#DriftProtocolHacked #DriftProtocolHacked

Un ataque sofisticado que involucró colateral falso, transacciones pre-firmadas y tácticas del Grupo Lazarus de Corea del Norte borró más de la mitad del TVL de Drift el 1 de abril de 2026.

El Ataque en Resumen

El 1 de abril de 2026, el DEX de futuros perpetuos más grande de Solana, Drift Protocol, sufrió una explotación catastrófica que resultó en la pérdida de $286 millones en múltiples bóvedas de activos.

Lo que hace que este ataque sea particularmente alarmante es que no involucró una vulnerabilidad en un contrato inteligente ni frases semilla comprometidas. En cambio, los atacantes ejecutaron una operación meticulosamente planificada que combinó:

· Ingeniería social de firmantes multisig
· Transacciones pre-firmadas con nonce duradero
· Creación de colateral falso valorada en $0 manipulada para parecer más de $100M+
· Eliminación de protecciones de timelock

El TVL colapsó de aproximadamente $550 millones a menos de $250 millones en una hora. El token DRIFT cayó un 45%, llegando cerca de $0.04.

---

Cronología: Una operación de 3 semanas

Fase 1: Configuración de infraestructura (11-23 de marzo)

La operación comenzó el 11 de marzo cuando el atacante retiró ETH de Tornado Cash, el protocolo de privacidad. El 12 de marzo, desplegaron el Token CarbonVote (CVT) — notablemente aproximadamente a las 09:00 hora de Pyongyang, una señal de alerta que más tarde vincularía el ataque a Corea del Norte.

Durante las semanas siguientes, el atacante:

· Emitió 750 millones de tokens CVT ( con un valor esencialmente de $0)
· Inyectó liquidez mínima ( ~$500) en Raydium DEX
· Usó wash trading para mantener artificialmente el precio de CVT cerca de $1.00
· Creó 4 cuentas de nonce duradero — 2 vinculadas a los firmantes del Consejo de Seguridad de Drift, 2 bajo control del atacante

Fase 2: Pre-Firmado y compromiso multisig (23-30 de marzo)

Usando la función de nonce duradero de Solana (que permite que las transacciones se pre-firmen y ejecuten más tarde sin expiración), el atacante indujo a los miembros del Consejo de Seguridad de Drift a pre-firmar lo que parecía ser transacciones rutinarias — pero que en realidad eran claves de autorización maliciosas en reserva.

El 27 de marzo, Drift realizó una migración multisig programada, pasando a un umbral de firma 2-de-5 y — críticamente — eliminando completamente el timelock. Un timelock normalmente impone retrasos de 24-72 horas en acciones administrativas, dando tiempo a las comunidades para responder. Sin él, el atacante tenía autoridad de ejecución sin retraso.

Para el 30 de marzo, el atacante había restablecido el acceso a 2 de los 5 firmantes en la nueva estructura multisig.

Fase 3: Ejecución — 12 minutos hasta $286M (1 de abril)

Hora (UTC) Acción
16:05:39 El atacante activa transacciones pre-firmadas, lista CVT como colateral válido, aumenta los límites de retiro a ~500 billones (efectivamente infinito)
16:05:41 Deposita 500M de tokens CVT — valores manipulados en oráculos que lo valoran en $100M+
16:05:43-16:17 31 transacciones de retiro drenan activos reales: JLP, USDC, SOL, cbBTC, wETH y más

Toda la operación de weaponización tomó menos tiempo que ordenar un café.

El ataque combinó tres acciones críticas en una sola transacción:

1. Iniciar el mercado spot de CVT con el oráculo Switchboard controlado por el atacante
2. Establecer el peso de colateral de CVT al máximo — tokens sin valor tratados como colateral principal
3. Desactivar las protecciones de retiro — eliminando todos los límites en las salidas de activos

#DriftProtocolHacked

Qué fue Robado

El atacante drenó múltiples bóvedas en todo el protocolo:

Activo Cantidad Robada (aprox.)
Tokens JLP $155.6 millones
USDC $60.4 millones
cbBTC $11.3 millones
USDS $5.3 millones
FARTCOIN $4.1 millones
WBTC $4.4 millones
WETH $4.7 millones
JitoSOL $3.6 millones
SYRUPUSDC $3.3 millones
INF $2.5 millones
MSOL $2.0 millones

Fuente: Datos en cadena vía @officer_secret

La bóveda JLP fue completamente drenada.
#DriftProtocolHacked

¿Quién Está Detrás del Ataque?

Las firmas de seguridad Elliptic y TRM Labs han atribuido el ataque