DeFi «ключ бога»: после кражи 285 миллионов долларов с Drift — крупнейшие уязвимости в децентрализованных финансах

Дрифт нанес этот удар — прямо в рану отрасли, с которой она меньше всего хочет иметь дело.

Автор: TechFlow

1 апреля, День дурака.

Крупнейшая в сети платформа бессрочных контрактов Drift Protocol на блокчейне Solana сейчас подвергается выкачиванию средств, а первая реакция сообщества звучит так: «Отличная шутка на День дурака».

Это не шутка. Около 13:30 по времени блокчейна ончейн-аккаунты мониторинга Lookonchain и PeckShield почти одновременно подняли тревогу: неизвестный кошелёк, начинающийся с «HkGz4K», с поразительной скоростью выводит активы из казны Drift. Первая транзакция — 41 миллион токенов JLP на сумму 155 миллионов долларов. Сразу после — 51,6 миллиона USDC, 125 тысяч WSOL, 164 тысячи cbBTC… Десятки видов активов, словно вода из ванны со снятой пробкой, хлынули наружу.

Один час. Активы казны упали с 309 миллионов долларов до 41 миллиона. Это более половины TVL — испарилось.

Команда Drift в X опубликовала твит с редкой для них степенью остроты: «Drift Protocol подвергается активной атаке. Депозиты и снятия приостановлены. Мы координируемся с несколькими компаниями по безопасности, кроссчейн-мостами и биржами, чтобы взять ситуацию под контроль».

А затем — та фраза, которая обречена быть вписанной в историю криптоиндустрии: «This is not an April Fools joke.»

Один ключ — и открываются все двери

Цифры по украденным у Drift средствам разнятся в зависимости от источника. PeckShield оценивает примерно 285 миллионов долларов, Arkham приводит цифру свыше 250 миллионов, предварительная оценка CertiK — около 136 миллионов. Но какая бы цифра ни оказалась верной, это — крупнейший на 2026 год на сегодняшний день DeFi-инцидент в сфере безопасности.

Более пристальное внимание заслуживает не цифры, а способ атаки.

Основатель PeckShield Цзян Сюйсянь (Jiang Xuxian) сказал Decrypt предельно прямо: администраторский ключ за Drift «однозначно был раскрыт или взломан». Картина атаки, которую ончейн-исследователи собрали по фрагментам, показывает: хакер получил привилегированный доступ к протоколу Drift, а затем взял под контроль потоки средств из казны.

Иначе говоря, без изящной эксплуатации уязвимости в смарт-контракте, без атак с помощью флэш-кредитов, без манипуляций оракулами. Это самый первичный и самый банальный провал безопасности: кто-то потерял приватный ключ.

Ещё более тревожная деталь: атакующий не действовал в порыве момента. Данные ончейн-исследований показывают, что этот кошелёк получил стартовые средства через Near Intents за 8 дней до начала атаки, после чего оставался в бездействии. За неделю до атаки он даже получил от казны Drift небольшую транзакцию на сумму 2,52 доллара. Проба, «стук в дверь».

Неделю спустя дверь вышибли.

Крушение «крипто- Robinhood»

Для сооснователя Drift Синди Леоу (Cindy Leow) кошмар 1 апреля имеет особенно жестокий оттенок фона.

История этой малайзийской китайской предпринимательницы когда-то была одной из лучших вдохновляющих DeFi-саг в экосистеме Solana. В 2016 году она начинала с арбитража по биткоину между Кореей и Китаем, работала с собственным фондом, внесла вклад в проекты деривативов в Ethereum, а в 2021 году вместе с David Lu создала Drift — сделав ставку на преимущество Solana в скорости при работе ончейн бессрочных контрактов.

По таймлайну Drift почти попала во все волны. В 2024 году получила две раунды финансирования с Polychain и Multicoin в качестве лидов — в сумме 52,5 миллиона долларов. Запустили прогнозный рынок, бросив вызов Polymarket, запустили плечо 50x, TVL превысил 550 миллионов долларов, а совокупный объём торгов — более 50 миллиардов. Во время интервью Fortune Leow использовала амбициозную формулировку: создать «крипто- Robinhood».

Теперь это сравнение читается с горечью. Ядро обещания Robinhood — дать обычным людям доступ к финансовым инструментам Уолл-стрит. Ядро обещания Drift — дать пользователям «некастодиальный» торговый опыт ончейн: ваши деньги не проходят через руки кого бы то ни было — только взаимодействие с кодом.

Но за кодом стоит администраторский ключ. А безопасность этого ключа в конечном счёте зависит не от криптографии — а от человека.

Есть и ещё одна болезненная историческая случайность. В 2022 году в эпоху Drift v1 уже был инцидент, когда казна была выкачана. После этого команда подготовила чрезвычайно подробный технический отчёт, и даже публично раскрыла фрагмент кода доказательства концепции, показывающего, как атакующий может в одной транзакции выкачать всю казну. Тогда потери составили 14,5 миллиона долларов, и команда полностью компенсировала их за свой счёт пользователям.

Спустя четыре года тот же кошмар повторился в 20-кратном масштабе.

Вера без децентрализации — уязвимость централизованного

Если отвести взгляд от Drift и посмотреть шире, вы заметите, как складывается неприятная закономерность.

В начале 2025 года служба управления ключами AWS от Resolv Labs была взломана: атакующий утвердил крупномасштабную операцию по чеканке стейблкоина USR с помощью привилегированного ключа, что привело к цепочке кросс-платформенных потерь. В том же 2025 году общая сумма криптокраж достигла рекордных 3,4 миллиарда долларов, а отчёт Chainalysis особо отмечает смену тенденции: самые разрушительные события происходят на уровне инфраструктуры. Взломанные машины разработчиков, единственный ключ чеканки, хранящийся в облаке, подписные процессы, выуженные фишингом через социнженерию — именно они по-настоящему проглатывают средства.

Теперь к этому добавился Drift.

Если поставить эти кейсы рядом, вывод почти невозможно обойти стороной: безопасность приватных ключей уже заменила уязвимости смарт-контрактов и стала главным системным риском DeFi.

Здесь есть когнитивный разрыв — настолько большой, что способен поглотить десятки миллиардов.

Снаружи DeFi-протоколы рассказывают историю о «децентрализации», «некастодиальности», «без доверия». Ваши активы хранятся кодом, и никто не может прикоснуться к вашим деньгам. Пользователи верят этому, кладут деньги в эти протоколы и в голове держат мысль: «Я имею дело с математикой».

Но реальность такова, что почти каждый DeFi-протокол, который работает в реальной сети, имеет один или несколько «ключей от бога»: admin key, права на обновления, контроль над казной, переключатели экстренной паузы. Иногда наличие этих ключей нужно для безопасности (быстрое экстренное торможение, если что-то пойдёт не так), иногда — ради гибкости (возможность обновлять логику контрактов), но их суть одинакова: централизованная точка доверия, завернутая в децентрализованное повествование.

Пользователи думают, что взаимодействуют с кодом. На деле же они доверяют человеку или небольшой группе людей — тем, кто не ошибается, не станет жертвой фишинга, не будет под давлением и не оставит ноутбук в кафе на поздней ночи.

Это не уникальная проблема Drift — это структурное противоречие всей отрасли DeFi.

Куда делись 285 миллионов долларов

Действия атакующего ончейн были чистыми и точными, с хладнокровием профессионала.

После вывода активов из казны Drift он быстро конвертировал большую часть токенов в стейблкоины, а затем перенёс средства через кроссчейн-мост Wormhole в сеть Ethereum. На Ethereum он частью стейблкоинов купил примерно 19 913 ETH (стоимость около 42,6 миллиона долларов), а оставшиеся средства распределил по нескольким адресам кошельков.

Есть абсурдная деталь: в кошельке атакующего также находилось большое количество Fartcoin — около 2,5% от общего предложения этого токена. Хакер, только что завершивший крупнейшую кражу DeFi за год, держит в руках целую кучу meme-монет, названных так, словно это «пук».

На момент публикации депозиты и снятия в Drift всё ещё приостановлены: токен DRIFT упал с примерно 0,072 доллара до около 0,05 доллара с момента атаки, снижение превышает 28%. От своей исторической максимальной цены 2,60 доллара суммарное падение — более 98%. Phantom-кошелёк уже показывал предупреждение пользователям, пытавшимся получить доступ к Drift.

Команда Drift заявляет, что координируется с компаниями по безопасности, операторами кроссчейн-мостов и централизованными биржами, пытаясь заморозить и отследить украденные средства. Но если история может служить хоть каким-то ориентиром, вероятность возврата средств, переведённых через мосты и распределённых по множеству кошельков, невысока.

Вопрос, с которым отрасль обязана честно столкнуться

Этот удар Drift пришёлся прямо в ту рану, с которой отрасль меньше всего хочет иметь дело.

В конце 2025 года Chainalysis в отчёте оптимистично отмечала, что безопасность DeFi достигла «существенного прогресса»: даже при удвоении TVL до 119 миллиардов долларов потери хакеров в сфере DeFi снижались. Пример Venus Protocol приводили как позитивный кейс: система мониторинга безопасности обнаружила аномалию за 18 часов до атаки, протокол быстро приостановил работу, механизмы управления заморозили средства атакующих, и даже сама атака оказалась убыточной для хакера.

Drift поставил «нарратив прогресса» под сомнение. Можно довести аудит смарт-контрактов до совершенства, можно развернуть самые продвинутые системы ончейн-мониторинга — но если один или несколько admin key окажутся выманенными через социнженерию, пойманными на фишинге или взломанными силой, вся система безопасности рухнет, как крепость на песке.

Отрасль DeFi должна остановиться и честно ответить на вопрос: когда вы говорите пользователям «некастодиальность», что именно вы имеете в виду?

Если протоколный admin key может в любой момент перевести все активы из казны, то чем это реально отличается от того, что вы кладёте деньги на банковский счёт человека, которого не знаете? Хотя бы у банка есть страховка, регулирование и право юридического обращения.

Возможно, ответ не в отмене этих полномочий — во многих случаях они действительно нужны. Но как минимум отрасль должна перестать притворяться, что их нет. Мультиподписное управление, timelock, аппаратные модули безопасности (HSM), ротация ключей… эти технические решения существуют уже много лет, но слишком многие протоколы по-прежнему ставят безопасность на надежду на бдительность одного-двух операторов, от которых зависит миллиарды.

Мечта «крипто- Robinhood» прекрасна. Но прежде чем её реализовать, стоит ответить на более фундаментальный вопрос: кто хранит ту самую ключевую вещь?