O evento de roubo mais sério de Defi em 2026 ocorreu‼️‼️
O Drift Protocol publicou no Twitter que a plataforma foi roubada em 280 milhões de dólares, e todo esse processo não foi devido a uma falha do projeto, nem a um erro no contrato, mas sim uma conspiração que durou seis meses.
O token $DRIFT caiu de um pico de 2,4 dólares para um mínimo de 0,03 dólares, investidores da FTX/Alameda venderam 6,94 milhões de DRIFT, cerca de 320 mil dólares, através da Wintermute após o roubo, gerando um efeito dominó...
Vamos analisar o que aconteceu:
1️⃣ O hacker disfarçou-se como uma empresa de trading quantitativo em 2025, contatou a equipe do Drift em uma reunião e, no final do ano de 2025, a equipe depositou 1 milhão de dólares, realizando várias reuniões de trabalho com o projeto e encontros presenciais para estabelecer confiança, realizando uma infiltração de engenharia social a longo prazo.
2️⃣ O hacker começou a compartilhar repositórios de código e o aplicativo TestFlight, por meio de links maliciosos no repositório de código + o aplicativo TestFlight invadiu dispositivos para obter a chave privada do administrador, executando transferências e depois limpando os vestígios.
3️⃣ Em 11 de março, o hacker retirou cerca de 10 ETH do Tornado Cash como capital inicial, assinou o completamente fictício Token CarbonVote e cunhou cerca de 750 milhões de unidades, injetando apenas cerca de 500 dólares em liquidez no Raydium, criando preços históricos falsos por meio de wash trading, fazendo com que o oráculo do Drift confundisse o CVT como colateral válido.
4️⃣ Em 23 de março, foram criadas várias contas com nonce duráveis, das quais 2 estavam relacionadas a membros do Conselho de Segurança do Drift, essas transações pré-assinadas pareciam rotineiras, mas escondiam autorizações chave que permitiam a execução atrasada subsequente.
5️⃣ Em 25 de março, o Drift executou a migração do Conselho de Segurança planejada, e o atacante rapidamente se adaptou para obter novamente assinaturas suficientes na nova configuração, e o novo multi-assinatura não tinha bloqueio de tempo (timelock = 0, tornando-se a maior vulnerabilidade, o atacante fez testes de pequenos valores na carteira principal.
6️⃣ Em 1º de abril, em menos de 12 a 20 minutos, o atacante utilizou transações pré-assinadas com nonce duráveis para realizar 31 ataques, obtendo instantaneamente privilégios de administrador do Conselho de Segurança, alterando a chave admin e trancando a equipe do lado de fora, e rapidamente trocando os fundos através do agregador Jupiter para USDC, e depois transferindo através de Wormhole / CCTP e outras transferências cross-chain para comprar grandes quantidades de ETH.
⭐️ Este ataque não foi um bug de código, mas sim uma falha humana + de governança, engenharia social + pré-assinatura enganosa + multi-assinatura sem atraso, que foi a combinação fatal deste ataque.
#DriftProtocol