durável para pré-assinar aprovações
Os sinais do hack foram detectados pela primeira vez no início de 1º de abril, quando os fundos foram transferidos do cofre da carteira DEX para um endereço Solana. Isso começou com 41 milhões de tokens JLP, seguidos por outros tokens.
O incidente gerou especulações sobre como o atacante obteve acesso aos cofres do Drift Protocol, com muitos sugerindo que poderia ter sido uma violação da chave privada. O plataforma DeFi agora esclareceu, afirmando que envolveu nonces duráveis.
Disse:
Esta foi uma operação altamente sofisticada que parece ter envolvido preparação de várias semanas e execução em etapas, incluindo o uso de contas nonce duráveis para pré-assinar transações que atrasaram a execução.
Nonces duráveis são um recurso do Solana que permite que transações persistam sem expirar. Isso permite que os usuários criem transações atrasadas, realizem assinaturas offline e enviem transações pré-assinadas posteriormente.
De acordo com o relatório preliminar do protocolo, o ataque não ocorreu devido a qualquer falha em seu contrato inteligente ou comprometimento de frases semente. Em vez disso, o atacante obteve aprovações de transação não autorizadas ou mal representadas usando nonces duráveis e engenharia social.
Essas aprovações foram posteriormente usadas para executar a exploração que afetou vários protocolos dentro do ecossistema Solana. Piggybank_fi, Ranger Finance, TradeNeutral, Elemental DeFi, Reflect Money e outros confirmaram exposição mínima ou pausaram depósitos.
Enquanto isso, o incidente causou uma queda de 5% no valor do Solana, com o token caindo até $78 mais cedo hoje. A redução trouxe mais pressão para o SOL, que já caiu 37% este ano, enquanto o token DRIFT também recuou 25%.
Ataque planejado desde março
Interessantemente, o ataque parece ter sido bem planejado. O hacker obteve acesso ao multisig do Drift já em 23 de março, quando o nonce inicial foi definido. O relatório observou que o atacante controlava duas das quatro contas de nonce criadas na época, enquanto os membros do Conselho de Segurança do Drift controlavam as outras duas.
Isso deu efetivamente ao ator da ameaça controle de 2/5 dos assinantes do multisig, que eles usaram para assinar transações vinculadas a contas de nonce duráveis, permitindo execução atrasada. Eles continuaram a manter esse multisig mesmo quando ocorreu outra migração de multisig em 27 de março devido a uma mudança na composição do conselho.
Antes da exploração, o atacante realizou um saque de teste do fundo de seguro. Posteriormente, concluiu um Takeover Administrativo, durante o qual executou transações com nonce durável pré-assinadas.
O protocolo disse:
Este ataque foi possibilitado por uma combinação de transações com nonce durável pré-assinado, permitindo execução atrasada (e) comprometimento das aprovações de múltiplos assinantes de multisig, provavelmente por meio de engenharia social direcionada ou representação incorreta de transações.
Embora tenha afirmado que está coordenando com empresas de segurança, autoridades policiais e outros stakeholders para rastrear e congelar ativos roubados, está atraindo críticas. Muitos usuários observaram que os 2/5 necessários para aprovar uma transação são muito imprudentes e permitiram o ataque.
A postagem Solana-based Drift Protocol Blames $270 Million Hack on ‘Durable Nonce’ apareceu pela primeira vez em The Market Periodical.