#DriftProtocolHacked

Drift Protocol，作為建立在 Solana 區塊鏈上的最大去中心化永續合約與現貨交易所之一，在2026年4月1日遭遇了DeFi歷史上最嚴重的漏洞之一。團隊確認此事件，按他們的說法，是“不是愚人節玩笑”。當塵埃開始落定時，估計總損失介於$200 百萬到$285 百萬之間，使其成為2026年迄今最大的一次加密貨幣黑客事件，也是自2022年Wormhole橋接漏洞以來，對Solana基礎DeFi最具破壞性的攻擊。

麻煩的第一個跡象出現在格林威治標準時間18:10左右，當時Drift團隊標記到異常的鏈上活動，並警告用戶不要存入任何資金。不到一個小時後，大約在格林威治時間18:58，團隊確認正在進行攻擊，立即暫停整个平台的存款與提款，並開始與區塊鏈安全公司、橋接服務和中心化交易所協調緊急應對，試圖凍結或追蹤被盜資產。

此次攻擊的機制複雜、多步驟且經過精心策劃。鏈上調查人員透露，攻擊者在實際攻擊前至少八天就開始測試漏洞，顯示出長時間的準備與偵察窗口。攻擊的核心圍繞著一組被破壞的Drift管理員金鑰（Drift admin keys）。這些金鑰是泄露的私鑰還是多簽合約被攻破的結果，目前仍在調查中，但結果相同：攻擊者獲得了對關鍵協議參數的管理控制權。

獲得管理權後，攻擊者執行了以下一系列操作。首先，他們創建了一個名為CarbonVote Token（簡稱CVT）的偽造代幣，並在Raydium上建立了虛假的流動性池。通過洗牌交易，他們人為抬高CVT的表面價格，使得協議的預言機（oracle）將其註冊為一個合法的高價值資產。第二，利用被破壞的管理員權限，他們將CVT列為Drift現貨市場（JLP）接受的抵押品。同時，他們還利用這些管理權限禁用協議的提款保護措施，並將USDC的借貸上限從標準的$25 百萬提高到$500 百萬。第三，持有大量毫無價值的假CVT抵押品，該抵押品被協議認為是真實的，攻擊者將其存入，並開始借出並提取來自Drift主要借貸池（SOL Super Staking vault、BTC Super Staking vault）和金庫（vaults）的真實資產。這一系列操作通過約31筆鏈上交易完成，涉及initializeSpotMarket和updateSpotMarketStatus等協議功能。整個提款操作從開始到完成約耗時12分鐘。

受影響的金庫包括JLP Delta Neutral金庫、SOL超級質押金庫（SOL Super Staking vault）、BTC超級質押金庫（BTC Super Staking vault）等。被盜資產包括約1.556億美元的JLP代幣、6040萬美元的USDC，以及SOL、JitoSOL、cbBTC和WETH等其他資產。總損失約佔Drift總鎖倉價值的50%，在攻擊前約為$540 百萬。

攻擊者在提款完畢後並未停止行動。資金迅速通過Solana的主要流動性聚合器Jupiter進行兌換。一部分資金經由可能持有KYC記錄的Backpack錢包（Jup Portfolio scanner）轉出，調查人員已將其列為潛在線索。然後，資產從Solana橋接到Ethereum（Ethereum），轉換成ETH，並通過Hyperliquid和Monero等平台進行洗錢。截至最新鏈上報告，攻擊者持有約19,913 ETH，估值約$42 百萬，且在撰寫時已經有超過$82 百萬被認為已經洗錢完成。

市場反應迅速且劇烈。DRIFT代幣（DRIFT token）在消息傳出幾小時內下跌25%至50%。在DeFiLlama上，事發時Drift的TVL約為3.1193億美元，隨即崩潰。其他與Drift有關的協議，如Ranger Finance、Reflect Money、Elemental DeFi和Project0，也因風險交叉而暫停運作。這次事件暫時使Drift Protocol成為CoinGecko上的熱門代幣，交易者和研究人員紛紛評估其風險敞口。

截至2026年4月2日，Drift團隊尚未發布正式的事後報告或確認具體損失數字。安全公司提供的估計數字不一：CertiK約估損失$136 百萬，而Arkham Intelligence追蹤的被盜資產則接近$285 百萬。差異可能反映出盜竊時與清算後資產估值的不同方法。

對於任何曾與Drift Protocol互動的用戶，首要任務是撤銷所有與該協議相關的代幣授權與許可。建議用戶使用Jup Portfolio掃描器（Jup Portfolio scanner）或類似工具檢查錢包授權情況。持有受影響金庫資產的用戶應記錄自己的持倉，並密切關注Drift的官方公告，以獲取任何恢復或賠償方案。

此事件是對DeFi協議中管理金鑰暴露所帶來系統性風險的嚴重警示。即使是經過最嚴格審計、經過實戰考驗的平台，也存在中心化風險，尤其是在管理權限未設置充分的多方時間鎖控制時。這次Drift漏洞並非傳統意義上的智能合約漏洞，而是一次存取控制失敗，讓攻擊者能在會話中單方面重寫協議規則。在完整的事後分析發布、被破壞金鑰的追蹤鏈條建立之前，整個情況仍不完整。

局勢仍在發展中。恢復尚不確定。