Những tài sản bị đánh cắp từ giao thức Drift đã được những kẻ tấn công đổi lấy 129.000 ETH, trị giá 278 triệu đô la.
Bài viết bởi: Mach, Foresight News
Vào ngày 2 tháng 4, Drift Protocol đã đưa ra hai thông báo trên nền tảng X. Thông báo đầu tiên là "Đã phát hiện hoạt động bất thường trong giao thức và đang được điều tra. Vui lòng không gửi tiền vào." Thông báo thứ hai là xác nhận trực tiếp rằng "nó đang bị tấn công tích cực" và tất cả các giao dịch gửi và rút tiền đều bị tạm ngừng.
Dữ liệu Chuỗi cho thấy hơn 285 triệu đô la tài sản đã chảy ra khỏi kho tiền của giao thức chỉ trong vài phút, biến nó trở thành vụ tấn công lần lớn nhất kể từ năm 2026. Dữ liệu Bitget cho thấy token DRIFT đã giảm mạnh hơn 30%, có lúc xuống còn khoảng 0,04 đô la. Dữ liệu mới nhất từ DefiLlama cho thấy tổng giá trị bị khóa (TVL) của nó đã giảm từ khoảng 550 triệu đô la xuống còn 250 triệu đô la.
Lần tấn công bắt đầu vào rạng sáng ngày 2 tháng 4. Nền tảng giám sát Chuỗi PeckShield đã đưa ra cảnh báo: địa chỉ kho tiền chính của Drift bắt đầu thực hiện các giao dịch chuyển tiền ồ ạt đến một ví mới được tạo, HkGz4K. Các giao dịch chuyển tiền đầu tiên chủ yếu bao gồm token JLP (Jito Liquidity Provider), trị giá khoảng 155 triệu đô la, tiếp theo là USDC, SOL, cbBTC, wBTC, WETH và một số loại tiền điện tử meme .
Được thành lập vào cuối năm 2021, Drift Protocol là một trong những DEX đầu tiên trên Solana tập trung vào giao dịch hợp đồng vĩnh cửu. Nó nổi tiếng với độ trễ thấp, đòn bẩy cao và dòng sản phẩm đa dạng, hỗ trợ các hợp đồng vĩnh cửu cho tài sản phổ biến như SOL, BTC và ETH, cũng như lượng lớn các đồng tiền meme và token mới nổi.
Kể từ năm 2024, với sự phục hồi của hệ sinh thái Solana , khối lượng giao dịch hàng ngày của Drift đã ổn định ở mức vài trăm triệu đô la Mỹ, và tổng giá trị bị khóa (TVL) của nó đã duy trì trong khoảng 300-500 triệu đô la Mỹ trong một thời gian dài. Vào tháng 9 năm 2024, Drift đã hoàn thành vòng gọi vốn trị giá 25 triệu đô la, dẫn đầu bởi Multicoin Capital.
Giao thức Drift sử dụng thiết kế Vault độc đáo, trong đó tiền gửi của người dùng được gửi vào các kho tiền có mức độ rủi ro khác nhau. Giao thức này cân bằng vị thế mua và bán thông qua tỷ giá động và cơ chế quỹ bảo hiểm. Chính thiết kế này, nơi "tiền của người dùng được chuyển trực tiếp vào kho tiền", lẽ ra phải mang lại tính minh bạch và bảo mật cao hơn, lại trở thành điểm yếu chí mạng trong cuộc tấn công lần.
Cuộc lần kéo dài chưa đầy một giờ, và dữ liệu của PeckShield cho thấy tổng cộng 285 triệu đô la tài sản đã bị rút khỏi hệ thống. Những kẻ tấn công hành động cực kỳ nhanh chóng, đầu tiên chuyển đổi hầu hết tài sản thành USDC thông qua bộ tổng hợp Jupiter, sau đó chuyển chúng qua Chuỗi sang Ethereum và liên tục mua vào ETH trên Ethereum .
Bắt đầu và kết thúc cuộc tấn công
Thông tin chi tiết về hành động của hacker chỉ được hé lộ vài giờ sau vụ tấn công. Theo phân tích của Omer, đồng sáng lập công ty cung cấp dịch vụ phân tích rủi ro blockchain Chaos Labs, khóa quản trị của giao thức Drift đã bị xâm phạm, dẫn đến thiệt hại hơn 213 triệu đô la chỉ trong vòng chưa đầy 10 giây.
Những kẻ tấn công đã sử dụng các khóa chữ ký bị xâm phạm để giành quyền kiểm soát hoàn toàn việc tạo lập thị trường, phân bổ oracle và giới hạn rút tiền, và giao thức này thiếu các khóa thời gian, chữ ký đa chữ ký hoặc bảo vệ chống trì hoãn. Toàn bộ cuộc tấn công được hoàn thành trong vòng chưa đầy 15 giây, và các đợt rút tiền wETH và dSOL bổ sung sau đó có thể đã làm tăng tổng thiệt hại lên hơn 240 triệu đô la.
Hacker Drift lần bắt đầu bằng việc tạo ra Thị trường Spot. Chỉ trong một giao dịch duy nhất, kẻ tấn công đã sử dụng InitializeSpotMarket để tạo ra Thị trường Spot số 63 của CVT và thiết lập các tham số cực đoan. Các tham số này cho phép kẻ tấn công gửi token vô giá trị và có được khả năng vay mượn hoàn toàn không giới hạn. Đồng thời, trong cùng một giao dịch, kẻ tấn công đã tăng gấp 20 lần ngưỡng bảo mật cho năm thị trường tài sản thực, bao gồm USDC, wETH, dSOL, JLP và cbBTC, đảm bảo rằng các giao dịch rút tiền lớn sau đó sẽ không bị chặn.
Tiếp theo là thao túng dữ liệu oracle: Kẻ tấn công đã sử dụng một oracle SwitchboardOnDemand dưới sự kiểm soát của chúng cho thị trường CVT, cấu hình Drift để đọc giá từ nguồn cấp dữ liệu Switchboard với oracle_source=11, và thiết lập giá để CVT có vẻ trị giá hàng trăm triệu SOL. Oracle này đã thực hiện 20 giao dịch trong ngày 1 tháng 4, chứng tỏ việc thao túng giá đang diễn ra tích cực.
Cuối cùng, về token: Kẻ tấn công đúc token CVT với tổng lượng cung ứng khoảng 750 triệu (nguồn cung cố định, cơ quan đúc không có người nắm giữ), giữ khoảng 600 triệu (80%), và gửi chúng vào giao thức Drift lần(500 triệu trước, sau đó là 100 triệu còn lại). Token này không có hoạt động thị trường tự nhiên và được tạo ra hoàn toàn cho mục đích tấn công lần.
Sau vụ hacker, kho tiền của JLP gần như bị rút sạch từ 41,7 triệu, chỉ còn lại 133 JLP.
Các bản cập nhật sau đó cho thấy lần xâm nhập có liên quan đến quá trình chuyển đổi của Drift từ hệ thống đa chữ ký cũ sang hệ thống mới.
Omer đã bổ sung thêm chi tiết về khóa quản trị bị đánh cắp: Một tuần trước, Drift đã chuyển sang một multi-sentence mới, được tạo bởi một trong những người ký từ multi-sentence cũ, nhưng người ký đó không tự thêm mình vào multi-sentence mới. Kẻ tấn công cũng đã khởi tạo Đề án trong multi-sentence cũ để chuyển quyền quản trị sang ví mới này.
Chữ ký đa người dùng mới có năm người ký, chỉ có một trong đó từ thiết lập cũ, trong khi bốn người còn lại đến từ các địa chỉ hoàn toàn mới. Ngưỡng 2/5 và khóa thời gian 0 giây đã được thiết lập. Khoảng năm giờ trước, người ký duy nhất còn lại từ thiết lập cũ đã sử dụng chữ ký đa người dùng mới để yêu cầu thay đổi quyền quản trị của Drift. Một người ký mới đã ký một giây sau đó, ngay lập tức đạt đến ngưỡng 2/5. Vì không có khóa thời gian, giao dịch đã được thực hiện ngay lập tức.
Sau vụ hacker, đội ngũ Drift đã phản ứng nhanh chóng nhưng với thông tin hạn chế. Thông báo chính thức, ngoài việc tạm ngừng nạp và rút tiền cũng như phối hợp với nhiều công ty bảo mật, giao thức cầu nối và sàn giao dịch, không tiết lộ ngay lập tức các phương thức tấn công cụ thể hoặc chi tiết về thiệt hại.
Phantom Wallet đã khẩn cấp cắt đứt tương tác với Drift, ngăn người dùng truy cập trực tiếp vào giao diện giao thức. Chính thức tuyên bố rằng sản phẩm vay mượn của họ, Jupiter Lend, không liên quan đến thị trường Drift, và tài sản JLP được đảm bảo hoàn toàn bằng tài sản cơ bản.
Tính đến tại, giao thức Drift vẫn đang bị đình chỉ. Số tài sản giá 285 triệu đô la bị đánh cắp từ giao thức Drift đã được những kẻ tấn công đổi lấy 129.000 ETH (trị giá khoảng 278 triệu đô la).
Lịch sử, việc khôi phục dữ liệu từ các cuộc tấn công có quy mô tương tự là vô cùng khó khăn.
