L'incident de vol le plus grave de Defi en 2026 est survenu‼️‼️
Le protocole Drift a déclaré sur Twitter que la plateforme avait été volée pour 280 millions de dollars, et que tout cela n'était pas dû à une faille du projet, ni à une erreur de contrat, mais à une préparation de six mois.
Le jeton $DRIFT est passé d'un sommet de 2,4 dollars à un minimum de 0,03 dollars, les investisseurs FTX/Alameda ayant vendu 6,94 millions de DRIFT d'une valeur d'environ 320 000 dollars via Wintermute après le vol, entraînant un effet domino...
Reprenons ce qui s'est passé :
1️⃣ Les hackers se sont déguisés en société de trading quantitatif en 2025 pour approcher l'équipe Drift lors d'une réunion et ont déposé 1 million de dollars à la fin de l'année 2025, participant à de nombreuses réunions de travail avec le projet et se rencontrant hors ligne pour établir la confiance, menant une infiltration d'ingénierie sociale à long terme.
2️⃣ Les hackers ont commencé à partager le dépôt de code et l'application TestFlight, utilisant des liens malveillants dans le dépôt de code + l'application TestFlight pour infiltrer les appareils et obtenir la clé privée de l'administrateur, exécutant des transferts et effaçant les traces.
3️⃣ Le 11 mars, les hackers ont retiré environ 10 ETH de Tornado Cash comme fonds de départ, créant un token CarbonVote entièrement fictif et frappant environ 750 millions d'unités avec seulement environ 500 dollars de liquidités injectées dans Raydium, utilisant le wash trading pour créer une fausse histoire de prix, amenant l'oracle de Drift à considérer le CVT comme un collatéral valable.
4️⃣ Le 23 mars, plusieurs comptes de nonce durable ont été créés, dont 2 étaient associés à des membres de la multsignature du Drift Security Council, ces transactions pré-signées apparaissant comme des opérations de routine, mais cachant une autorisation clé permettant un retard d'exécution ultérieur.
5️⃣ Le 25 mars, Drift a exécuté la migration de la multsignature du Security Council prévue, les attaquants s'adaptant rapidement pour obtenir à nouveau suffisamment de signatures dans la nouvelle configuration et la nouvelle multsignature n'ayant pas de verrouillage temporel (timelock = 0 devenant la plus grande faille, les attaquants testant de petites sommes dans leur portefeuille principal.
6️⃣ Le 1er avril, en moins de 12 à 20 minutes, les attaquants ont déclenché 31 attaques en utilisant des transactions pré-signées de nonce durable, obtenant instantanément les droits d'administration du Security Council, modifiant la clé admin pour verrouiller l'équipe à l'extérieur, et convertissant rapidement les fonds via l'agrégateur Jupiter en USDC, puis transférant à travers Wormhole / CCTP vers Ethereum pour acheter une grande quantité d'ETH.
⭐️ Cette attaque n'est pas due à un bug de code, mais à un échec humain + de gouvernance, une combinaison fatale d'ingénierie sociale + de pré-signatures trompeuses + de multsignature sans délai.
#DriftProtocol