Чому злам Drift на $295M вчить кожного трейдера перп DEX

1 квітня 2026 року Drift Protocol втратив $285 мільйонів за дванадцять хвилин. Найбільша біржа безстрокових ф'ючерсів на Solana була спустошена по 18 типах токенів, поки більшість користувачів ще прокидалися. Зловмисники були не анонімними хакерами, що використовували баги в коді. Це була спонсорована Північною Кореєю державна команда, яка місяцями відвідувала конференції, вносила реальний капітал і вибудовувала особисті стосунки з членами ради безпеки Drift.

Три місяці потому Drift опублікував план відновлення, побудований навколо токенів відшкодування, прив'язаних до підтверджених збитків. Цей план варто вивчити, оскільки він розкриває рівні ризику, про які більшість трейдерів перпів не замислюються, доки їхні кошти не зникли. Аудити смарт-контрактів потрапляють у заголовки. Але злам Drift стався на рівні, якого аудити не можуть досягти: людська довіра та управління адмін-ключами.

Ця стаття розбирає, що сталося, як працює відновлення, і шість рівнів ризику, які кожен трейдер повинен оцінити перед депозитом на будь-якому перп DEX.

Як розгорталася атака на Drift

Злам не був флеш-позикою чи вразливістю повторного входу. Це була багатомісячна кампанія соціальної інженерії, яку провели актори, пов'язані з КНДР, що підтверджено компанією з кібербезпеки Mandiant.

Зловмисники представлялися як компанія з кількісної торгівлі. Вони зустрічалися з учасниками Drift на галузевих конференціях, будували професійні стосунки місяцями і внесли понад $1 мільйон власного капіталу в протокол, щоб встановити довіру. Мета була простою: здобути достатньо довіри, щоб члени Ради безпеки Drift підписували транзакції, не перевіряючи їх ретельно.

Рада безпеки Drift керувала мультипідписом 2/5, тобто для виконання змін на рівні адміна достатньо лише двох із п'яти підписів. Часового замку не було взагалі: жодної затримки між підписанням і виконанням. Зловмисники скористалися функцією Solana "durable nonces", щоб змусити двох членів ради попередньо підписати транзакції, які передавали повний адміністративний контроль.

Між 23 і 30 березня 2026 року були підготовлені попередньо підписані транзакції. 1 квітня о 16:05 UTC зловмисники виконали передачу адмін-ключа за одну секунду. Отримавши контроль, вони внесли до білого списку фейковий токен CVT як заставу, депонували 500 мільйонів його одиниць і вивели реальні активи: $71,4 мільйона в USDC, $159,3 мільйона в JLP, $11,3 мільйона в cbBTC та інше.

Структура токена відновлення

У травні 2026 року Drift окреслив план відновлення для $295 мільйонів підтверджених втрат користувачів. У центрі плану — випуск токенів відновлення SPL, кожен із яких представляє $1 підтвердженого збитку. Ці токени відокремлені від токена управління DRIFT і можуть продаватися на вторинних ринках, що дає користувачам вихід, якщо вони надають перевагу ліквідності над очікуванням повного відшкодування.

Три джерела фінансування

Пул відновлення наповнюється з трьох джерел:

1. Активи протоколу: приблизно $3,8 мільйона в залишках скарбниці, конвертованих у стейблкоїни. Circle також заморозив $3,36 мільйона в USDC.
2. Зобов'язання Tether: до $127,5 мільйона, умовно прив'язані до результатів і залежні від досягнення етапів перезапуску. Це включає механізм маркет-мейкінгу на $20 мільйонів для ліквідності в перший день.
3. Стратегічні партнери: до $20 мільйонів додаткових зобов'язань плюс квартальна частка доходів від біржі.

Користувачі, які не хочуть чекати, можуть обміняти токени відновлення нижче номіналу після того, як пул перевищить $5 мільйонів. Практична складність очевидна: Drift заробив $19 мільйонів доходу у 2025 році. При такому темпі, навіть якщо всі партнерські зобов'язання будуть виконані, повне відшкодування на рівні $295,4 мільйона може зайняти роки.

Де перебувають вкрадені кошти

Приблизно 130 259 ETH залишаються сконцентровані на чотирьох відстежуваних гаманцях Ethereum. Два додаткові перекази через міст Wormhole були затримані губернатором протоколу до кінця липня 2026 року, що фактично заблокувало кошти в дорозі. У партнерстві з Bybit запущено програму виплати 10% винагороди за відновлені активи.

Шість рівнів ризику, які кожен трейдер перпів повинен оцінити

Злам Drift є прикладом того, як ризики протоколу виходять далеко за межі багів смарт-контрактів. Ось шість окремих рівнів ризику, кожен із яких відіграв роль у цьому зламі або його наслідках.

1. Ризик смарт-контракту

Це рівень, який привертає найбільше уваги. Баги в логіці ліквідації, розрахунках ставок фінансування або маржинальних механізмах можуть дозволити зловмисникам виснажити вартість. Аудити, формальна верифікація та програми bug bounty допомагають знизити цей ризик, але не є стовідсотковим захистом. Злам Drift не спирався на вразливість смарт-контракту, і саме в цьому суть: проходження аудиту не означає безпеки протоколу.

2. Ризик адміністрування та управління

Це рівень, який підвів Drift. Привілейовані ключі, здатні оновлювати контракти, змінювати параметри застави або передавати адміністративні права, створюють єдину точку відмови, навіть якщо сам код бездоганний. Мультипідпис 2/5 без часового замку означає, що два скомпрометовані підписанти можуть переписати весь протокол. Виправлення має бути структурним: вищі пороги (наприклад, 4/7), обов'язкові часові замки на чутливих операціях та інструменти попередньої оцінки, що позначають підозрілі транзакції до їх підписання.

3. Ризик оракулів і потоків цін

Зловмисники Drift створили фейковий токен (CVT), розгорнули власний оракул, щоб подавати штучну ціну приблизно $1 за токен, а потім використали його як заставу для виведення реальних активів. Маніпуляція оракулами не є новиною для DeFi, але справа Drift показала, як вона може поєднуватися з адмін-доступом, щоб обійти всі інші захисні заходи. Стандартними засобами захисту є агрегація оракулів з кількох джерел і автоматичні вимикачі, що призупиняють операції при значному відхиленні цін від зовнішніх орієнтирів.

4. Ризик компонування та зараження

Оскільки протоколи DeFi на Solana спільно використовують ліквідність, сховища та стратегії прибутковості, злам Drift поширився назовні каскадом. Щонайменше 20 протоколів повідомили про збої, паузи або втрати. Багато з них призупинили роботу, оцінюючи ступінь впливу. Якщо ви використовуєте агрегатор прибутковості, який депонує кошти у сховища перп DEX, ви успадковуєте профіль ризику цього DEX, причому можете не усвідомлювати цього, доки щось не зламається.

5. Ризик контрагента та відновлення

Після зламу постає питання: як протокол відшкодує вам збитки? Система токенів відновлення Drift є більш структурованою, ніж більшість відповідей DeFi після злому. Але "структурована" не означає "гарантована". Зобов'язання Tether залежать від результатів. Обіцянки партнерів тримаються на добрій волі. Відшкодування на основі доходу в розмірі $19 мільйонів на рік при збитках у $295 мільйонів — це восьмирічний горизонт. Порівняйте це з CEX на кшталт Binance, який покрив злам BNB Bridge на $570 мільйонів з власних резервів за лічені дні. Механізми відновлення, доступні децентралізованому протоколу, принципово відрізняються від механізмів добре капіталізованої корпорації.

6. Операційна безпека

Це рівень, який жоден аудит коду не може захистити. Соціальна інженерія, фішинг, внутрішні загрози, компрометація пристроїв і погана гігієна управління ключами — це всі вектори атак, спрямовані на людей, які керують протоколом, а не на сам протокол. Покращення безпеки Drift після зламу включають виділені пристрої для підписантів, обов'язкове щоквартальне навчання з безпеки, ротацію ключів і усунення поверхні атаки через durable nonces. Саме такі операційні заходи контролю інституційні торгові компанії застосовують десятиліттями, але більшість команд DeFi історично не ставили їх у пріоритет.

Що це означає для трейдерів Hyperliquid

Hyperliquid працює на принципово іншій архітектурі, ніж Drift. Він має власний блокчейн Layer 1 з кастомним ончейн-стаканом ордерів, і основна команда зберігає жорсткий контроль над набором валідаторів і оновленнями протоколу. Така конструкція робить його стійким до певних векторів атак (як-от маніпуляція оракулами та злом з внесенням до білого списку застави, що вразили Drift), але вносить власні припущення довіри щодо централізації валідаторів.

Для трейдерів, які оцінюють, де торгувати перпами, урок від Drift — не "уникайте DEX". Урок у тому, щоб "розуміти, кому ви довіряєте". Кожна платформа, централізована чи децентралізована, має стек ризиків. Різниця в тому, чи є цей стек ризиків видимим.

Головний висновок: Аудити смарт-контрактів охоплюють лише один рівень із шести. Адміністративне управління, цілісність оракулів, ризик компонування, механізми відновлення та операційна безпека мають не менше значення. Оцінюйте всі ці рівні перед тим, як визначати обсяг своєї позиції на будь-якій платформі.

Наші дані класифікують кожен гаманець на Hyperliquid в один із 16 поведінкових когортів: 8 за розміром рахунку (від Shrimp при $0-$250 до Leviathan при $5M+) і 8 за загальним PnL (від Giga-Rekt нижче -$1M до Money Printer при +$1M+). Коли протоколи стикаються зі стресовими подіями, як-от зломи, каскади ліквідацій або раптове зниження ризику, дані позиціонування на рівні когорт показують, хто рухається і яким є обсяг потоків. Такий рівень видимості перетворює новинний заголовок на торговий сигнал.

Відстежуйте позиціонування Smart Money в реальному часі

Когортна аналітика HyperTracker класифікує кожен гаманець Hyperliquid за розміром та трек-рекордом. Дізнайтесь, як Money Printers, Smart Money та Whales позиціонуються до, під час і після ринкових потрясінь. Один API-виклик, 16 поведінкових сегментів, оновлення кожні 5 хвилин.

Досліджуйте HyperTracker

Ширша картина: безпека як конкурентна перевага

Злам Drift є частиною ширшої закономірності. Втрати DeFi у 2026 році вже перетнули позначку $840 мільйонів станом на травень, і тенденція прискорюється. Інституційні гравці на нещодавній панелі Consensus назвали безпеку та KYC двома головними бар'єрами, які утримують їх осторонь від перп DEX.

Сам Drift планує перезапустися до липня 2026 року як більш компактна біржа, орієнтована виключно на перпи, зі спрощеним кодом, меншою кількістю типів застави та торгівлею, обмеженою найліквіднішими активами. Протокол буде розгорнуто за новою адресою з повністю зміненими ключами, з впровадженням часових замків на адміністративні операції та повним усуненням поверхні атаки через durable nonces.

Ця стратегія перезапуску сама по собі є уроком: перп DEX, який переможе в довгостроковій перспективі, буде той, що ставиться до безпеки як до продуктової функції — щось, у що варто інвестувати проактивно, а не латати реактивно. Протоколи, які зможуть продемонструвати надійне адміністративне управління, прозорі параметри ризику та достовірні механізми відновлення, здобудуть депозити від обережних трейдерів, які виводять кошти від менш вимогливих конкурентів.

Кожна угода — це рішення про довіру. Злам Drift щойно зробив ціну помилкової довіри гранично конкретною: $285 мільйонів, дванадцять хвилин і план відновлення, який може зайняти роки. Трейдери, які вивчили стек ризиків перед депозитом, були деінде, коли це сталося. Ті, хто перевіряв лише APY, — ні.