Drift Protocol がハッカーに攻撃され、2.85億ドルの損失

2026 年 4 月 1 日、Solana エコシステムの分散型無期限先物取引所 Drift Protocol がハッキングされました。累計で盗まれた資産は約 2.85 億米ドルに上ります。攻撃者はプロトコルのマルチシグ（多署名）ウォレットにおける管理者権限を取得し、1 時間以内に複数の資金プールにあった USDC、SOL、cbBTC、WETH などの資産をすべて引き出し、他チェーンへまたいでイーサリアム・ネットワークに送金し、そこで約 12.9 万 ETH（価値約 2.78 億米ドル）に交換しました。2026 年 4 月 2 日時点で、盗まれた資金は 4 つのイーサリアム・アドレスに分散して保管されています。プロトコルの総ロック価値（TVL）は 5.5 億米ドルから急落して約 2.55 億米ドルとなり、この事件は 2026 年の DeFi 領域で単発の損失として最大規模のセキュリティ事案になりました。

攻撃タイムラインと技術的なルート

攻撃は突発的ではなく、約 8 日間の準備期間を経ています。オンチェーンのデータによると、攻撃者のウォレットアドレス HkGz4K… は 2026 年 3 月 24 日に作成され、NEAR Intents のクロスチェーン・システムを通じて初期資金を獲得し、Drift Vault に少額のテスト取引（約 2.52 米ドル）を送ってコントラクトの制御権限を検証しました。攻撃のウィンドウは 4 月 1 日 16:00 UTC に正式に開きました。

• 最初の取引では、Drift の金庫から約 4,170 万枚の JLP トークン（価値約 1.556 億米ドル）が引き出されました。
• 続く約 11 回の協調取引が、60 分以内に順次 USDC、SOL、cbBTC、wBTC、WETH などの資産を抽出し、合計 2.85 億米ドルとなりました。

技術的なルートとして、攻撃者はスマートコントラクトのコードの脆弱性を悪用したのではなく、マルチシグの管理者権限を取得することで、以下の一連の操作を順次完了させました。偽のトークンを発行（CVT）→ オラクル価格を操作 → セキュリティ・モジュールを無効化 → 高価値資産の引き出し。

マルチシグ機構とタイムロック欠如がもたらした核心的な脆弱性

今回の攻撃の直接の原因は、Drift プロトコルにおけるマルチシグ管理設定の安全上の欠陥です。セキュリティ機関 SlowMist の復習レポートによれば、攻撃が起きる約 1 週間前に、Drift はマルチシグ機構を「2/5」モード（1 人の旧署名者に 4 人の新署名者を加える）へ調整していましたが、タイムロック（Timelock）は一切設定されていませんでした。

タイムロックは強制的な遅延メカニズムであり、高権限による設定変更の後、24〜48 時間の待機期間を経て初めて有効になります。これにより、コミュニティとセキュリティ機関に異常検知のための猶予（バッファ）を提供します。タイムロックが欠如している場合、新しい署名者の秘密鍵が窃取される、または悪意を持って支配されたとしても、攻撃者はただちに管理者レベルの操作を実行できます。攻撃者は、旧マルチシグにおける唯一の元署名者と、もう 1 人の追加署名者で協調して署名し、管理者権限を自分が制御するアドレスへ移転することで、すべてのユーザー層の安全保護を迂回しました。

資金のクロスチェーン移転と ETH への転換という洗浄ロジック

攻撃が成功すると、攻撃者は資金処置のプロセスを開始します。

1. クロスチェーン移転：Wormhole などのクロスチェーン・プロトコルを通じて、Solana チェーン上の複数の通貨建て資産をイーサリアム・ネットワークへ移転します。
2. 一括で交換：イーサリアムの分散型取引所上で、USDC、SOL、wBTC などの資産をすべて ETH に交換します。
3. アドレス分散：約 12.9 万枚の ETH（価値約 2.78 億米ドル）が 4 つのイーサリアム・アドレスに分散して保管されます。

最終資産として ETH を選ぶロジックには、以下が含まれます。イーサリアム・ネットワークは流動性が最も高く、迅速な換金がしやすいこと。複数の通貨建ての不正資金を単一の資産に統一することで、元の資金のオンチェーン追跡の軌跡を断ち切れること。さらに、アドレスを分散させることで、単一アドレスをすべて凍結されるリスクを低減できることです。USDC の一部はイーサリアム・ネットワーク上で発行元の Circle によって凍結されましたが、盗難総額に占める割合はごくわずかです。

Drift プロトコルの TVL と Solana エコシステムへの打撃

今回の事件による Drift プロトコルの直接的な財務的インパクトは、TVL データに表れています。DeFiLlama の統計によると：

時点（UTC）

TVL（米ドル）

4 月 1 日 00:00

約 5.5 億

4 月 1 日 22:41

約 2.55 億

TVL が半減したことは、流動性プールの規模が縮小することを意味し、結果として取引スリッページの上昇、資金効率の低下につながります。さらに、プロトコルの取引量と手数料収入が圧縮されます。よりマクロな Solana エコシステムの視点から見ると、本件は 2022 年の Wormhole ブリッジ攻撃（3.26 億米ドル）以来、このエコシステムで最大規模の DeFi セキュリティ事案です。2026 年 1 月から 3 月にかけて、15 の DeFi プロトコルが合計で約 1.37 億米ドルを失いましたが、Drift の単発の事件による損失はその金額の約 2 倍であり、さらにこれまでの単発最大損失記録である 2,730 万米ドルを大幅に上回っています。

ステーブルコイン発行者の介入的な役割と規制のグレーゾーン

事件の中で、ステーブルコイン発行者 Circle の対応の速さが話題となり、業界内で議論が起きました。攻撃後、イーサリアム・ネットワーク上で一部の USDC が Circle により凍結されたものの、大量の USDC はクロスチェーン・ブリッジ経由で転送されており、Circle の直接の保管アドレスを経由していなかったため、速やかに阻止されませんでした。オンチェーンの調査者 ZachXBT はこれを批判し、Circle がクロスチェーン USDC の凍結メカニズムにおいて対応に遅れがあると指摘しました。

この論争は、DeFi セキュリティ事案における 1 つの規制のグレーゾーンを浮き彫りにします。すなわち、ステーブルコイン発行者がクロスチェーン環境において積極的に介入する義務について、明確な法的枠組みと業界合意が欠けているという点です。現状、Circle などの発行者は、Circle が直接托管するアドレスが制御する「ネイティブ・チェーン（イーサリアム）」上の USDC を凍結できるにとどまります。しかし Wormhole などの第三者クロスチェーン・ブリッジによって生成された「ブリッジ USDC」や、クロスチェーン後に封装された資産については、発行者に直接凍結する権限がありません。この事例は、規制当局がステーブルコイン発行者のリスク対応義務に、より具体的な要件を求めることにつながる可能性があります。

結び

Drift 攻撃事件の核心となる構造的な矛盾は、次の点にあります。DeFi プロトコルはユーザー側では非托管で信頼不要を売りにしている一方で、管理層では高度に集中した管理者権限（通常「ゴッドキー」と呼ばれます）を保持していることが多いのです。攻撃者が管理者権限を手に入れると、1 回の取引の中で偽の市場の作成、オラクル価格の操作、出金制限の解除という 3 つの高リスク操作を完了できました。これは、プロトコルに多層の検証メカニズム、操作の遅延に関する閾値、リアルタイムのリスク制御を発動する条件が欠けていることを示しています。

注目すべきは、Drift プロトコルが 2022 年の v1 バージョンで同様の管理権限の問題により 1,450 万米ドルを失ったことです。チームはその後、全額を補償し、技術的な復習（復元）レポートを公開しました。4 年後に同じパターンの問題がより大規模に再現されており、復習や改良を経ても、主要なセキュリティ・アーキテクチャにおける権限集中化のリスクが根本的に解決されていないことが示されています。

FAQ

問：Drift Protocol が盗まれた 2.85 億米ドルは回収できる可能性がありますか？

2026 年 4 月 2 日時点で、盗まれた資金はクロスチェーンでイーサリアム・ネットワークへ移され、ETH に交換されたうえで 4 つのアドレスに分散保管されています。2026 年の DeFi セキュリティ事案の全体の資金回収率は 7% 未満です（1.37 億米ドルのうち回収できたのは 900 万米ドルのみ）。攻撃者が成熟したマルチアドレス分散とクロスチェーンの洗浄ルートを用いたため、技術的な回収の実現可能性は極めて低いです。

問：今回の攻撃は他の Solana エコシステムの DeFi プロトコルの安全性に影響しますか？

今回の攻撃は Drift プロトコル自身が持つ、マルチシグ設定とタイムロック・メカニズムにおける特定の脆弱性に起因しており、Solana の基盤ブロックチェーンや汎用のスマートコントラクト標準におけるシステム的な欠陥ではありません。しかし本件は、Solana エコシステム内の他の DeFi プロトコルにおける管理層の権限設定について、監査機関とユーザーの審査の強度を大きく引き上げることにつながり得ます。短期的には TVL のプロトコル間再配分を引き起こす可能性もあります。

問：プロトコルの開発者は同様の管理者権限攻撃をどのように防ぐべきですか？

業界のセキュリティ基準は、以下の 3 つの中核的な対策を推奨しています。第一に、すべての高権限設定変更に対して少なくとも 24 時間のタイムロックを設定し、自動化された監視アラートを併設すること。第二に、少なくとも 4/7 もしくはそれ以上のしきい値のマルチシグ方式を採用し、署名者の秘密鍵はハードウェア・セキュリティ・モジュール（HSM）に保存して物理的に分離すること。第三に、オンチェーンのリアルタイム・リスク制御モジュールを導入し、単発の取引が管理者操作を含み、かつ金額があらかじめ設定した閾値を超える場合に、自動的に遅延実行とコミュニティ検証のプロセスをトリガーすること。