Злам Drift на $285 млн: чому аудит не захистив DeFi

Злам Solana-біржі Drift 1 квітня 2026 року призвів до втрати близько $285 млн. Протокол проходив аудит, а в його програмному коді не виявили вразливості, яка безпосередньо спричинила втрату коштів. Нападник отримав адміністративні права, прибрав затримку виконання рішень і приблизно за 12 хвилин вивів активи.

Для зміни програми Drift використовував мультипідписний сейф. Рішення набувало чинності після двох підписів із п’яти. За даними BlockSec, протягом кількох тижнів зловмисник надсилав власникам ключів підроблені запити й отримав необхідні підписи. Після цього він став адміністратором протоколу.

Отримавши доступ, нападник підключив як заставу малоліквідний токен і використав джерело ціни, значення якого міг визначати сам. Через відсутність затримки зміни набули чинності одразу, тому користувачі не мали часу вивести кошти після захоплення управління.

Аудит Drift, проведений Neodyme у травні 2024 року, містив одне критичне зауваження. Згодом його виправили. У звіті також зазначалося, що адміністратор може підключити будь-яке джерело ціни для токена. Тоді це не визначили як критичний ризик, оскільки така дія була доступна лише адміністратору.

Розбір інциденту не виявив помилки в програмному коді. Причинами втрати коштів стали отримані зловмисником адміністративні права та відсутність timelock — затримки між схваленням зміни і її виконанням. За даними TRM Labs, 27 березня розробники прибрали цю затримку без публічного оголошення. Приблизно через п’ять днів стався злам.

За даними DefiLlama, у другому кварталі 2026 року в DeFi зафіксували 99 зламів. На 16 інцидентів, пов’язаних із компрометацією ключів або адміністративних прав, припало 45% усіх фінансових втрат сектора за цей період.

Після атаки Drift почав виплачувати постраждалим токени повернення у співвідношенні один токен за кожен втрачений долар. Станом на 1 жовтня фонд викупу мав близько 3,1 млн USDT для придбання майже 300 млн таких токенів. За цією ціною власник токенів, що відповідали збитку в $1000, міг отримати близько $10. Продавці токенів не братимуть участі в майбутніх виплатах, а строки компенсацій для частини великих кредиторів залишаються невизначеними.

Дані про управління, попередні злами та аудити є частиною перевірки DeFi-протоколів. Затримка виконання рішень на один-сім днів створює час для реагування на підозрілі зміни. Аудит підтверджує стан коду на дату перевірки, але не визначає, хто зможе змінювати протокол у майбутньому.