Μια εξελιγμένη επίθεση έχει συγκλονίσει το DeFi, με το χακάρισμα του πρωτοκόλλου Drift να αποκαλύπτει κρίσιμες αδυναμίες στην επιχειρησιακή ασφάλεια και τις εγκρίσεις συναλλαγών.
Πώς αποσύρθηκαν 280 εκατομμύρια δολάρια από το Drift Protocol
Στο Drift Protocol, οι επιτιθέμενοι κατάφεραν να αποσύρουν περίπου 280 εκατομμύρια δολάρια από ένα συνδεδεμένο πορτοφόλι, επηρεάζοντας σχεδόν τα μισά από τα κεφάλαιά του. Σύμφωνα με την ομάδα, αυτή ήταν μια άκρως οργανωμένη επιχείρηση που εξελίχθηκε με την πάροδο του χρόνου και όχι μια απλή, ευκαιριακή κλοπή.
Επιπλέον, η εκμετάλλευση επικεντρώθηκε σε συναλλαγές προ-υπογεγραμμένου ανθεκτικού nonce. Αυτές οι ειδικές συναλλαγές μπορούν να εκτελεστούν αργότερα, εκτός των κανονικών χρονικών προσδοκιών. Ο επιτιθέμενος περίμενε και στη συνέχεια τις ενεργοποίησε σε μια στρατηγική στιγμή, μετατρέποντας έναν συνηθισμένο επιχειρησιακό μηχανισμό σε ένα ισχυρό φορέα επίθεσης.
Κοινωνική μηχανική και χειραγώγηση multisig
Ωστόσο, ο πυρήνας του περιστατικού δεν βρισκόταν στον κώδικα. Αντίθετα, ο επιτιθέμενος φέρεται να χρησιμοποίησε στοχευμένη κοινωνική μηχανική για να παραπλανήσει αρκετούς υπογράφοντες multisig. Χτίζοντας εμπιστοσύνη και δημιουργώντας πειστικά μηνύματα, έπεισαν τους υπογράφοντες να εγκρίνουν επικίνδυνες ενέργειες χωρίς να αναγνωρίσουν τον υποκείμενο κίνδυνο.
Αυτή η διαδικασία επέτρεψε στον επιτιθέμενο να εξασφαλίσει μια κατάληψη διοικητικών προνομίων σε κρίσιμη υποδομή που συνδέεται με το πρωτόκολλο. Έχοντας στα χέρια του αυξημένες άδειες, μπορούσε να εξουσιοδοτήσει μετακινήσεις κεφαλαίων και να εκτελέσει αυτές τις καθυστερημένες συναλλαγές, με αποτέλεσμα την αποστράγγιση περιουσιακών στοιχείων σε μεγάλη κλίμακα.
Γιατί αυτό δεν ήταν αποτυχία έξυπνου συμβολαίου
Η ομάδα διευκρίνισε ρητά ότι η παραβίαση δεν οφειλόταν σε διευκρίνιση σφάλματος έξυπνου συμβολαίου ή σε οποιαδήποτε ελάττωση στον κώδικα του πρωτοκόλλου. Οι φράσεις ανάκτησης και τα βασικά κλειδιά πορτοφολιού παρέμειναν επίσης ασυμβίβαστα. Ωστόσο, ο συνδυασμός εργαλείων καθυστερημένων συναλλαγών και ανθρώπινης εξαπάτησης δημιούργησε μια αποτελεσματική εκτός αλυσίδας ευπάθεια.
Στην εσωτερική ανάλυση πρωτοκόλλου drift του, το έργο υπογράμμισε ότι οι έλεγχοι κώδικα μόνο δεν μπορούν να αποτρέψουν αυτόν τον τύπο επίθεσης. Αντίθετα, απαιτούνται ισχυρότερες διαδικασίες γύρω από την επαλήθευση υπογραφής, επιβεβαιώσεις εκτός ζώνης και όρια συναλλαγών όταν χρησιμοποιούνται ισχυρά διοικητικά πορτοφόλια.
Διδάγματα από το χακάρισμα του πρωτοκόλλου drift για την ασφάλεια του DeFi
Το χακάρισμα πρωτοκόλλου drift επισημαίνει πώς οι ανθρώπινοι παράγοντες μπορούν να υπονομεύσουν ακόμη και καλά ελεγμένα συστήματα. Επιπλέον, δείχνει ότι οι μηχανισμοί ανθεκτικού nonce και οι ρυθμίσεις multisig πρέπει να συνδυάζονται με αυστηρές πολιτικές, συμπεριλαμβανομένων επιβεβαιώσεων πολλαπλών καναλιών και ελέγχων πλαισίου πριν από τις εγκρίσεις.
Για το ευρύτερο οικοσύστημα, αυτό το περιστατικό πιθανότατα θα ενημερώσει μελλοντικές πρακτικές ενημέρωσης ασφαλείας πρωτοκόλλου drift και ευρύτερα πρότυπα DeFi. Ειδικότερα, τα πρωτόκολλα μπορεί να επανεξετάσουν τη χρήση προ-υπογεγραμμένων συναλλαγών, να επανεξετάσουν τις πολιτικές εναλλαγής υπογραφόντων και να επιμείνουν στη συνεχή εκπαίδευση κατά των προσπαθειών επίθεσης κοινωνικής μηχανικής multisig.
Τελικά, το γεγονός αποτελεί μια λεπτομερή μελέτη περίπτωσης εκμετάλλευσης αποστράγγισης κεφαλαίων πορτοφολιού. Υπογραμμίζει την ανάγκη να αντιμετωπίζονται η επιχειρησιακή ασφάλεια, η συμπεριφορά υπογράφοντος και η επικοινωνία εκτός αλυσίδας με την ίδια αυστηρότητα όπως ο κώδικας εντός αλυσίδας, ειδικά όπου μεγάλα διοικητικά πορτοφόλια ελέγχουν περιουσιακά στοιχεία χρηστών.
Πηγή: https://en.cryptonomist.ch/2026/04/02/drift-protocol-hack/
