Drift Protocol ถูกแฮ็กไปมูลค่า 285 ล้านดอลลาร์: เกิดอะไรขึ้น และอะไรจะเกิดขึ้นต่อไป

เมื่อวันที่ 1 เมษายน 2026 โปรโตคอล Drift Protocol ที่ใช้ Solana ถูกโจมตีจนสูญเสียเงินไปประมาณ 285 ล้านดอลลาร์สหรัฐ ทำให้เป็นการแฮ็ก DeFi ครั้งใหญ่ที่สุดของปีนั้นจนถึงปัจจุบัน ผู้โจมตีใช้การวางแผนล่วงหน้าหลายสัปดาห์ โดยใช้โทเค็นปลอม ปรับแต่งฟีดราคา และธุรกรรมที่ลงนามล่วงหน้า เพื่อเข้าควบคุมการดูแลระบบของโปรโตคอล จากนั้นก็ดูดเงินของผู้ใช้จริงออกไปภายในเวลาไม่ถึง 12 นาที

เกิดอะไรขึ้นกับ Drift Protocol เมื่อวันที่ 1 เมษายน?

การโจมตีครั้งนี้ไม่ได้เกิดขึ้นโดยไม่มีสาเหตุ ทีมงาน Drift Protocol ระบุว่าเป็นการวางแผนล่วงหน้าหลายวัน ซึ่งเพิ่งปรากฏให้เห็นเมื่อความเสียหายเกิดขึ้นแล้ว

มูลค่ารวมที่ถูกล็อกไว้ (TVL) ของ Drift ลดลงจากประมาณ 550 ล้านดอลลาร์ เหลือต่ำกว่านั้น $ 300 ล้าน ภายในเวลาไม่ถึงหนึ่งชั่วโมง โทเค็น DRIFT ร่วงลงมากกว่า 40% ในระหว่างเหตุการณ์ดังกล่าว บริษัทรักษาความปลอดภัย PeckShield ได้รับการยืนยัน ความเสียหายมีมูลค่าเกิน 285 ล้านดอลลาร์สหรัฐ ซึ่งคิดเป็นมากกว่า 50% ของมูลค่ารวมที่คาดว่าจะสูญเสีย (TVL) ของโปรโตคอล ณ ขณะนั้น

จังหวะเวลาดังกล่าวทำให้เกิดความสับสนขึ้นทันที ทีมงานของ Drift ได้โพสต์ข้อความบน X เพื่อชี้แจงว่าสถานการณ์เป็นเรื่องจริง โดยเขียนว่า "นี่ไม่ใช่เรื่องตลกวันเอพริลฟูลส์ โปรดระมัดระวังจนกว่าจะมีประกาศเพิ่มเติม"

ในระหว่างการสอบสวน ระบบได้ระงับการฝากและถอนเงินทั้งหมด

ผู้โจมตีเตรียมการโจมตีล่วงหน้าหลายวันได้อย่างไร?

จากรายงานระบุว่า ผู้โจมตีใช้เวลาอย่างน้อย 9 วันในการเตรียมการเพื่อลงมือโจรกรรม

โทเค็นปลอมและกับดักออราเคิล

ผู้โจมตีได้สร้างโทเค็นชื่อว่า โทเค็นคาร์บอนโหวต (CVT)โดยสร้างโทเค็นประมาณ 750 ล้านหน่วย พวกเขาเริ่มต้นพูลสภาพคล่องบน Raydium ด้วยเงินเพียง 500 ดอลลาร์ และใช้การซื้อขายแบบปั่นราคา (wash trading) คือการซื้อและขายโทเค็นระหว่างกระเป๋าเงินของตนเอง เพื่อสร้างประวัติราคาปลอมที่ใกล้เคียง 1 ดอลลาร์ เมื่อเวลาผ่านไป ระบบตรวจสอบราคาบนบล็อกเชน (on-chain price oracles) ตรวจพบราคาปลอมนี้และถือว่า CVT เป็นสินทรัพย์ที่ถูกต้องตามกฎหมายซึ่งมีมูลค่าประมาณ 1 ดอลลาร์ต่อโทเค็น

ออราเคิลคือบริการที่ป้อนข้อมูลราคาจากภายนอกเข้าสู่สัญญาอัจฉริยะ เมื่อออราเคิลได้รับข้อมูลที่ถูกดัดแปลง สัญญาอัจฉริยะจะไม่มีทางรู้ได้ว่าราคานั้นเป็นราคาปลอม

การโจมตี Nonce ที่ทนทาน

นอกจากนี้ ผู้โจมตียังใช้ฟีเจอร์ของ Solana ที่เรียกว่า durable nonce เพื่อลงนามธุรกรรมล่วงหน้าและหน่วงเวลาการดำเนินการ durable nonce จะเข้ามาแทนที่กลไกการหมดอายุของธุรกรรมตามปกติ ทำให้สามารถเก็บธุรกรรมที่ลงนามแล้วไว้และส่งได้ทุกเมื่อในอนาคต

ค้นพบโครงการอันน่าตื่นเต้น...

โครงการอันน่าสัญญา...

(โฆษณา)

บทความต่อ...

ลำดับเหตุการณ์:

• มีนาคม 23: มีการสร้างบัญชี nonce ที่ทนทานจำนวน 4 บัญชี โดย 2 บัญชีเชื่อมโยงกับสมาชิก multisig ตัวจริงของ Drift Security Council และอีก 2 บัญชีถูกควบคุมโดยผู้โจมตี
• มีนาคม 27: Drift ได้ทำการย้ายคณะมนตรีความปลอดภัยเนื่องจากการเปลี่ยนแปลงสมาชิกตามแผน ผู้โจมตีสามารถเข้าถึงผู้ลงนามสองรายใน multisig ที่ได้รับการอัปเดตแล้วได้เช่นกัน
• มีนาคม 30: มีการสร้างบัญชี nonce ถาวรใหม่สำหรับสมาชิกของระบบ multisig ที่ได้รับการอัปเดตแล้ว
• เมษายน 1: ผู้โจมตีดำเนินการทำธุรกรรม nonce ที่ลงนามล่วงหน้าสองครั้ง โดยห่างกันสี่ช่อง ทำให้การถ่ายโอนสิทธิ์การดูแลระบบเสร็จสมบูรณ์ ซึ่งส่งผลให้พวกเขาสามารถควบคุมสิทธิ์ระดับโปรโตคอลได้

เมื่อแฮ็กเกอร์เข้าถึงสิทธิ์ผู้ดูแลระบบได้แล้ว เขาได้เพิ่ม CVT เป็นตลาดที่ถูกต้องบน Drift ลบข้อจำกัดการถอนทั้งหมด ฝากโทเค็น CVT หลายร้อยล้านโทเค็นเป็นหลักประกัน จากนั้นดำเนินการถอนเงินอย่างรวดเร็ว 31 ครั้ง โดยถอนสินทรัพย์จริงทั้งหมด รวมถึง USDC, JLP, SOL, Wrapped BTC, Jito (JTO) และเหรียญมีม Fartcoin (FRT) ภายในเวลาประมาณ 12 นาที

Drift ยืนยันว่าการโจมตีไม่ได้เกิดจากข้อผิดพลาดในสัญญาอัจฉริยะหรือวลีเริ่มต้นที่ถูกบุกรุก แต่เกี่ยวข้องกับ "การอนุมัติธุรกรรมที่ไม่ได้รับอนุญาตหรือบิดเบือนความจริงที่ได้รับก่อนการดำเนินการ"

การตรวจสอบความปลอดภัยโดย Trail of Bits ในปี 2022 และ ClawSecure ในเดือนกุมภาพันธ์ 2026 ยืนยันว่า Drift ไม่ได้รับผลกระทบ แต่การตรวจสอบทั้งสองครั้งไม่ได้ตรวจพบการเปิดตัว CVT สู่ตลาด หรือการเปลี่ยนแปลงด้านการกำกับดูแลที่ทำให้การโจมตีเกิดขึ้นได้

เงินที่ถูกขโมยไปนั้นไปอยู่ที่ไหน?

หลังจากเจาะระบบสำเร็จ ผู้โจมตีก็รีบปกปิดร่องรอยอย่างรวดเร็ว

สินทรัพย์ที่ถูกขโมยถูกแปลงเป็น USDC และ SOL จากนั้นโอนจาก Solana ไปยัง Ethereum โดยใช้โปรโตคอลการโอนข้ามเชน (CCTP) ของ Circle บน Ethereum ผู้โจมตีได้แปลงเงินเหล่านั้นเป็น ETH จากการติดตามบนเชน ผู้โจมตีสะสม ETH ได้ทั้งหมด 129,066 ETH ซึ่งมีมูลค่าประมาณ $ 273 ล้าน ในเวลาที่

นอกจากนี้ ผู้โจมตียังฝาก SOL เข้าทั้งใน HyperLiquid และ Binance ซึ่งทำให้การติดตามตรวจสอบข้ามแพลตฟอร์มและกระเป๋าเงินหลายแห่งทำได้ยากขึ้น

บริษัท Circle ได้ทำมากพอที่จะหยุดยั้งการโจรกรรมหรือไม่?

ผู้สืบสวนบนเครือข่าย ZachXBT ถูกวิพากษ์วิจารณ์อย่างเปิดเผย วงกลมหลังจากช่องโหว่ดังกล่าว ชี้ให้เห็นว่า USDC จำนวนมากที่ถูกขโมยไปนั้นถูกโอนจาก Solana ไปยัง Ethereum ในช่วงเวลาทำการของสหรัฐฯ โดยที่ไม่ถูกระงับไว้

ZachXBT เปรียบเทียบการตอบสนองนี้กับการตัดสินใจล่าสุดของ Circle ที่สั่งอายัดกระเป๋าเงินดิจิทัลของบริษัท 16 แห่งที่ไม่เกี่ยวข้องกันในคดีแพ่งลับในสหรัฐฯ โดยโต้แย้งว่า Circle มีทั้งความสามารถและแบบอย่างที่จะเข้าแทรกแซงได้ แต่กลับไม่ดำเนินการอย่างรวดเร็วพอที่จะจำกัดความเสียหายได้

นอกจากค่า Drift แล้ว โปรโตคอลใดบ้างที่ได้รับผลกระทบ?

ผลกระทบขยายวงกว้างไปทั่วระบบนิเวศ DeFi ของ Solana แพลตฟอร์มหลายแห่งที่เชื่อมต่อกับสภาพคล่องของ Drift หยุดการดำเนินงานชั่วคราวหรือรายงานความสูญเสีย:

• PiggyBank_fi รายงานว่ามีการลงทุนประมาณ 106,000 ดอลลาร์สหรัฐ ผ่านกลยุทธ์เดลต้า-เนทอรัล และครอบคลุมผู้ใช้งานโดยตรงโดยใช้เงินทุนของทีม
• Reflect Money ได้ระงับการสร้างและการแลกเปลี่ยนเหรียญ USDC+ และ USDT+ ​​ชั่วคราว
• Ranger Finance ได้ระงับการฝากและถอน RGUSD โดยมีมูลค่าความเสี่ยงประมาณกว่า 900,000 ดอลลาร์สหรัฐ
• Project0 หยุดการกู้ยืมโดยใช้ตำแหน่งของ Drift เป็นหลักประกันเพื่อเป็นการป้องกันไว้ก่อน
• TradeNeutral, GetPyra, xPlace, Uselulo และ Elemental DeFi ต่างระงับการใช้งานฟีเจอร์หลักบางอย่าง หรือรายงานว่ามีความเสี่ยงจำกัด
• Jupiter Exchange ยืนยันว่ากลุ่ม JLP ของตนยังคงได้รับการสนับสนุนอย่างเต็มที่

ต่อไป Drift จะเป็นอย่างไร?

Drift กำลังประสานงานกับบริษัทรักษาความปลอดภัยหลายแห่ง ตลาดแลกเปลี่ยน ตัวกลาง และหน่วยงานบังคับใช้กฎหมาย เพื่อติดตามและกู้คืนทรัพย์สินที่ถูกขโมย ระบบ multisig ได้รับการอัปเดตเพื่อลบกระเป๋าเงินที่ถูกบุกรุกแล้ว ฟังก์ชันโปรโตคอลที่เหลือทั้งหมดถูกระงับไว้ชั่วคราว

ตามข้อมูลจาก Immunefi ซีอีโอ มิทเชล อมาดอร์ผลกระทบต่อราคาโทเค็นมักจะคงอยู่นานกว่าระยะเวลาที่การโจมตีสิ้นสุดลง ข้อมูลจาก Immunefi แสดงให้เห็นว่า 83% ของโทเค็นดั้งเดิมจากโปรโตคอลที่ถูกแฮ็กไม่สามารถฟื้นตัวกลับไปสู่ราคาเดิมก่อนถูกแฮ็กได้

คาดว่าจะมีรายงานชันสูตรพลิกศพโดยละเอียดจาก Drift ในอีกไม่กี่วันข้างหน้า

แหล่งข้อมูล

1. PeckShield บน X: โพสต์ (1-2 เมษายน)

2. Lookonchain บน X: โพสต์ (1-2 เมษายน)

3. โปรโตคอลการดริฟท์บน X: โพสต์ (1-2 เมษายน)

4. มิทเชลล์ อมาดอร์ บน Xโพสต์เมื่อวันที่ 25 มีนาคม