Drift Protocol bị tấn công mất hơn 280 triệu USD, vụ tấn công DeFi lớn nhất trên Solana năm 2026

Bản gốc | Odaily Star Daily (@OdailyChina)

Author｜Wenser（@wenser 2010）

Xung đột ở Trung Đông vẫn chưa lắng dịu, một cuộc tấn công bảo mật quy mô vượt quá 200 triệu USD lại một lần nữa khiến cộng đồng tiền mã hóa chấn động.

Vào ngày 1 tháng 4, nhân dịp Ngày Cá tháng Tư, Drift Protocol — giao thức phái sinh hàng đầu trong hệ sinh thái Solana — đã chơi một “trò đùa” không giống trò đùa nào: chỉ một tuần trước, họ vừa cập nhật ví đa chữ ký chỉ cần 2/5 chữ ký và không thiết lập thời gian khóa; một tuần sau, hơn 280 triệu USD tài sản liên quan đến JLP đã bị đánh cắp. Điều này khó có thể không khiến người ta nghi ngờ liệu có sự lừa dối từ bên trong hay không.

Tin mới nhất, Drift chính thức đăng bài xác nhận đã bị tấn công chủ động và đã tạm dừng tất cả các thao tác nạp/rút vốn trên toàn nền tảng; nhiều dự án có khả năng bị ảnh hưởng đã rõ ràng tuyên bố: “Đây không phải là trò đùa ngày Cá tháng Tư.”

Một ghi chú nghe như lời đùa, nhưng có thể đang phơi bày cú đánh nặng nề khác vào hệ sinh thái DeFi của Solana.

Khảo sát ban đầu cho thấy phương thức tấn công là chiếm quyền quản trị và lỗ hổng thực thi đa chữ ký.

Người sáng lập SlowMist, Yu Xian, đăng bài cho biết: “Một tuần trước, Drift đã chuyển sang mô hình đa chữ ký 2/5 không có thời gian khóa (Odaily Planet Daily lưu ý: tức là các thao tác có thể được thực hiện ngay lập tức), bao gồm 1 địa chỉ ví cũ và 4 địa chỉ ví ký tên mới. Kẻ tấn công đã chiếm quyền quản lý vài giờ trước, đúc tiền giả CVT, thao túng oracle, vô hiệu hóa các cơ chế bảo mật liên quan và rút sạch tài sản trong hồ sơ.”

Thông tin trên chuỗi cho thấy, kẻ tấn công trước tiên mua 417,2 triệu đơn vị Jupiter Liquidity Token (JLP), trị giá khoảng 155,6 triệu USD, sau đó nhanh chóng chuyển khoản lớn USDC và các token khác, rồi chuyển tiền qua chuỗi sang Ethereum để mua khoảng 19.913 ETH, tương đương khoảng 42,6 triệu USD.

Toàn bộ quá trình bao gồm khoảng 11 giao dịch lớn, bao gồm:

• 51,610,000 USDC, trị giá khoảng 51,620,000 USD;
• 125.000 WSOL, trị giá khoảng 10,45 triệu USD;
• 164.000 cbBTC, trị giá khoảng 11,29 triệu USD.
• Địa chỉ ví hacker: HkGz4KmoZ7Zmk7HN6ndJ31 UJ1qZ2qgwQxgVqQwovpZES.

Trong vài phút ngắn ngủi, tổng tài sản kho bạc của Drift đã giảm mạnh từ 309 triệu USD xuống còn 41 triệu USD.

Khoảng 3 giờ sáng, Drift chính thức thông báo đã bị tấn công và đồng thời công bố hợp tác với nhiều công ty an ninh, cầu liên chuỗi và sàn giao dịch để ứng phó chung.

Lý do cuộc tấn công: Chính thức chưa kết luận, rò rỉ khóa riêng của quản trị viên có thể là nguyên nhân chính

Hiện tại, Drift chính thức chưa công bố nguyên nhân chính của cuộc tấn công này.

Cơ quan an ninh PeckShield nhận định rằng khóa quản trị của Drift Protocol rất có thể đã bị rò rỉ hoặc bị xâm nhập, với kẻ tấn công sử dụng quyền truy cập đặc quyền để thao túng kho tiền của giao thức. Phán đoán này xác định cuộc tấn công là sự xâm phạm ở cấp độ quyền hạn, chứ không phải do lỗ hổng mã hợp đồng thông minh.

Ngoài ra, tin tức từ cộng đồng cho biết, kẻ tấn công có thể đã thao túng các tham số tài sản thế chấp để nhân tạo nâng cao giá trị của một số tài sản ít thanh khoản, sau đó vay các đồng tiền có giá trị cao hơn để thực hiện việc đánh cắp tiền trong kho. Con đường này có sự tương đồng cao với các mô hình tấn công quản trị DeFi trước đây. Hiện tại, các cơ quan điều tra chưa loại trừ khả năng xảy ra lỗ hổng hợp đồng thông minh hoặc thao túng oracle, và cuộc điều tra vẫn đang tiếp diễn.

Đáng chú ý là ví Solana mà kẻ tấn công sử dụng chỉ được nạp ban đầu 1 SOL vào tuần trước và trước đó từng nhận một khoản chuyển tiền thử nghiệm nhỏ khoảng 2,52 đô la từ kho Drift, cho thấy kẻ tấn công có thể đã ẩn nấp từ trước và hoàn thành xác minh quyền hạn trước khi tiến hành hành động chính thức. Ngoài ra, nguồn vốn của địa chỉ liên quan đến kẻ tấn công Drift đến từ Backpack, có thể để lại manh mối liên quan đến KYC.

Phản ứng thị trường: Đồng DRIFT giảm 28%, SOL chịu áp lực ngắn hạn

Sau khi tin tức về vụ đánh cắp Drift lan truyền, thị trường rơi vào tình trạng hoảng loạn, DRIFT và SOL nhanh chóng giảm mạnh.

Đồng tiền gốc của Drift Protocol DRIFT giảm hơn 38% trong 24 giờ, hiện đang giao dịch ở mức khoảng 0,042 USD, giảm hơn 98% so với mức cao lịch sử 2,60 USD vào tháng 11 năm 2024. Giá SOL cũng giảm theo sau tin tức, hiện đã rơi xuống dưới 80 USD, giảm gần 5% trong 24 giờ, đang giao dịch ở mức 78,6 USD.

Phantom wallet đã hiển thị cảnh báo rủi ro chủ động cho người dùng cố gắng truy cập giao thức Drift; các công ty niêm yết quỹ Solana là Forward Industries và DeFi Development Corp cũng đã lên tiếng xác nhận rằng nguồn vốn của họ không bị ảnh hưởng bởi cuộc tấn công này.

Theo thống kê bài đăng của KOL tiền điện tử @lugeweb3 được đăng, các dự án chịu tổn thất rõ ràng hoặc ảnh hưởng nghiêm trọng do sự kiện Drift bị đánh cắp bao gồm:

• @piggybank_fi: 106.000 USD đã bị đánh cắp, đội ngũ đang bổ sung thanh khoản để bù đắp tổn thất cho người dùng.
• @DeFiCarrot: Các sản phẩm Boost và Turbo không bị ảnh hưởng, nhưng toàn bộ hệ thống bị ảnh hưởng bởi lỗ hổng, đã tạm dừng chức năng đúc tiền/đổi tiền.
• @uselulo: Tiền gửi truyền thống có thể bị ảnh hưởng (tiền gửi được bảo vệ và tăng cường không bị ảnh hưởng).
• @reflectmoney: Tất cả các đợt phát hành thêm/đền bù của USDC+ và USDT+ đã bị đóng băng.
• @project0: Việc vay vốn với tài sản đảm bảo là thị trường Drift đã bị tạm dừng.
• @ranger_finance: Việc nạp/rút rgUSD đã bị tạm dừng, 900.000 USD trong tổng TVL 14,6 triệu USD trên Drift đã bị phong tỏa.
• @elementaldefi: Các khoản SOL và vốn cho vay được gửi vào Drift đã bị phong tỏa (vốn USDC và ONYC an toàn).
• @TradeNeutral: Tất cả các quỹ liên quan đến Drift (JLP, siêu staking BTC/ETH/SOL, Hyper JLP, v.v., tổng TVL 3,6 triệu USD) có thể bị ảnh hưởng, việc gửi/rút tiền bị tạm dừng.
• @xplaceapp: Không thể thực hiện gửi/rút tiền, chế độ tín dụng và các tính năng vay đang bị vô hiệu hóa.
• @GetPyra: Nguồn vốn bị ảnh hưởng, tất cả các chức năng thẻ đã bị tạm dừng.
• @ExponentFinance: Các giao dịch liên quan đến USDC+ đã bị tạm dừng.
• @fusewallet: Việc gửi tiền đã bị tạm dừng.
• @perena: Các stablecoin không bị ảnh hưởng, nhưng việc hoàn tiền đã bị tạm dừng; JLP Vault trên Neutral Trade (TVL 512.000 USD) có thể bị ảnh hưởng.

Các dự án đã được tuyên bố rõ ràng là không bị ảnh hưởng:

• @JupiterExchange
• @kamino
• @UnitasLabs
• @onrefinance
• @solflare
• @hylo_so
• @MarinadeFinance
• @synatraxyz
• @solsticefi
• @defidevcorp
• @jito_sol
• @MeteoraAG
• @sanctumso
• @wormhole

Theo ước tính quy mô, sự kiện này có thể trở thành một trong những sự kiện bảo mật DeFi lớn nhất trong hệ sinh thái Solana kể từ cuộc tấn công vào cầu chuyển mạch Wormhole.

Trước sự kiện Drift, TVL của nó vào khoảng 550 triệu USD, vụ tấn công này gây tổn thất trực tiếp lên tới 285 triệu USD, quy mô tổn thất cao nhất trong tất cả các sự kiện bảo mật DeFi kể từ đầu năm 2026. Đáng chú ý, tổng tổn thất do các cuộc tấn công DeFi trong tháng Ba vào khoảng 52 triệu USD, bao gồm 20 sự kiện chính; giờ đây, chỉ riêng sự kiện bảo mật Drift đã nâng con số tổn thất trong nửa đầu năm lên một cấp độ mới.

Không thể phủ nhận, sự kiện Drift bị đánh cắp một lần nữa cảnh tỉnh ngành DeFi về lời cảnh báo quen thuộc nhưng không bao giờ lỗi thời — ngoài an toàn mã nguồn, an toàn vận hành cũng mang tính chất tử thần; nếu cuối cùng xác định nguyên nhân bị đánh cắp là do rò rỉ khóa riêng của quản trị viên, điều này sẽ lại xác nhận một lần nữa: dù việc kiểm toán mã có hoàn hảo đến đâu, yếu tố con người vẫn luôn là điểm yếu nhất trong an toàn trên chuỗi.

Cuối cùng, Odaily Planet Daily nhắc nhở người dùng: trước khi Drift công bố báo cáo điều tra đầy đủ và đưa ra giải pháp rõ ràng, đừng gửi tiền hoặc tương tác với giao thức.