Взлом Drift Protocol на $285 млн: уязвимость DeFi из-за "королевского ключа"
Автор: Shenchao TechFlow. 1 апреля — День смеха. Когда стало известно, что Drift Protocol, крупнейшая на Solana биржа бессрочных фьючерсов, стремительно теряет средства, первой реакцией сообщества было: "Отличная первоапрельская шутка". Шутки не было.
Около 13:30 по времени публикации ончейн-мониторинги Lookonchain и PeckShield почти одновременно выдали тревогу: неизвестный кошелек, начинающийся с "HkGz4K", начал быстро выводить активы из казны Drift. Первая операция — 410 млн токенов JLP примерно на $155 млн. Следом ушли 51,6 млн USDC, 125 000 WSOL, 164 000 cbBTC и другие активы — десятками позиций.
За час объем средств в хранилищах упал с $309 млн до $41 млн — более половины TVL фактически исчезло. Команда Drift опубликовала в X сообщение с необычно жесткой формулировкой: "Drift Protocol подвергается активной атаке. Депозиты и вывод средств приостановлены. Мы координируемся с несколькими компаниями в сфере безопасности, кроссчейн-мостами и биржами, чтобы сдержать ситуацию". Завершалось оно фразой, которая уже разошлась по рынку: "Это не первоапрельская шутка".
Оценки ущерба расходятся. PeckShield говорит примерно о $285 млн, Arkham — о сумме свыше $250 млн, предварительная оценка CertiK — около $136 млн. Какую бы цифру ни подтвердили итоговые разборы, это крупнейший инцидент безопасности в DeFi с начала 2026 года.
Ключевой вопрос — не размер потерь, а механизм атаки. Основатель PeckShield Цзян Сюсянь заявил Decrypt: "Админ-ключ Drift очевидно был скомпрометирован или утек". По реконструкции ончейн-исследователей, злоумышленник получил привилегированный доступ к протоколу и затем управлял выводом средств из казны. Без сложных эксплойтов смарт-контрактов, без флэш-займов и манипуляций оракулами — классическая и устаревшая причина: утрата приватного ключа.
Дополнительная тревожная деталь: действия выглядят заранее подготовленными. Данные ончейна показывают, что кошелек получил стартовое финансирование через Near Intents за восемь дней до атаки и затем бездействовал. За неделю до взлома на него пришел микроперевод на $2,52 из казны Drift — похоже на "пробный стук". Через неделю "дверь" выбили.
Крах "крипто-версии Robinhood"
Для сооснователя Drift Синди Леоу (Cindy Leow) 1 апреля стало особенно жестоким ударом. История этого предпринимателя малайзийско-китайского происхождения долго считалась одной из самых вдохновляющих на Solana DeFi. В 2016 году он начинал с арбитража биткоина между Китаем и Кореей, затем управлял проп-трейдинг фондом и участвовал в деривативных проектах на Ethereum. В 2021 году вместе с David Lu он запустил Drift, сделав ставку на скорость Solana для ончейн-бессрочных контрактов.
Проект успел поймать почти все рыночные волны. В 2024 году Drift закрыл два раунда под лидерством Polychain и Multicoin на общую сумму $525 млн. Платформа запустила рынок прогнозов как конкурента Polymarket, ввела плечо до 50x, превысила $550 млн TVL и набрала более $50 млрд совокупного объема торгов. В интервью Fortune Леоу описывал цель максимально амбициозно: стать "Robinhood крипторынка". Теперь эта формулировка звучит горько.
Robinhood обещал дать частным инвесторам доступ к инструментам Уолл-стрит. Drift продавал идею "некостодиальной" ончейн-торговли: средства якобы не проходят через чьи-то руки, взаимодействие идет только с кодом. Но за кодом стоит админ-ключ, а безопасность этого ключа в итоге определяется людьми, а не криптографией.
Есть и тревожное историческое совпадение. В 2022 году, во времена Drift v1, казна уже "обнулялась" в схожем инциденте. Тогда команда выпустила крайне подробный технический отчет и даже опубликовала proof-of-concept фрагмент кода, показывающий, как можно вывести всю казну одной транзакцией. Ущерб составил $14,5 млн, и команда компенсировала потери из собственных средств. Спустя четыре года тот же кошмар повторился в масштабе, превышающем прошлый примерно в двадцать раз.
Децентрализованная вера и централизованная уязвимость
Если посмотреть шире, случай Drift ложится в неприятный тренд. В начале 2025 года у Resolv Labs был скомпрометирован AWS Key Management Service, и атакующие с помощью привилегированных ключей санкционировали крупномасштабный выпуск стейблкоина USR, запустив цепную реакцию убытков на разных платформах. В том же году суммарные криптокражи достигли рекорда — $3,4 млрд за 2025 год, а отчет Chainalysis отметил сдвиг: самые разрушительные инциденты происходили на уровне инфраструктуры. Скомпрометированные машины разработчиков, единственные ключи минта в облаке, подписи, полученные через социальную инженерию, превращались в черные дыры для капитала.
С учетом Drift вывод напрашивается сам: безопасность приватных ключей стала для DeFi более системным риском, чем уязвимости смарт-контрактов. Здесь зияет разрыв компетенций, способный поглощать миллиарды.
DeFi рассказывает историю про "децентрализацию", "некостодиальность" и "отсутствие доверия". Пользователь верит, что имеет дело с математикой: активы "держит код", посредников нет. На практике почти у каждого живого DeFi-протокола есть один или несколько "ключей от королевства" — админ-ключи, права апгрейда, контроль казны, аварийная пауза. Иногда это нужно для безопасности, иногда — для гибкости. Суть одна: централизованная точка доверия, упакованная в децентрализованный нарратив.
Пользователь думает, что взаимодействует с кодом. На деле он доверяет одному человеку или узкой группе: что они не ошибутся, не попадутся на фишинг, не окажутся под давлением и не оставят ноутбук в кафе.
Куда ушли $285 млн
Ончейн-действия атакующего выглядели выверенными. После вывода активов из хранилища Drift он быстро конвертировал большую часть токенов в стейблкоины и вывел средства в сеть Ethereum через кроссчейн-мост Wormhole. В Ethereum часть стейблкоинов пошла на покупку примерно 19 913 ETH (около $42,6 млн), остальное распределили по нескольким адресам.
Отдельная абсурдная деталь: на кошельке атакующего по-прежнему лежит значительный объем Fartcoin — около 2,5% от общего предложения токена. Крупнейшее DeFi-ограбление года и параллельно заметная ставка на мемкоин с названием "про газы".
На момент публикации депозиты и вывод средств в Drift остаются остановленными. Токен DRIFT упал примерно с $0,072 до $0,05 — снижение более чем на 28%. От исторического максимума $2,60 совокупное падение превышает 98%. Phantom Wallet предупреждает пользователей, которые пытаются зайти в Drift. Команда Drift заявляет, что координируется с компаниями по безопасности, операторами мостов и централизованными биржами, чтобы попытаться заморозить и отследить украденные средства. История подсказывает, что вернуть активы, прошедшие через мосты и разнесенные по множеству кошельков, будет крайне сложно.
Вопрос, от которого отрасли не уйти
Drift попал точно в самую болезненную точку индустрии. В конце 2025 года Chainalysis оптимистично писал о "существенном прогрессе" в безопасности DeFi: потери от взломов снижались, хотя TVL восстановился до $11,9 млрд. В качестве позитивного примера приводился Venus Protocol: система мониторинга заметила аномалии за 18 часов до атаки, протокол быстро приостановил работу, а механизм управления заморозил средства атакующего — в итоге тот даже понес убыток.
Случай Drift ломает этот "нарратив прогресса". Можно проводить бесконечные аудиты и ставить продвинутый ончейн-мониторинг, но компрометация одного админ-ключа через фишинг, социальную инженерию или подбор обнуляет всю защиту.
Индустрии придется честно ответить: что на практике означает "некостодиально"? Если админ-ключ способен в любой момент вывести все активы из хранилища, чем это принципиально отличается от депозита на чей-то банковский счет? У банков хотя бы есть страхование, регулирование и юридические механизмы.
Вероятно, задача не в том, чтобы полностью убрать административные права: во многих случаях они действительно нужны. Но отрасли стоит перестать делать вид, что этих прав не существует. Мультиподпись, таймлоки, аппаратные модули безопасности, ротация ключей — все это доступно годами, но слишком многие протоколы продолжают доверять безопасность сотен миллионов долларов внимательности одного-двух операторов.
Мечта о "крипто-Robinhood" звучит красиво. Прежде чем превращать ее в реальность, стоит ответить на базовый вопрос: у кого ключ?
