愚人节噩梦：Drift Protocol遭2.85亿美元攻击，涉案者与朝鲜有关联

愚人节乱局：Drift Protocol损失2.85亿美元

起初看似异常的链上资金流动，很快演变为2026年规模最大的加密货币攻击事件之一，Drift Protocol的总锁定价值（TVL）在数分钟内蒸发了超过一半。

这家基于Solana的永续合约交易所，在警报出现后不久便确认遭遇了“正在进行的攻击”，并敦促用户在X平台上停止与该平台进行交互，同时强调此次事件“绝非愚人节玩笑”。

在约12分钟内，包括USDC、SOL、JLP和WBTC在内的超过2.85亿美元资产被盗。

Drift的TVL从约5.5亿美元暴跌至3亿美元以下，其DRIFT代币在事件期间跌幅超过40%。

连锁反应蔓延至整个 Solana DeFi 生态系统

事态影响迅速超出 Drift 范围，多家受波及的协议纷纷采取措施以限制损失。

Jupiter 交易所表示其 JLP 池仍保持全额储备，这有助于稳定市场情绪。

此外，包括DeFi金库PiggyBank、稳定币协议Reflect Money以及基于Solana的永续合约聚合器Ranger Finance在内的多家平台，均已暂停关键功能或正在评估损失。

PiggyBank披露了约10.6万美元的风险敞口，并动用团队资金为用户提供补偿；而Ranger Finance则暂停了RGUSD相关业务，其潜在风险敞口超过90万美元。

Reflect Money 已暂停其稳定币产品的发行和赎回，但确认其保险保障仍然有效。

其他协议，包括 TradeNeutral、GetPyra 和 Elemental DeFi，在进行安全检查期间暂时限制了部分功能。

一个虚假代币如何变成真金白银

此次攻击更多依赖于对信任机制的操纵，而非代码漏洞。

在攻击发生前的几周内，攻击者创建了一个名为“CarbonVote Token”（CVT）的虚假资产，铸造了约7.5亿枚代币。

一个规模约500美元的小型流动性池被部署在Raydium上，并通过洗盘交易模拟出接近1美元的稳定价格。

这种人为定价逐渐被预言机采纳，从而营造出合法性的假象。

2026年4月1日，攻击者利用被盗的管理密钥，将CVT在Drift上列为有效交易对。

与此同时，提现限额被放宽至极高水平，实质上取消了安全防护措施。

随后，攻击者存入大量CVT作为抵押品。

由于价格数据源遭到篡改，该仓位看似价值极高，从而使得31笔真实资产得以快速提现。

幕后长达六个月的渗透

Drift 随后披露，此次入侵并非突发事件，而是长期社会工程学攻击活动的结果。

据报道，攻击者早在2025年10月的一场大型加密货币会议上就已接触项目贡献者，伪装成一家有意进行系统集成的量化交易公司。

数月间，他们通过反复的面对面会晤和技术讨论建立了可信度。

该团队 表示,

“他们技术娴熟，拥有可验证的专业背景，并且熟悉 Drift 的运作方式。”

该团伙最终赢得了信任，并植入了恶意工具和链接，导致贡献者的设备遭到入侵。

证据表明，恶意软件可能是通过共享代码仓库或伪装成钱包产品的TestFlight应用程序传播的。

Drift将此次行动描述为“一项需要组织支持、大量资源以及数月精心准备的结构化情报行动”。

与先前黑客攻击的关联引发警报

在安全团队的支持下，Drift表示其“中度至高度确信”此次攻击与2024年10月Radiant Capital黑客事件背后的同一团伙有关联。

那起早先的事件涉及通过Telegram传播的恶意软件，被归因于一个与朝鲜有关联的组织。

Drift 指出，资金流动和运作策略中都存在类似的模式。

虽然在会议上接触到的个人并非朝鲜国民，但该协议指出，此类行为者通常依赖中间人进行面对面接触。

调查仍在进行中，Mandiant 负责主导取证分析。

随着批评声浪高涨，资金迅速转移

漏洞利用发生后，资产被整合、兑换为 USDC 和 SOL，并部分通过 Circle 的跨链转账协议桥接到以太坊。

链上调查员ZachXBT批评了此次应对，称：

“在美东时间段发生的九位数Drift黑客攻击事件中，数百万USDC通过CCTP从Solana转入以太坊长达数小时，Circle却对此毫无察觉。资金已被转移，而他们再次毫无作为。”

他指出，该公司既有冻结资金的能力也有先例，却未能及时采取行动，并将其与此前在无关案件中的执法行动进行了对比。

治理漏洞与缺失的安全保障被曝光

调查人员发现，此次漏洞利用是治理薄弱环节与运营漏洞共同作用的结果。

据报道，多签设置数周前已被更改为2/5结构且未设置时间锁，而包括CVT上市在内的近期更新均未经过充分的压力测试。

https://x.com/DriftProtocol/status/2040611161121370409

尽管该项目在2022年通过了Trail of Bits的审计，并在2026年2月通过了ClawSecure的审计，但这些变更仍为攻击者创造了可乘之机。

此后，Drift已冻结相关协议功能，移除了受影响的钱包，并向交易所及跨链桥运营商报告了攻击者的地址，目前恢复工作仍在进行中。