1928374656574.84Tột cuộc tấn công tinh vi liên quan đến collateral giả, giao dịch đã ký sẵn trước và chiến thuật của nhóm Lazarus của Triều Tiên đã xóa sạch hơn một nửa TVL của Drift vào ngày 1 tháng 4 năm 2026.

Tóm tắt về cuộc tấn công

Vào ngày 1 tháng 4 năm 2026, sàn DEX hợp đồng tương lai vĩnh viễn lớn nhất của Solana, Drift Protocol, đã gặp phải một lỗ hổng nghiêm trọng dẫn đến mất hơn #DriftProtocolHacked triệu đô la trong nhiều vault tài sản.

Điều làm cho cuộc tấn công này đặc biệt đáng lo ngại là nó không liên quan đến lỗ hổng hợp đồng thông minh hoặc lộ seed phrase. Thay vào đó, kẻ tấn công đã thực hiện một chiến dịch được lên kế hoạch tỉ mỉ kết hợp:

· Tấn công xã hội vào các signer multisig
· Giao dịch đã ký sẵn bền vững (durable nonce)
· Tạo collateral giả trị giá #DriftProtocolHacked được thao túng để trông như hơn 100 triệu đô la
· Loại bỏ các biện pháp bảo vệ timelock

TVL sụt giảm từ khoảng $286 triệu đô la xuống dưới $0 triệu đô la trong vòng một giờ. Token DRIFT giảm 45%, xuống gần $0.04.

---

Dòng thời gian: Một chiến dịch kéo dài 3 tuần

Giai đoạn 1: Thiết lập hạ tầng $550 11-23 tháng 3$250

Chiến dịch bắt đầu vào ngày 11 tháng 3 khi kẻ tấn công rút ETH khỏi Tornado Cash, giao thức bảo mật quyền riêng tư. Ngày 12 tháng 3, họ triển khai Token CarbonVote (CVT) — đặc biệt vào khoảng 09:00 giờ Pyongyang, một dấu hiệu cảnh báo sau này liên kết cuộc tấn công với Triều Tiên .

Trong những tuần tiếp theo, kẻ tấn công:

· Đúc 750 triệu token CVT (trị giá về cơ bản là $0)
· Gửi ít thanh khoản tối thiểu (~$500) trên Raydium DEX
· Sử dụng wash trading để duy trì giá CVT gần $1.00
· Tạo 6.5Bài khoản nonce bền vững — 2 liên kết với các signer của Hội đồng Bảo mật Drift, 2 do kẻ tấn công kiểm soát

Giai đoạn 2: Pre-Signing & Thoả thuận multisig (23-30 tháng 3)

Sử dụng tính năng nonce bền vững của Solana (cho phép các giao dịch được ký sẵn và thực thi sau mà không hết hạn), kẻ tấn công đã khiến các thành viên Hội đồng Bảo mật của Drift ký sẵn những giao dịch có vẻ như bình thường — nhưng thực chất là các khoá ủy quyền độc hại được giữ trong dự phòng.

Vào ngày 27 tháng 3, Drift thực hiện di