Drift Protocol объяснил взлом на $280 млн атакой через durable nonce
Drift Protocol сообщил, что недавний инцидент с хищением криптоактивов на сумму свыше $280 млн был проведён с использованием механизма durable nonce в сети Solana. По данным платформы, злоумышленник применил заранее подписанные разрешения, что позволило ему получить административный контроль над полномочиями Drift Security Council.
Первые признаки атаки обнаружили рано утром 1 апреля, когда средства начали выводиться из хранилища кошелька DEX на адрес в Solana. Первыми были перемещены 41 млн токенов JLP, затем последовали другие активы. В день инцидента биржа приостановила ввод и вывод средств, позднее произошедшее охарактеризовали как сложную, многоэтапную операцию. Это крупнейший криптовзлом в 2026 году.
Ранее в сообществе обсуждали версию компрометации приватных ключей, но протокол заявил, что причиной не стали ни уязвимость смарт-контрактов, ни утечка seed-фраз. В предварительном отчёте говорится, что злоумышленник получил несанкционированные или введённые в заблуждение одобрения транзакций, используя durable nonce и методы социальной инженерии. Эти одобрения затем были задействованы для исполнения эксплойта, затронувшего ряд проектов в экосистеме Solana.
Durable nonce — функция Solana, позволяющая транзакциям сохранять актуальность без истечения срока. Это даёт возможность подписывать операции офлайн, откладывать исполнение и отправлять заранее подписанные транзакции позднее.
На фоне инцидента проекты Piggybank_fi, Ranger Finance, TradeNeutral, Elemental DeFi, Reflect Money и другие заявили о минимальной экспозиции либо временно остановили депозиты. Рынок также отреагировал снижением: Solana подешевела примерно на 5%, опускаясь до $78; с начала года SOL терял 37%. Токен DRIFT, по данным сообщения, снизился на 25%.
По оценке Drift Protocol, подготовка атаки началась задолго до 1 апреля. Злоумышленник получил доступ к мультисигу Drift не позднее 23 марта, когда был установлен первый nonce. Тогда создали четыре nonce-аккаунта: два контролировал атакующий, два — участники Drift Security Council. В результате у него оказалось влияние на 2/5 подписантов мультисиг-структуры, что позволило подписывать транзакции, привязанные к durable nonce, и запускать их с задержкой.
Протокол отмечает, что контроль сохранился даже после миграции мультисиг 27 марта, проведённой из-за изменений в составе совета. Перед основным выводом средств злоумышленник выполнил тестовую операцию вывода из страхового фонда, затем завершил захват административных прав, исполнив заранее подписанные транзакции через durable nonce.
Drift Protocol заявил, что работает с профильными компаниями по безопасности, правоохранительными органами и другими участниками рынка для отслеживания и заморозки похищенных активов. При этом в адрес проекта звучит критика: пользователи указывают, что порог в 2/5 подписей для одобрения транзакций выглядит излишне рискованным и мог упростить реализацию атаки.
