#DriftProtocolHacked

#Gate广场四月发帖挑战
這場耗時六個月的 $285 百萬盜案
2026年4月1日本應該是一個笑話。這個日期讓 Drift Protocol 的第一篇貼文看起來不真實，當時他們確認平台正遭受攻擊。到消息發布時，損失已經無法挽回。已經有 $200 百萬和 $285 百萬被提取。這不是智能合約漏洞或匆忙部署的結果，而是一場持續數月、精心策劃的社交工程攻擊。攻擊者參加會議、建立關係、存入資金，並將自己塑造成可信賴的參與者，然後才執行最後的行動。當他們出手時，資金在幾分鐘內被抽走。
Drift Protocol 是什麼？ 以及它的風險所在
Drift Protocol 是 Solana 上最大的去中心化永續期貨交易所。它允許用戶在沒有集中對手方的情況下交易槓桿頭寸。在攻擊發生時，其總鎖倉價值約為 $550 百萬。它不僅是一個主要的協議，更是 Solana DeFi 流動性的關鍵支柱。當 Drift 被攻破時，影響波及整個生態系統。TVL（總鎖倉價值）在數小時內從 $550 百萬下降到不到 $250 百萬。這並非孤立事件，還影響了多個依賴 Drift 流動性和定價結構的協議。
六個月的準備
攻擊始於數月前，當時有人假扮成量化交易公司。他們參加行業活動，與團隊成員互動，並逐步建立信任。他們向協議存入超過 $1 百萬，建立信譽。逐漸地，他們接近參與治理和基礎設施的貢獻者。攻擊是通過惡意的存儲庫和假冒錢包應用來實現的，目標是具有高級存取權的個人。等到漏洞爆發時，攻擊者已經取得了他們所需的一切。
耐用隨機數（Nonces）如何成為武器
這次攻擊的技術核心涉及 Solana 的耐用隨機數功能。通常，交易由於短暫的區塊哈希而迅速過期。耐用隨機數允許交易在較長時間內保持有效，實現延遲執行。這個功能對合法用途非常有用，但在此次漏洞中成為關鍵工具。在攻擊者攻破安全委員會成員後，他們獲得了有效簽名的交易，這些交易看似例行公事，卻是提前數週預先簽署的。由於使用了耐用隨機數，這些交易不會過期。執行時，它們具有完整授權。系統按預期運作，但背景已被操控。
資金抽走
攻擊者一旦開始執行，行動迅速。資產被有組織地抽走，以最大化價值。Jupiter 流動性池的代幣佔了很大比例，還有 USDC、包裹比特幣和 SOL。多元化降低了立即被發現和干預的可能性。幾分鐘內，數億資金已經離開協議。監控系統警示異常活動，但反應時間不足以阻止預先授權的交易。
USDC 轉移爭議
大部分資金約 $230 百萬以 USDC 形式存在。這些資金經由跨鏈基礎設施在數小時內從 Solana 轉移到以太坊，造成了一場重大爭議。發行方本可以凍結與漏洞相關的資金，但未在該時間窗口內行動。資金轉移持續進行，直到完成。這引發了對責任反應和去中心化生態系統中集中控制限制的嚴肅質疑。
市場影響
市場反應迅速。DRIFT 代幣在數小時內大幅下跌，價值幾乎腰斬。總鎖倉價值迅速崩潰，用戶紛紛撤資。超過十個基於 Solana 的協議因為暴露於 Drift 流動性而受到干擾。整個生態系統的信心受到打擊，風險在互聯平台間傳播。這次事件凸顯了 DeFi 系統的緊密聯繫。
這次攻擊揭示了什麼
這次漏洞並非源於程式碼缺陷，而是系統中依賴人為協調的信任被破壞。多簽安全模型並未被繞過，而是通過欺騙獲得的合法簽名來滿足。治理框架按預期運作，但決策層被操控。這暴露了 DeFi 的一個關鍵弱點。審計可以驗證程式碼，但無法保證授權人員不會被社交工程攻擊。
最後的話
Drift Protocol 的漏洞提供了一個明確的教訓。DeFi 的安全不僅僅是智能合約的問題，更關乎人、流程與假設。為了彈性而設計的功能，如果被濫用，可能成為攻擊的入口。治理結構的堅固程度取決於背後的人。損失 $285 百萬固然重大，但更深層的影響在於它揭示了什麼。行業必須正視人為層面漏洞遠比技術漏洞更難防禦的事實。