Drift遭黑客洗劫逾2亿美元：来龙去脉与深层警示

撰文：jsai@金色财经&Claude

熊市多被盗！

2026年4月1日，Solana生态最大的DEX协议之一Drift Protocol遭遇黑客攻击，在不到一个小时内损失超过 2 亿美元。

虽然发生在4月1日，但这不是愚人节玩笑。

一、Drift是谁？

Drift Protocol是Solana生态中最重要的去中心化衍生品交易所之一，以永续合约交易（Perp）为核心业务，支持多资产抵押和存款生息。事发前，Drift的总锁仓量（TVL）超过5.5亿美元，日均永续合约交易量接近7000万美元，是Solana链上DeFi生态的核心基础设施之一。

然而，2026年4月1日，这座价值数亿的金库在不到一个小时内几乎被清空。

二、事件经过：一场精心预谋的清仓

预谋阶段（8天前）

链上研究人员发现，攻击者的钱包（HkGz4KmoZ7Zmk7HN6ndJ31UJ1qZ2qgwQxgVqQwovpZES）在攻击发生八天前即已被创建，并通过NEAR协议的Intents跨链系统获得初始资金，此后该地址保持沉默，静待时机。攻击者还向Drift Vault发送了价值约2.52美元的测试交易，以验证其对合约的控制权。

攻击发生（UTC时间4月1日16:00，北京时间4月2日凌晨0时）

攻击正式开始于UTC时间16:00。第一笔交易从Drift金库转出了价值约1.55亿美元的JLP代币（Jupiter流动性池凭证），随后攻击者在约一小时内通过约11笔协调交易，将多个金库的资产悉数取出。

被盗资产的构成令人触目：包括4172万枚JLP（约1.556亿美元）、5161.6万枚USDC（约5162万美元）、12.5万枚wSOL（约1045万美元）、164349枚cbBTC（约1129万美元），以及其他代币。

在短短数分钟内，Drift某个金库的资产从3.09亿美元骤降至4100万美元。

洗钱与资产转移

攻击者并未滞留资金。链上数据显示，黑客将SOL代币存入了Hyperliquid和币安交易所，并购买了价值超过8200万美元的以太坊（ETH）。部分资金通过Wormhole跨链桥转移至以太坊网络，随后分散到多个地址。攻击者还通过跨链铸造了约400万美元的USDC，目前这部分稳定币已在以太坊网络被Circle冻结。

协议响应

Drift团队在北京时间凌晨约3时在X上发布警告："Drift Protocol正在遭受主动攻击。存款和提款已暂停。我们正在与多家安全公司、跨链桥和交易所协调，控制事态发展。这不是愚人节玩笑。"

鉴于事件发生在4月1日，Drift官方特意强调"这不是愚人节玩笑"——这句话本身道尽了这场事故的荒诞与沉痛。

三、被盗根源：不是智能合约漏洞，是人为失误

目前官方调查仍在进行，但链上研究人员和安全专家已指向最可能的攻击向量：管理员私钥泄露。但这种私钥泄露到底是黑客作为还是监守自盗值得打一个大大的问号。

区块链安全公司PeckShield创始人告诉Decrypt，此次攻击依赖于获得Drift协议的特权访问权限。"Drift背后的管理员密钥肯定被泄露或以某种方式被攻破了，"他表示。换句话说，这是一个人为错误，而非技术层面的智能合约漏洞。

慢雾创始人余弦发文分析Drift被盗事件指出，攻击发生前一周，Drift将多签机制调整为“2/5”（1个旧签名者+4个新签名者），且未设置时间锁（timelock）。攻击者随后获取管理员权限，伪造CVT代币、操纵预言机、关闭安全机制，并从资金池中转移高价值资产。

研究人员注意到，黑客获得管理员权限后，通过修改管理员密钥的方式将Drift团队自己锁在了门外，使其无法停止正在进行的攻击，从而完成了对多个资金池的清仓。

更严峻的是，事后披露，Drift Protocol缺乏CertiK等主流机构的安全审计，治理权限设计也存在明显的集中化漏洞。尽管审计本身不能保证万无一失，但它有助于消除显而易见的攻击点。

四、哪些协议和生态受到波及？

直接影响

Solana上多家公开上市的Solana财库公司，包括Forward Industries和DeFi Development Corp，已声明其国库未受此次事件影响。不过，受Drift深度嵌入Solana DeFi生态影响，连锁反应迅速扩散。Jupiter、Perena、Project 0、Exponent、Carrot、Ranger、PiggyBank、Reflect、Project 0、Elemental、Neutral Trade、Pyra、Fuse、Neutral Trade、XPlace等15个协议发文确认受到Drift被盗不同程度影响。

代币市场

Drift原生治理代币DRIFT在事发后暴跌逾28%，报约0.049美元。该代币距其2024年11月历史高点2.60美元，已累计下跌逾98%。

Solana原生代币SOL也在事发后数小时内出现下跌，最低触及83.82美元，随后略有回升。

跨协议风险

由于攻击者持有大量FARTCOIN，约占全部流通量的2.5%，若其择机抛售，可能对该代币价格造成冲击。被盗的wBTC与ETH等包装资产大量流向市场，也可能对相关协议造成脱锚压力。

基础设施层的响应

Solana生态钱包Phantom已对尝试访问Drift Protocol的用户实施警告提示。Circle也在得到通知后，对部分已转移至以太坊的USDC实施了冻结。

五、历史坐标：Solana生态最大劫案之一

根据Rekt的链上黑客事件排行榜，此次攻击如果最终确认损失规模，将成为Solana生态有史以来规模最大的攻击事件之一，仅次于2022年3.26亿美元的Wormhole跨链桥黑客事件。

横向比较，即便与近年规模较大的DeFi安全事件相比，Drift此次事件也超越了2025年夏天Cetus Protocol的2.23亿美元损失，成为近两年最严重的Web3安全事件之一。

六、对DeFi安全的深层启示

1. "去中心化"协议的中心化阿喀琉斯之踵

这次攻击最深刻的讽刺在于：Drift以"去中心化"为旗帜，却因两把管理员私钥而轰然倒塌。如果核心控制权仍集中于少数密钥持有人，再精妙的链上代码也只是一道虚设的防线。管理员权限应通过多签（Multisig）或时间锁（Timelock）机制进行分散，这不是建议，而是最低标准。

2. 攻击者的耐心远超团队的警觉

攻击者在真正发起攻击前八天就创建了钱包，并进行了小额测试交易，以验证其控制权。整个预谋过程历时一周以上，而协议团队的监控系统并未触发任何警报。这意味着，传统的"事后响应"安全体系在面对高度预谋的攻击者时几乎无效——实时异常检测和链上行为监控必须成为基础设施，而非可选项。

3. TVL越高，越是靶心

在攻击发生前，Drift凭借5.5亿美元的TVL成为Solana链上最显眼的攻击目标之一。这是DeFi高收益与高风险之间无法回避的结构性悖论——资金越集中，对攻击者的激励越强。协议设计应引入资金分仓机制，降低单点被攻破后的最大损失上限。

4. 安全审计的缺失是不可辩解的失职

此次攻击暴露出Drift Protocol缺乏主流安全机构审计这一致命短板。在TVL超过5亿美元的规模下，没有经过充分审计的协议向用户开放，本质上是一种风险转嫁行为。审计不是营销噱头，是对用户资金负责任的基本门槛。

5. 跨链桥与DEX聚合器是资金外逃的高速公路

攻击发生后，被盗资金迅速通过Jupiter聚合器进行链上兑换，并借助跨链桥转移至以太坊。这一路径被黑客反复采用——Wormhole、Jupiter等基础设施在提高资本效率的同时，也为非法资金的快速流转提供了便利。如何在基础设施层引入合规过滤机制，同时不损害去中心化特性，是行业需要共同面对的难题。

6. 紧急暂停机制应是标配，而非奢侈品

此次事件中，Drift团队因管理员密钥被更替，且多签没有设置时间锁，无法及时介入阻止攻击持续扩大。这说明协议的紧急响应能力必须独立于管理员密钥——例如通过智能合约层面内置的熔断机制，一旦触发阈值（单位时间内超大额出金），自动暂停协议操作，不依赖任何人工干预。

七、尾声

今天是2026年4月1日，Drift团队在公告中三度强调"这不是愚人节玩笑"。

从某种意义上说，真正的玩笑不在于日期的巧合，而在于：一个管理着5.5亿美元用户资金的协议，被一把泄露的私钥击穿；一套自诩"无需信任"的去中心化体系，栽倒在最古老、最人性化的失误上——密钥管理疏失。

DeFi的叙事从未改变：代码即法律，链上透明，用户自主。但任何叙事都依赖于人，人才是一个叙事能否成功的关键suo'zai。