2.85 mil millones de dólares en vaporization ¡Drift Protocol sufre un ataque, por qué la línea de defensa de seguridad en DeFi resulta ser ineficaz?

1 de abril de 2026, Día de los Inocentes. La plataforma descentralizada de contratos perpetuos en la ecosistema de Solana, Drift Protocol, sufrió un importante ataque de hackers, con un total de aproximadamente 285 millones de dólares en activos robados, convirtiéndose en el mayor evento de pérdida individual en el campo de DeFi en 2026.

Esto no es una broma. Es una advertencia grave en la historia de la seguridad en DeFi.

¿Cómo ocurrió el ataque?

El ataque no fue repentino, sino que requirió aproximadamente ocho días de preparación meticulosa. Los datos en la cadena muestran que la dirección del atacante fue creada el 24 de marzo, obtuvo fondos iniciales a través del sistema de cross-chain NEAR Intents, y envió una pequeña transacción de prueba al vault de Drift para verificar los permisos de control del contrato.

El 1 de abril a las 16:00 (UTC), se abrió oficialmente la ventana de ataque. El atacante, tras obtener permisos de administrador en la billetera multisig del protocolo, vació en una hora varios pools de fondos en USDC, SOL, cbBTC, WETH y otros activos, y los transfirió a través de múltiples cadenas a la red de Ethereum para intercambiarlos por aproximadamente 129,000 ETH (valor aproximado de 278 millones de dólares).

El camino del ataque fue claro y letal:

· Creación de tokens falsos CVT
· Manipulación de precios en oráculos
· Desactivación de módulos de seguridad
· Extracción de activos de alto valor

Los fondos robados están dispersos en 4 direcciones de Ethereum, y el valor total bloqueado (TVL) del protocolo cayó abruptamente de 550 millones de dólares a aproximadamente 255 millones de dólares.

Causa raíz: falta de bloqueo temporal (Timelock)

La vulnerabilidad principal en este ataque radica en una deficiencia de seguridad en la configuración de gestión multisig de Drift. El informe de revisión de seguridad de SlowMist señala que, aproximadamente una semana antes del ataque, Drift ajustó el mecanismo multisig a un modo «2/5» (un firmante antiguo más cuatro nuevos firmantes), sin establecer ningún bloqueo temporal (Timelock).

El bloqueo temporal es un mecanismo de retraso obligatorio que requiere un período de espera de 24-48 horas tras cambios en permisos de alto nivel para que sean efectivos, proporcionando una ventana de detección de anomalías para la comunidad y los equipos de seguridad. La ausencia de bloqueo temporal significa que, si la clave privada de un nuevo firmante es comprometida o controlada maliciosamente, el atacante puede ejecutar operaciones a nivel de administrador de inmediato.

El atacante utilizó el único firmante original en la multisig antigua junto con otro nuevo firmante para firmar conjuntamente, transfiriendo los permisos de administrador a su propia dirección, evadiendo así todas las protecciones de seguridad a nivel de usuario.

Método del atacante: firma previa + ingeniería social

Este ataque combinó la técnica de firma previa basada en números aleatorios persistentes con métodos avanzados de ingeniería social. Desde el 23 de marzo, el atacante creó cuentas con números aleatorios persistentes para dos firmantes multisig y dos cuentas controladas por él. Mediante la manipulación del contenido de las transacciones, obtuvo firmas previas de los firmantes legítimos, almacenó estas firmas con números aleatorios persistentes y, el 1 de abril, ejecutó en masa las transacciones, logrando finalmente el control administrativo. Este incidente no involucró filtraciones de frases semilla ni vulnerabilidades en contratos inteligentes.

Reacción en la industria

Antes del incidente, Drift Protocol era uno de los mayores protocolos de préstamo en la ecosistema de Solana, con una financiación total superior a 52 millones de dólares, con inversores como Multicoin Capital, Polychain y otros fondos de capital de riesgo de primer nivel.

Tras el evento, el token de Drift cayó más del 40% en poco tiempo. Debido a la implicación de múltiples activos en la ecosistema de Solana, tokens como SOL y JUP también experimentaron caídas anómalas en diferentes grados.

El token DRIFT cayó de aproximadamente 0.072 dólares a 0.055 dólares, habiendo ya bajado cerca del 98% desde su pico antes del incidente.

La oficina oficial de Drift suspendió rápidamente todas las funciones de depósito y retiro, y enfatizó: “Esto no es una broma del Día de los Inocentes”. La billetera Phantom tomó medidas inmediatas, bloqueando el acceso a dicho protocolo.

Preocupación mayor: ¿hackers norcoreanos?

Charles Guillemet, CTO de Ledger, publicó que la técnica de ataque utilizada en esta vulnerabilidad de Drift es similar a la del incidente de hacking de Bybit en 2025, ampliamente asociado con hackers relacionados con Corea del Norte. Guillemet señaló que este ataque no fue dirigido a ningún contrato inteligente, sino que los atacantes penetraron durante mucho tiempo en los dispositivos de los firmantes multisig, engañándolos para aprobar transacciones maliciosas, con los firmantes creyendo que estaban autorizando operaciones legítimas.

¿Cómo proteger tus activos?

· Si has interactuado con Drift Protocol, retira inmediatamente los permisos, puedes verificar las aplicaciones conectadas en la billetera Phantom
· Considera usar varias billeteras para diversificar riesgos, y para fondos grandes, usa una billetera hardware
· Mantente alerta ante protocolos DeFi de alto rendimiento, revisa periódicamente las autorizaciones de contratos inteligentes

Advertencias de seguridad

El ataque a Drift Protocol vuelve a demostrar una verdad simple: el mayor riesgo en DeFi no suele ser una vulnerabilidad en el código, sino en las personas. La configuración del mecanismo multisig, la gestión de claves privadas y la auditoría de los procesos de firma son aspectos de “seguridad de proceso” que son mucho más críticos que la auditoría de código. Solo 10 días después del ataque a Resolv, que falló por no tener un mecanismo multisig, Drift también fue vulnerado por tener un umbral demasiado bajo y carecer de bloqueo temporal.

Ambos incidentes muestran claramente que la reestructuración fundamental de la arquitectura de privilegios es una necesidad urgente.