#DriftProtocolHacked #DriftProtocolHacked

フェイク担保、事前署名取引、北朝鮮ラザルスグループの戦術を組み合わせた高度な攻撃により、2026年4月1日にDriftのTVLの半数以上が消失しました。

攻撃の概要

2026年4月1日、Solana最大の永久先物DEXであるDrift Protocolは壊滅的な脆弱性を突かれ、複数の資産ボールトから$286 百万ドル以上を失いました。

この攻撃の特に恐ろしい点は、スマートコントラクトの脆弱性やシードフレーズの漏洩を伴わなかったことです。代わりに、攻撃者は以下を組み合わせた綿密に計画された操作を実行しました：

· マルチシグ署名者へのソーシャルエンジニアリング
· 耐久性ノンス事前署名取引
· 100百万ドル以上に見せかけた偽担保の作成
· タイムロック保護の解除

TVLは約$0 百万から$550 百万未満に1時間以内に崩壊しました。DRIFTトークンは45％下落し、$0.04付近まで下落しました。

---

タイムライン：3週間の作戦

フェーズ1：インフラ構築 $250 2023年3月11日〜23日(

攻撃は3月11日に始まり、攻撃者はプライバシー保護プロトコルのTornado CashからETHを引き出しました。3月12日には、CarbonVote Token )CVT(を展開 — 特に午後9時（平壌時間）頃に行われ、後にこの攻撃と北朝鮮の関係が示唆される赤旗となりました。

その後数週間で、攻撃者は：

· 750百万CVTトークンを発行 )ほぼ$0(
· Raydium DEXに最小限の流動性を提供 )約$500(
· Wash tradingを用いてCVT価格を$1.00付近に維持
· 4つの耐久性ノンスアカウントを作成 — 2つはDrift Security Councilの署名者に紐づき、2つは攻撃者の管理下

フェーズ2：事前署名とマルチシグの侵害 )2023年3月23日〜30日(

Solanaの耐久性ノンス機能 )（取引を事前に署名し、後で有効期限なしに実行可能）(を利用し、攻撃者はDriftのセキュリティカウンシルメンバーに対し、一見通常の取引のように見えるが実際には悪意のある承認キーを事前署名させる操作を行いました。

3月27日、Driftは予定されたマルチシグ移行を実施し、署名閾値を2/5に変更し、重要なことにタイムロックを完全に解除しました。タイムロックは通常、管理操作に24〜72時間の遅延を設け、コミュニティに対応時間を与えます。これがないと、攻撃者は遅延なしで実行できる権限を得ました。

3月30日までに、攻撃者は新しいマルチシグ構造の署名者2人へのアクセスを再確立しました。

フェーズ3：実行 — 12分間の攻撃 )2023年4月1日$286M

時間 (UTC) アクション
16:05:39 攻撃者は事前署名済みの取引を起動し、CVTを有効な担保としてリストアップ、引き出し制限を約500兆(（実質無限）に引き上げ
16:05:41 5億CVTトークンを預入 — 操作されたオラクル値は$100M+と表示
16:05:43-16:17 31の引き出し取引で実資産（JLP、USDC、SOL、cbBTC、wETHなど）を排出

この一連の武装化はコーヒーを注文する時間よりも短かった。

攻撃は3つの重要な行動を一つの取引にまとめました：

1. 攻撃者管理のSwitchboardオラクルを用いたCVTスポット市場の初期化
2. CVT担保の重みを最大に設定 — 無価値トークンを主要担保として扱う
3. 引き出しガードを無効化 — 資産流出の制限をすべて解除

)

盗まれたもの

攻撃者はプロトコル全体の複数のボールトから資産を排出しました：

資産名 盗まれた額 (約)
JLPトークン $155.6百万
USDC $60.4百万
cbBTC $11.3百万
USDS $5.3百万
FARTCOIN $4.1百万
WBTC $4.4百万
WETH $4.7百万
JitoSOL $3.6百万
SYRUPUSDC $3.3百万
INF $2.5百万
MSOL $2.0百万

出典：オンチェーンデータ @officer_secret@経由

JLPボールトは完全に排出されました。
#DriftProtocolHacked

攻撃の背後にいるのは誰か？

セキュリティ企業EllipticとTRM Labsは、この攻撃を北朝鮮 (北朝鮮)に関連付け、特にラザルスグループとしています。

証拠には以下が含まれます：

· Tornado Cash起源の初期ステージ
· CVT展開のタイムスタンプが平壌の営業時間（09:00）と一致
· 2022年のRoninブリッジハックと同じ高度なソーシャルエンジニアリング戦術
· ハッキング後の資金洗浄の速度とクロスチェーンパターン
· 耐久性ノンスの使用 — DPRKの取引手法と一致

「これは、多週にわたる準備と段階的な実行を伴う高度に洗練された操作であり、耐久性ノンスアカウントを用いて取引を事前署名し、実行を遅延させる手法を含んでいます。」
— Drift Protocol公式声明

これが確認されれば、2026年の北朝鮮関連の暗号資産強盗事件は18件目となり、今年だけで#DriftProtocolHacked 百万以上が盗まれています。北朝鮮の関係者は、暗号資産を合計で19283746565748392億ドル以上盗んだと推定されています。