Drift Protocol потерял до $285 млн из-за компрометации админ-ключа

1 апреля, в День смеха, сообщество поначалу восприняло новости как розыгрыш. Но шутки не было: Drift Protocol — крупнейшая биржа бессрочных фьючерсов в экосистеме Solana — подверглась атаке, в ходе которой злоумышленник начал выводить активы из казначейства. Около 13:30 по времени публикаций ончейн-мониторинговых аккаунтов Lookonchain и PeckShield был зафиксирован стремительный отток средств на кошелёк, начинающийся с "HkGz4K". Первая транзакция — вывод 410 млн токенов JLP на сумму $155 млн. Затем последовали 51,6 млн USDC, 125 000 WSOL, 164 000 cbBTC и другие активы. По оценкам наблюдателей, примерно за час объём средств в хранилищах сократился с $309 млн до $41 млн. Команда Drift заявила в X, что протокол находится "под активной атакой", а ввод и вывод средств временно остановлены. Проект сообщил о координации действий с несколькими компаниями по кибербезопасности, операторами кроссчейн-мостов и централизованными биржами для сдерживания ситуации, отдельно подчеркнув: "Это не первоапрельская шутка". Оценки ущерба разнятся. PeckShield говорит примерно о $285 млн, Arkham — о сумме свыше $250 млн, предварительная оценка CertiK — около $136 млн. Какой бы показатель ни оказался итоговым, инцидент уже называют крупнейшим происшествием в DeFi в 2026 году на текущий момент. Ключевой момент — не столько объём потерь, сколько вектор атаки. По словам основателя PeckShield Цзян Сюсяня (Jiang Xuxian), "административный ключ Drift был очевидно скомпрометирован". Ончейн-аналитики также пришли к выводу, что атакующий получил привилегированный доступ к протоколу и контроль над потоками средств казначейства. Речь не о сложной уязвимости смарт-контрактов, флэш-кредитах или манипуляции оракулами — скорее о базовой проблеме операционной безопасности: утрате или компрометации приватного ключа. Данные в сети указывают на подготовку. Кошелёк злоумышленника получил первичное финансирование через Near Intents за восемь дней до атаки и затем оставался неактивным. За неделю до основного вывода с казначейства Drift на этот адрес поступил небольшой перевод на $2,52 — вероятно, тестовая транзакция. Удар пришёлся и по репутации проекта. Соосновательница Drift Синди Леоу (Cindy Leow) ранее позиционировала платформу как претендента на роль "крипто-Robinhood", делая ставку на скорость Solana и модель "noncustodial" торговли. По её логике, средства пользователей не передаются посреднику и взаимодействуют только с кодом. Инцидент вновь высветил противоречие: за "кодом" часто стоят админ-привилегии и ключи, безопасность которых зависит от людей. У Drift уже был похожий эпизод. В 2022 году, во времена Drift v1, казначейство также было опустошено в результате атаки. Команда публиковала подробный технический разбор и proof-of-concept, а потери в $14,5 млн тогда компенсировала из собственных средств. Теперь ситуация повторилась, но в значительно большем масштабе. На рынке это укладывается в более широкий тренд: инфраструктурные компрометации становятся основной причиной крупнейших потерь. В начале 2025 года Resolv Labs столкнулась со взломом AWS Key Management Service, что позволило атакующим задействовать привилегированные ключи для масштабного выпуска стейблкоина USR и вызвало цепную реакцию убытков на разных площадках. В том же году суммарный объём криптокраж, по данным Chainalysis, достиг рекордных $3,4 млрд, а отчёт компании отмечал смещение фокуса к инцидентам на уровне инфраструктуры — компрометированные машины разработчиков, одиночные ключи в облаке и социальная инженерия вокруг подписания транзакций. Drift дополнил эту картину: защита приватных и административных ключей всё чаще выглядит как системный риск номер один для DeFi, обгоняя классические уязвимости смарт-контрактов. Практически любой крупный протокол имеет "ключи от королевства" — админ-доступ, права на апгрейд, контроль казначейства, аварийные паузы. Они нужны для гибкости и экстренных мер, но фактически создают централизованную точку доверия внутри "децентрализованного" нарратива. Куда ушли средства Судя по ончейн-следам, злоумышленник действовал быстро и методично. После вывода активов из хранилищ Drift значительная часть токенов была конвертирована в стейблкоины и переведена в сеть Ethereum через мост Wormhole. В Ethereum часть стейблкоинов была направлена на покупку примерно 19 913 ETH (примерно на $42,6 млн), оставшиеся средства распределены по нескольким адресам. Отдельная деталь, привлёкшая внимание наблюдателей: на кошельке атакующего остаётся крупный объём Fartcoin — около 2,5% от общего предложения токена. На момент публикации ввод и вывод средств на Drift оставались приостановленными. Токен DRIFT снизился примерно с $0,072 до $0,05, падение превысило 28%. От исторического максимума $2,60 совокупное снижение превысило 98%. Phantom Wallet предупреждает пользователей при попытках взаимодействия с Drift. Команда Drift заявляет, что работает с компаниями по безопасности, операторами мостов и централизованными биржами, пытаясь отследить и заморозить похищенные активы. В то же время практика показывает: после кроссчейн-переводов и дробления средств по множеству кошельков вероятность восстановления обычно невысока. Вопрос, который отрасли придётся сформулировать честно В конце 2025 года Chainalysis писал о "существенном прогрессе" в безопасности DeFi: потери от хакеров снижались, хотя TVL восстановился до $11,9 млрд. В качестве позитивного примера приводился кейс Venus Protocol, где мониторинг выявил аномалии за 18 часов до атаки, протокол быстро остановил операции, а механизмы управления помогли заморозить средства — злоумышленник в итоге даже понёс убытки. История Drift подрывает этот оптимистичный нарратив. Можно провести безупречные аудиты и внедрить продвинутый ончейн-мониторинг, но компрометация одного админ-ключа через фишинг, социальную инженерию или иной канал способна обнулить всю защитную архитектуру. Отрасль всё чаще упирается в простую формулировку: что именно означает "noncustodial", если админ-ключ может в любой момент вывести активы из хранилища? Чем это принципиально отличается от депозита на счёте, владельца которого пользователь не знает? У банков хотя бы есть страхование, регулирование и юридические механизмы защиты. Решение не обязательно в полном отказе от админ-привилегий — они могут быть необходимы. Но игнорировать их наличие становится опасно. Мультиподпись, таймлоки, аппаратные модули безопасности, регулярная ротация ключей — все эти подходы давно известны, но многие протоколы по-прежнему фактически ставят сотни миллионов долларов на внимательность одного-двух операторов. Мечта о "крипто-Robinhood" звучит привлекательно. Перед тем как строить её дальше, индустрии снова придётся ответить на базовый вопрос: кто держит ключ?