285 مليون دولار تم سحبها خلال 12 دقيقة، ليس بسبب خطأ برمجي، بل لأن النظام وثق بالبشر أكثر مما ينبغي.

في 1 أبريل 2026، تم استغلال Drift Protocol، أكبر منصة تداول لا نهائية على Solana، بمبلغ 285 مليون دولار. كان لدى البروتوكول حوالي $550M من إجمالي القيمة المقفلة قبل الهجوم، وتم محو أكثر من نصفها فعليًا خلال دقائق.

الجزء المهم هو هذا: لم يكن هناك شيء معطّل على مستوى الكود. لم يكن هناك خلل في العقود الذكية. تصرّف النظام تمامًا كما هو مصمم.

أنفق المهاجمون قرابة ستة أشهر في بناء الوصول. تواصلوا مع المساهمين في أواخر 2025 متظاهرين بأنهم شركة تداول شرعية، وحضروا مؤتمرات حقيقية، وأجروا مناقشات تقنية، وحتى نشروا أكثر من $1M في النظام البيئي ليبدوا موثوقين. ومع مرور الوقت، اكتسبوا الثقة وأدخلوا أدوات خبيثة عبر مستودعات أكواد مشتركة وتطبيقات مزيفة. وهذا ما سمح لهم باختراق أجهزة المساهمين المرتبطين بالحوكمة.

ومن هناك، استهدفوا طبقة الحوكمة بدلًا من الكود.

استخدمت Drift Protocol توقيعًا متعددًا بنظام 2-of-5 بدون آلية إمهال (timelock)، ما يعني أن أي اثنين من الموقعين يمكنهما الموافقة على الإجراءات الإدارية فورًا. استغل المهاجمون ذلك عبر الحصول على موافقة الموقعين على المعاملات مسبقًا باستخدام ميزة في Solana تُسمى durable nonces، والتي تتيح للمعاملة الموقّعة أن تظل صالحة إلى أجل غير مسمى. تم جمع هذه الموافقات قبل الاستغلال بأسابيع ولا يمكن إلغاؤها لاحقًا.

وفي الوقت نفسه، أنشأ المهاجمون رمزًا مزيفًا باسم CVT. قاموا بإصدار 750 مليون رمز، وأضفوا سيولة محدودة جدًا، واستخدموا التداول المغسول (wash trading) لجعله يبدو كأصل $1 حقيقي. قبلت منظومة الأوراكل في البروتوكول هذا التسعير باعتباره صالحًا لأنّه لم تكن هناك فحوصات صارمة للسيولة أو التحقق موجودة.

عندما أصبح كل شيء جاهزًا، استغرق التنفيذ حوالي 12 دقيقة.

استخدموا المعاملات المسبقة الموافقة للسيطرة على الحوكمة، وأدرجوا الرمز المزيف كضمان، وتلاعبوا بسعره عبر الأوراكل الخاص بهم، ورفعوا حدود السحب لإزالة ضوابط المخاطر بشكل فعّال. ثم أودعوا الضمان المزيف واقترضوا أصولًا حقيقية ضده عبر عدة خزائن.

بلغ إجمالي 31 معاملة تم من خلالها سحب حوالي $285 مليون من الأصول، بما في ذلك USDC وETH وSOL-based tokens، وغيرها.

خلال ساعات، تم نقل الأموال عبر سلاسل مختلفة. قام المهاجمون بتبديل الأصول إلى USDC، ثم قاموا بالربط (bridge) إلى Ethereum بما يزيد عن 100 معاملة، وحوّلوه إلى ما يقارب 129,000 ETH، وقسموا الأموال عبر عدة محافظ.

ارتُبط الهجوم بمجموعة Lazarus، التي استولت على أكثر من $200M من منظومات التشفير في السنوات الأخيرة.

لم تكن هذه مشكلة في تقنية البلوكشين. كانت مشكلة في تصميم الحوكمة وثقة البشر.

كان الأمر مزيجًا مما يلي:

• الهندسة الاجتماعية طويلة الأمد
• وصول مسبق إلى الحوكمة
• ضمان مزيف اجتاز فحوصات النظام
• تنفيذ فوري دون إجراءات حماية من التأخير