Drift Protocol был взломан на сумму 285 млн долларов: уязвимость «божественного ключа» в DeFi раскрыта

Автор: Shenchao TechFlow

1 апреля, День дурака.

Крупнейшая биржа перпетуальных контрактов на блокчейне Solana, Drift Protocol, сейчас опустошается, и первой реакцией сообщества стало: «Отличный розыгрыш на День愚人节».

Это не шутка. Примерно в 13:30 цепочка мониторинговых аккаунтов Lookonchain и PeckShield почти одновременно подняли тревогу: незнакомый кошелек, начинающийся с «HkGz4K», с невероятной скоростью извлекал активы из казны Drift. Первая транзакция — 41 миллион токенов JLP, стоимостью 155 миллионов долларов США. Сразу после этого — 51,6 миллиона USDC, 125 тысяч WSOL, 164 тысячи cbBTC... Десятки активов, как вода из ванны с вынутой пробкой, хлынули наружу.

Один час. Активы казны упали с 309 миллионов долларов до 41 миллиона. Более половины TVL испарилось.

Команда Drift опубликовала твит на X с необычно настойчивой формулировкой: «Drift Protocol подвергается активной атаке. Внесение и вывод средств приостановлены. Мы координируем действия с несколькими компаниями по кибербезопасности, мостами и биржами для контроля ситуации».

Затем следует фраза, которая навсегда войдет в историю криптовалют: «Это не розыгрыш на 1 апреля».

Сумма украденных средств у Drift варьируется в разных источниках. PeckShield оценивает её примерно в 285 миллионов долларов США, Arkham — более чем в 250 миллионов, а предварительная оценка CertiK составляет около 136 миллионов. Однако независимо от того, какая цифра окажется верной, это крупнейший инцидент безопасности в DeFi с начала 2026 года.

Более важным, чем цифры, является метод атаки.

Основатель PeckShield Цзян Сюсюань прямо заявил Decrypt: «Административный закрытый ключ Drift был явно скомпрометирован или взломан». Анализ, проведенный исследователями блокчейна, показал, что хакеры получили привилегированный доступ к протоколу Drift и смогли контролировать потоки средств из хранилища.

Другими словами, никаких изощренных эксплуатаций уязвимостей смарт-контрактов, никаких атак с использованием молниеносных кредитов, никакого манипулирования оракулами. Просто самая примитивная, самая старая ошибка в безопасности — кто-то потерял свой приватный ключ.

Более тревожная деталь: атакующие действовали не импульсивно. Цепные данные показывают, что этот кошелек получил начальное финансирование через Near Intents за 8 дней до атаки, после чего находился в состоянии бездействия. За неделю до атаки он даже получил небольшой перевод в размере 2,52 доллара США из хранилища Drift — проверка, «стук в дверь».

Через неделю дверь была выломана.

Для сооснователя Drift Синди Лью 1 апреля стал кошмаром с особо жестоким подтекстом.

История этого малайзийского китайского предпринимателя когда-то была одной из лучших вдохновляющих историй Solana DeFi. Начав в 2016 году с арбитража биткоина между Китаем и Южной Кореей, он занимался собственным фондом, вносил вклад в проекты деривативов на Ethereum, а в 2021 году вместе с Дэвидом Лю создал Drift, сделав ставку на скорость Solana для овернайт-контрактов в цепочке.

С точки зрения временной шкалы, Drift почти идеально уловила каждый тренд. В 2024 году получила два раунда финансирования во главе с Polychain и Multicoin на общую сумму 52,5 миллиона долларов. Запустила прогнозный рынок в конкуренции с Polymarket, представила плечо 50x, TVL превысила 5,5 миллиарда долларов, а совокупный объем торгов превысил 50 миллиардов. В интервью Fortune Лео занял амбициозную позицию: создать «криптоверсию Robinhood».

Эта метафора сейчас звучит по-разному. Основная идея Robinhood — предоставить обычным людям доступ к финансовым инструментам Уолл-стрит. Основная идея Drift — предоставить пользователям «некастодиальный» опыт торговли в цепочке, когда ваши деньги не проходят через руки никого, а взаимодействуют только с кодом.

Но за кодом скрывается администраторский ключ, и безопасность этого ключа в конечном итоге зависит не от криптографии, а от людей.

Здесь также есть ещё одно болезненное историческое совпадение. В 2022 году, в эпоху Drift v1, уже происходил инцидент с опустошением казны. После этого команда подготовила чрезвычайно подробный технический отчёт и даже опубликовала код концепт-доказательства, демонстрирующий, как злоумышленник смог опустошить всю казну в рамках одной транзакции. Убытки от того инцидента составили 14,5 миллиона долларов, и команда полностью возместила пользователям за счёт собственных средств.

Четыре года спустя тот же кошмар разыгрался в 20 раз масштабнее.

Отойдите немного от Drift, и вы заметите, что формируется неудобная закономерность.

В начале 2025 года сервис управления ключами AWS Resolv Labs был взломан; злоумышленники с помощью привилегированных ключей одобрили масштабную операцию по чеканке стабильной монеты USR, что вызвало цепную реакцию потерь на нескольких платформах. В том же году, за весь 2025 год, общая сумма криптовалютных краж достигла рекордных 3,4 млрд долларов США, и отчет Chainalysis особо отметил смену тенденции: самые разрушительные инциденты происходили на уровне инфраструктуры. Взломанные машины разработчиков, единственные ключи чеканки, хранящиеся в облаке, и фишинговые атаки на процессы подписи — именно они стали настоящими черными дырами, поглощающими средства.

Теперь добавьте Drift.

Если рассмотреть эти случаи вместе, вывод неизбежен: безопасность приватных ключей заменила уязвимости смарт-контрактов в качестве крупнейшего системного риска для DeFi.

Здесь существует когнитивный разрыв, достаточный для того, чтобы поглотить десятки миллиардов долларов.

Дефи-протоколы рассказывают внешней аудитории о «децентрализации», «неконтролируемости» и «отсутствии необходимости доверять». Ваши активы хранятся кодом, и никто не может получить доступ к вашим деньгам. Пользователи восприняли эту историю, положили свои средства в эти протоколы и думают: «Я имею дело с математикой».

Но на практике почти каждый работающий DeFi-протокол имеет одну или несколько «божественных ключей»: админ-ключ, права на обновление, контроль над казной, аварийный стоп-кран. Наличие этих ключей иногда обусловлено безопасностью (возможностью экстренной остановки при возникновении проблем), а иногда — гибкостью (возможностью обновления логики смарт-контракта), но их суть одна и та же: централизованный пункт доверия, спрятанный за нарративом децентрализации.

Пользователи думают, что взаимодействуют с кодом. На самом деле, они доверяют одному человеку или небольшой группе людей, которые не допустят ошибок, не станут жертвами фишинга, не будут запуганы и не оставят ноутбук в кафе ночью.

Это не проблема, присущая только Drift, а структурный противоречие всего DeFi-сектора.

Куда делись 285 миллионов долларов США?

Действия злоумышленника в цепочке были точными и спокойными, как у профессионала.

После извлечения активов из хранилища Drift он быстро обменял большую часть токенов на стабильные монеты, а затем перевел средства на сеть Ethereum через мост Wormhole. На Ethereum он использовал часть стабильных монет для покупки примерно 19 913 ETH (на сумму около 42,6 млн долларов США), а остальные средства распределил между несколькими адресами кошельков.

Есть абсурдная деталь: кошелек злоумышленника также содержит большое количество Fartcoin, составляющее около 2,5% от общего предложения этого токена. Хакер, только что совершивший крупнейшую кражу в DeFi за год, держит в руках кучу мем-монет, названных в честь отрыжки.

На момент публикации материала депозиты и выводы средств на Drift остаются приостановленными, а токен DRIFT упал с примерно 0,072 доллара до около 0,05 доллара, что составляет падение более чем на 28%. По сравнению с историческим максимумом в 2,60 доллара, общее падение превышает 98%. Кошелек Phantom уже показывает предупреждение пользователям, пытающимся получить доступ к Drift.

Команда Drift сообщает, что сотрудничает с компаниями по кибербезопасности, операторами мостов между блокчейнами и централизованными биржами, пытаясь заморозить и отследить похищенные средства. Однако, если судить по опыту прошлого, вероятность возврата средств, переведенных через мосты между блокчейнами и распределенных между несколькими кошельками, не оптимистична.

Drift этим ударом задел самую болезненную рану отрасли.

В отчете Chainalysis за конец 2025 года было с оптимизмом отмечено, что безопасность DeFi достигла «существенного прогресса»: несмотря на то, что TVL удвоился и вернулся к уровню 119 миллиардов долларов, потери от хакерских атак на DeFi снизились. Пример Venus Protocol был приведен как положительный кейс: система мониторинга безопасности обнаружила аномалии за 18 часов до атаки, протокол оперативно приостановил работу, механизм управления заморозил средства злоумышленника, и сам злоумышленник понес убытки.

Drift подрывает этот «нарратив прогресса». Вы можете провести идеальный аудит смарт-контрактов, развернуть передовые системы мониторинга в цепочке, но как только админский ключ будет скомпрометирован через социальную инженерию, фишинг или перебор — вся инфраструктура безопасности окажется как замок, построенный на песке.

Дефи-индустрия должна остановиться и честно ответить на вопрос: когда вы говорите пользователям «неконтролируемый», что вы имеете в виду?

Если админ-ключ протокола может в любое время перевести все активы из хранилища, в чем разница между этим и хранением денег на банковском счете незнакомого человека? По крайней мере, у банка есть страховка, регулирование и правовые средства защиты.

Возможно, ответ не в отмене этих административных прав — во многих случаях их наличие необходимо. Но по крайней мере, отрасль должна перестать притворяться, что их не существует. Многоподписные решения, таймлоки, аппаратные модули безопасности, смена ключей… эти технологические решения существуют уже много лет, но слишком много протоколов по-прежнему связывают безопасность сотен миллионов долларов с бдительностью одного-двух человеческих операторов.

Мечта о «криптоверсии Robinhood» прекрасна. Но прежде чем её реализовывать, возможно, стоит сначала ответить на более фундаментальный вопрос: кто хранит этот ключ?