Оповіщення про соціальну інженерію XRPL: Як хакери Drift використовують людські вразливості для обходу багатофакторних захистів

2026 年 4 月 1 日, найбільша децентралізована біржа безстрокових контрактів у екосистемі Solana Drift Protocol була викрадена приблизно на 285 мільйонів доларів США активів користувачів менш ніж за 12 хвилин, ставши другою найбільшою безпековою подією в історії Solana. Лише за кілька днів на соціальних мережах валідатор XRP Ledger Vet опублікував попередження: це напад є важливим уроком для розробників екосистеми XRP — подібні загрози соціальної інженерії можуть прийти в будь-яку криптомережу.

Як розсипати мультипідписні захисти за допомогою шестимісячної «операції з розвідки»?

Суть атаки Drift полягає не в уразливості смартконтракту, а в структурованій кампанії соціальної інженерії, що тривала пів року. Згідно з офіційним розслідуванням Drift, атакувальники почали розгортання ще восени 2025 року: вони видавали себе за представників компаній з кількісної (квантової) торгівлі та контактували з учасниками Drift на кількох міжнародних конференціях з криптовалют. Протягом наступних шести місяців вони вибудовували приватні стосунки з ціллю, брали участь у очних зустрічах, створювали Telegram-групи для обговорення торгових стратегій, а також навіть вносили в скарбницю екосистеми Drift понад 1 мільйон доларів власних коштів, щоб підвищити довіру. Зрештою атакувальники завершили проникнення за двома шляхами: один учасник клонував репозиторій зловмисного коду, що використовував відому вразливість у VSCode; інший учасник завантажив зловмисний застосунок під назвою «wallet product» (продукт гаманця) у вигляді шкідливого TestFlight-додатку.

Чому «зловживання законною функціональністю» у технічних методах стало ключовим проривом?

Атакувальники не зламали жодного приватного ключа чи вади коду. Справжній прорив стався завдяки функції Solana «durable nonce» — вона дозволяє попередньо підписаним транзакціям зберігати чинність навіть через кілька тижнів. Після отримання через соціальну інженерію авторизації від підписантів мультипідпису атакувальники завчасно попередньо підписали зловмисні транзакції, а коли отримали достатні повноваження, виконали їх миттєво, лишивши захисникам практично нульовий час на реакцію. Варто зазначити, що в мультипідписній архітектурі Drift таймлок встановлено на нуль секунд: це означає, що щойно двоє підписантів схвалять транзакцію, вона може бути виконана одразу, ще більше розширюючи вікно атаки. Після інциденту Drift підкреслив, що всі учасники мультипідпису використовують холодні гаманці, але це все одно не змогло зупинити атаку — це демонструє, що коли атака «входить» у людський шар, навіть суворий апаратний контроль може бути обійдений.

Чому валідатор XRP Ledger зробив спеціальне попередження щодо загроз між екосистемами?

Попередження валідатора XRP Ledger Vet не є загальними словами. Він зазначив, що всі ключові проєкти, пов’язані з XRP, мають операційні облікові записи, дозволи на злиття репозиторіїв коду та облікові дані для бекенд-систем, і «лише достатньо обережні люди можуть вижити». Vet також особливо наголосив на двох структурних факторах, які масштабують ризик для XRPL: по-перше, кількість розробників, що створюються проєктами, написаними за допомогою підходу «environmental coding» (кодування «за настроєм/шаблонами»), постійно зростає, і безпекова обізнаність та операційні норми важко гарантувати; по-друге, офлайн-активності для XRP стають дедалі частішими, створюючи природні сценарії для контактів при соціально-інженерних атаках. Ці характеристики дуже добре збігаються з тактикою атакувальників у Drift, які вибудовували довіру через очні зустрічі.

Межа довіри on-chain та off-chain розмивається і стає захисною «сліпою зоною» всієї індустрії?

Віталік Бутерін раніше вказував, що криптографічний захист блокчейну обмежується консенсусним рівнем, тоді як поза-ланцюгові активності, як-от подача даних оракула, управлінські рішення та повторне стейкінгування (re-staking), цілком залежать від чесності валідаторів, а не примусового виконання алгоритмами. Інцидент Drift є реальним підтвердженням цього твердження: атакувальники не зламали сам блокчейн, а зламали «людей» — рішення та дії підписантів мультипідпису. У екосистемі XRPL валідатори як ключові вузли мережевого консенсусу мають ту ж саму протяжність межі безпеки і для off-chain: безпека керування операційними обліковими записами, захист облікових даних бекенд-системи, права на злиття репозиторіїв коду — усі ці «ланки довіри поза ланцюгом», якщо вони зазнають поразки, безпека ончейн-активів більше не існуватиме.

Коли державні хакери сприймають соціальну інженерію як звичайну зброю, як має підвищитися рівень захисту в міжекосистемній системі?

Інцидент Drift було віднесено до «середньо-високої» довіри, пов’язаної з державною хакерською організацією UNC4736, яка має зв’язки з КНДР; ця група раніше в жовтні 2024 року організовувала атаку, що призвела до втрат Radiant Capital у розмірі 58,00 млн доларів США. Потоки коштів для тестування, тактики виконання — усе в цій операції має впізнавані збіги з попередніми справами. Це означає, що DeFi-протоколи більше не стикаються лише з ізольованими хакерами-одинаками, а з професійними організаціями, які мають підтримку на рівні державних ресурсів і можуть безперервно вкладати зусилля протягом місяців у «людські розвідувальні» операції. Попередження валідатора XRPL по суті нагадує всій індустрії: міжекосистемні безпекові загрози більше не є припущенням — це вже реальність, що поширюється.

Чи закладають кросчейн тренди безпеки 2026 року ґрунт для наступної великомасштабної атаки?

У 2025 році понад 2,01 млрд доларів США викрадених коштів було відмивано через кросчейн-мости, що становить 49,75% від усіх втрат за рік. У події Drift атакувальники перевели більшу частину викрадених коштів із Solana в Ethereum через протокол кросчейн-переказів Circle, а далі додатково конвертували в ETH. Складність механізмів верифікації кросчейн-мостів і різнорідні стандарти безпеки в індустрії стають ключовою прихованою загрозою, що може дестабілізувати криптоекосистему. Для XRPL, з посиленням кросчейн взаємної сумісності, подібні канали переказу коштів також можуть перетворитися на для атакувальників «шосе» для відмивання та втечі.

Від попередження валідаторів до індустрійного осмислення: чи потрібно змістити фокус оборони з «технічного укріплення» на «операційну безпеку»?

Найглибший висновок інциденту Drift полягає в тому, що традиційна оборонна парадигма, яка спирається на «аудит коду + мультипідписне управління», демонструє структурний провал, коли з’являється змінна «людина». «Лише достатньо обережні люди можуть вижити» — це не перебільшення, а серйозне нагадування про операційну безпеку, яке висунув валідатор XRP Ledger Vet. З точки зору стратегії оборони, індустрії, можливо, потрібно оновити захист у трьох вимірах: перше, валідатори та ключові учасники мають створити спеціальні механізми навчання щодо розпізнавання атак соціальної інженерії; друге, у дизайні мультипідписної архітектури потрібно запровадити примусові вікна очікування на кшталт «часових замків (timelock)», щоб заблокувати миттєві «проксі-вікна» для попередньо підписаних транзакцій; третє, обмін інформацією між екосистемами та співпраця в контексті threat intelligence мають бути більш інституціоналізованими, щоб тривоги однієї екосистеми могли швидко доходити до інших мереж.

Підсумок

Попередження валідатора XRP Ledger щодо загрози соціальної інженерії, випущене проти тактик атак Drift, не є ізольованою подією всередині конкретної екосистеми — це стрес-тест для всієї системи безпекового захисту криптоіндустрії. Коли державні хакерські організації поєднують соціальну інженерію зі зловживанням «законними функціями протоколів», а «довіра off-chain» стає більш вразливою ланкою, ніж уразливості смартконтрактів, будь-який окремий екосистемний периметр захисту може зруйнуватися через помилкове рішення одного учасника. Напрям протидії з боку індустрії не має обмежуватися виправленнями на рівні технологій — необхідна системна перебудова також у сфері культури операційної безпеки, резервування механізмів управління та міжекосистемного узгодженого раннього попередження.

Часті запитання

Питання: Що таке функція «durable nonce» (стійкий nonce)? Чому її використовують атакувальники?

Durable nonce — це легальна функція в протоколі Solana, яка дозволяє транзакціям використовувати фіксований аккаунт із випадковим значенням замість хешу блоку, що може застаріти, завдяки чому попередньо підписані транзакції можуть залишатися чинними протягом кількох тижнів. Після отримання через соціальну інженерію авторизації від підписантів мультипідпису атакувальники використовують цю функцію для попереднього підписання зловмисних транзакцій, а потім виконують їх миттєво, щойно отримують достатні повноваження, обходячи обмеження часових вікон у традиційному мультипідписному механізмі.

Питання: Чи існують у екосистемі XRP Ledger структурні вразливості, подібні до Drift?

Валідатор XRP Ledger Vet зазначив, що в екосистемі XRPL ключові проєкти загалом мають дозволи на керування операційними обліковими записами та дозволи на злиття репозиторіїв коду, що відповідає подібним ризиковим патернам із «пристроями учасника», які були скомпрометовані в атаці Drift. Крім того, збільшення кількості офлайн-заходів у XRPL забезпечує більше контактних сценаріїв для атак соціальної інженерії.

Питання: Як валідатори можуть запобігати подібним атакам соціальної інженерії?

Ключові заходи включають: створення середовищ для операцій з багатофакторною автентифікацією та апаратною ізоляцією; сувору перевірку клонування репозиторіїв коду; побудову системи навчання для розпізнавання атак соціальної інженерії; запровадження обов’язкових time-lock у мультипідписному управлінні; а також регулярну ротацію й аудит критичних дозволів.

Питання: Яку роль відіграють кросчейн-мости в безпекових інцидентах?

Кросчейн-мости — один із ключових каналів для відмивання коштів сучасними хакерами. У події Drift понад 230M доларів США викрадених коштів було переміщено через протоколи кросчейн-передачі з Solana в Ethereum. Складність механізмів верифікації кросчейн-мостів та неоднорідність стандартів безпеки роблять їх важливим інструментом для атакувальників під час переказу та приховування коштів.

Питання: Який вплив цей інцидент має на ринкові показники XRP?

Станом на 7 квітня 2026 року, за даними котирувань Gate, поточна ціна XRP становить 1,312 USD. Ця стаття не надає прогнозу ціни, тож користувачам слід самостійно оцінити відповідні ризики.