Drift - крупнейший перпетуальный DEX на Solana. 1 апреля 2026 протокол потерял ~$285M. Не из-за бага в смарт-контракте.
Осень 2025. На конференции к команде Drift подходят ребята из "квантового трейдингового фонда". Технически грамотные, проверяемые биографии. Встречи вживую в нескольких странах, переписка в Telegram, рабочие сессии. В декабре-январе вносят $1M+ в Ecosystem Vault. Полгода совместной работы. Уже не чужие.
На самом деле
UNC4736 (AppleJeus/Citrine Sleet) - группировка КНДР, взломавшая Radiant Capital в 2024. Живые контакты - не сами северокорейцы, а посредники с сконструированными личностями.Компрометация
Два вектора: вредоносный репозиторий (якобы фронтенд для волта), эксплуатирующий уязвимость VSCode/Cursor - открытие проекта в редакторе выполняло произвольный код без предупреждений. Cursor по умолчанию отключает Workspace Trust,
.vscode/tasks.json срабатывает при открытии проекта (Владимир рассказывал о подобном классе баг в подкасте тут). Второй вектор - фейковый кошелек через Apple TestFlight. Цель - приватные ключи подписантов мультисига.Подготовка on-chain
11 марта: 10 ETH из Tornado Cash, деплой фиктивного CarbonVote Token - 750M юнитов. Деплой в 09:30 по Пхеньяну.23 марта: четыре durable nonce аккаунта. Два привязаны к членам Security Council Drift, два к атакующему. Durable nonces - фича Solana: подписал транзакцию сегодня, выполнил через неделю. Обычные протухают за минуты. Отозвать нельзя, если не сдвинуть nonce вручную.27 марта: Drift мигрирует Security Council на 2-из-5 с нулевым таймлоком. Миграция инвалидирует старые подписи, но к 30 марта атакующие повторно получают две подписи обманом - те и так обрабатывают больше запросов чем обычно. Транзакции выглядели рутинно, но содержали передачу админ-прав.Момент атаки
1 апреля,
16:05 UTC. Две предподписанные транзакции, разница 4 слота:AdvanceNonceAccount
-> proposalApprove
-> vaultTransactionExecute
-> UpdateAdmin
Контроль над протоколом. Создание рынка фейкового токена с заранее подготовленным Switchboard-оракулом, отключение circuit breakers, депозит как залога.
Основные волты выведены за 10 секунд:
16:06:09 - 16:06:19. Все 31 транзакция за ~12 минут.Итого: ~$285M
USDC, JLP, SOL, cbBTC, wETH, WBTC, JTO и да - FARTCOIN.
Бриджнуто на Ethereum через Circle CCTP за часы. DRIFT упал на 40%+.
Почему это работало
Смарт-контракты в порядке. Мультисиг работал как задумано - две подписи из пяти, выполнено. Нулевой таймлок убрал окно обнаружения. Durable nonces убрали срок годности подписей. Полгода соц. инженерии убрали подозрения. Каждый элемент - норма. Вместе - $285M.
18-й инцидент КНДР с начала 2026. Крупнейший DeFi-взлом года. Крупнейший эксплойт нативного Solana DeFi в истории. Самый дорогой нетворкинг в истории крипты.
TRM Labs | BlockSec | CoinDesk