#DriftProtocolHacked

$286 triệu đô la biến mất trong 12 phút. Không phải vì hợp đồng thông minh gặp lỗi. Không phải vì ai đó quên vá một phụ thuộc. Bởi vì con người tin tưởng người khác, và một trong số những người đó đang chơi một trò chơi hoàn toàn khác.

Vào ngày 1 tháng 4 năm 2026, Drift Protocol, một sàn giao dịch hợp đồng tương lai vĩnh viễn dựa trên Solana từng giữ hơn 1.5Bỷ đô la trong tổng giá trị bị khóa, đã bị rút sạch. Cuộc tấn công không bắt đầu vào ngày đó. Nó bắt đầu từ ba tuần trước, vào ngày 23 tháng 3, khi kẻ tấn công âm thầm tạo ra một bộ các tài khoản nonce bền vững trên Solana. Chi tiết này cực kỳ quan trọng, vì nonce bền vững là một tính năng hợp lệ, có chủ ý của Solana cho phép các giao dịch được ký trước và thực thi sau đó, không có hạn cuối. Kẻ tấn công đã sử dụng tính năng này như một vũ khí.

Cơ chế của những gì xảy ra tiếp theo rất có hệ thống và lạnh lùng. Hội đồng Bảo mật Drift hoạt động theo dạng đa chữ ký, nghĩa là nhiều người ký phải phê duyệt các thay đổi quản trị trước khi chúng có hiệu lực. Đây là thực hành tiêu chuẩn trong DeFi và nhằm mục đích là một biện pháp phòng ngừa. Kẻ tấn công đã xã hội hóa ít nhất hai trong số năm thành viên hội đồng để họ ký trước các giao dịch trông có vẻ bình thường. Các người ký có thể đã tin rằng họ đang phê duyệt một điều gì đó bình thường, có thể là một phần của quá trình di chuyển đa chữ ký dự kiến diễn ra vào ngày 27 tháng 3. Nhưng không phải vậy. Họ đã ký trước lệnh tử cho giao thức, sẽ được thực thi theo một bộ đếm thời gian.

Vào ngày 1 tháng 4, chuỗi đã kích hoạt chuỗi sự kiện đó. Một lệnh rút tiền thử nghiệm nhỏ đã được thực hiện trước, xác nhận các giao dịch quản trị đã ký trước sẽ được thực thi. Bốn khối Solana sau đó, khoảng 1,6 giây theo thời gian thực, quyền kiểm soát quản trị đã bị chiếm đoạt. Những gì tiếp theo là có hệ thống: các token CVT, do kẻ tấn công tạo ra và liệt kê là tài sản thế chấp hợp lệ trong bộ máy rủi ro của giao thức, đã được gửi vào. Bộ máy này, theo các quy tắc riêng của nó, đã phát hành tài sản thực dựa trên tài sản thế chấp giả mạo này. Hơn 20 vault đã bị rút sạch trong khoảng 12 phút. USDC, Bitcoin wrapped, token JLP và SOL đã chảy ra ngoài.

Số tiền bị đánh cắp đã chuyển sang Ethereum. Vào ngày 3 tháng 4, Drift đã đăng các tin nhắn trên chuỗi tới bốn địa chỉ ví Ethereum giữ số tiền thu được, mời đàm phán. Công ty phân tích blockchain Elliptic đã ghi nhận các liên kết nghi ngờ với DPRK, một mô hình phù hợp với hoạt động của nhóm Lazarus, đã thu về cho Bắc Triều Tiên ước tính 1928374656574839.25Tỷ hoặc hơn trong các vụ trộm crypto trong vài năm qua, số tiền mà các cơ quan tình báo tin rằng đang tài trợ cho các chương trình vũ khí và trốn tránh các lệnh trừng phạt.

Vào thời điểm tấn công, TVL của Drift đã sụt giảm từ 1.5Bỷ đô la xuống còn $2 triệu đô la. Token quản trị DRIFT giảm xuống mức thấp nhất mọi thời đại là $0.040, giảm hơn 41% trong 24 giờ. Người dùng của các giao thức phụ thuộc, bao gồm Pyra và Carrot, đã bị khóa khỏi quỹ mà không có thời gian rõ ràng để giải quyết.

Một số điều cần nói rõ về những gì sự kiện này tiết lộ.

Thứ nhất, liên kết yếu nhất trong an ninh DeFi vẫn là con người. Các cuộc kiểm tra hợp đồng thông minh, xác minh chính thức, chương trình thưởng lỗi, tất cả đều trở nên thứ yếu khi những người giữ chìa khóa ký có thể bị lừa đảo để sử dụng chúng. Xã hội hóa là không xa lạ; đó là phương thức tấn công cổ xưa nhất tồn tại. Ngành công nghiệp vẫn tiếp tục đầu tư chưa đủ vào đào tạo an ninh vận hành cho chính những con người thực sự giữ quyền truy cập quản trị.

Thứ hai, cấu trúc quản trị đa chữ ký không an toàn như cộng đồng nghĩ khi quá trình ký được thực hiện từ xa và không đồng bộ. Một người ký xem xét một giao dịch trên màn hình của họ, mà không có sự phối hợp thời gian thực với các người ký khác, không có xác minh độc lập về những gì mỗi giao dịch thực sự làm trên chuỗi, là một điểm yếu, chứ không phải là biện pháp bảo vệ. Cơ chế nonce bền vững đã làm tăng điều này vì nó tách rời thời điểm ký khỏi thời điểm thực thi. Các người ký không có lý do để tin rằng các giao dịch đã phê duyệt của họ sẽ thực thi sau nhiều tuần trong một bối cảnh khác.

Thứ ba, việc sử dụng tài sản thế chấp giả để rút sạch một giao thức cho vay không phải là kỹ thuật mới. Điều làm cho phiên bản này tinh vi là việc truy cập cần thiết để liệt kê tài sản thế chấp ban đầu. Đây không phải là thao túng giá oracle. Đây không phải là tấn công flash loan. Điều này đòi hỏi các quyền quản trị mà kẻ tấn công đã kiên nhẫn xây dựng trong nhiều tuần. Sự kiên nhẫn đó chính là một tín hiệu hướng tới các tác nhân cấp nhà nước, hoạt động theo các mốc thời gian và nguồn lực mà các nhóm tội phạm chỉ vì lợi nhuận hiếm khi duy trì được.

Thứ tư, tốc độ rút tiền, $247 triệu đô la qua hơn 20 vault trong 12 phút, làm nổi bật cách mô hình thực thi của Solana trở nên không thể đảo ngược khi một chuỗi bắt đầu. Không có bộ giới hạn tự động nào kích hoạt đủ nhanh. Không có thời gian để con người can thiệp. Tốc độ của chính giao thức, một trong những lợi thế được quảng cáo của nó, trở thành lợi thế vận hành của kẻ tấn công.

Điều xảy ra từ đây thường theo một kịch bản chấn thương DeFi dự đoán được. Một bài phân tích hậu sự kiện được công bố. Việc bồi thường được thảo luận và tranh luận. Một số người dùng lấy lại được phần nào quỹ. Token DRIFT ổn định ở mức thấp mới. Các giao thức cạnh tranh hấp thụ thanh khoản bị dịch chuyển. Ngành công nghiệp ghi chú, cập nhật quy trình đa chữ ký trong vài tháng, rồi sự cấp bách cũng trôi qua.

Câu hỏi khó hơn là liệu quản trị phi tập trung ở quy mô tài sản này có thực sự phù hợp về mặt cấu trúc với các thực hành an ninh cần thiết để bảo vệ người gửi tiền nhỏ lẻ hay không. Khi $286 triệu đô la quỹ người dùng có thể bị rút sạch chỉ vì hai trong số năm người đã mắc sai lầm dưới áp lực xã hội, thì sự phân quyền luôn là một phần. Rủi ro chưa bao giờ phân tán đều. Nó tập trung vào một Hội đồng Bảo mật mà hầu hết người gửi tiền có thể không biết tồn tại, các thành viên của họ không thể xác minh, và quy trình ký của họ không rõ ràng.

Điều đó không phải là một chỉ trích riêng dành cho Drift. Đó là điều kiện của hầu hết các giao thức DeFi quan trọng hoạt động ngày nay.