#WCTCTradingKingPK 💀 2026年4月:DeFi历史上最血腥的一个月
在30天内发生28起攻击,损失6.35亿美元。
Drift和KelpDAO受到的打击最严重——损失超过$500M 。
Drift——“为期六个月的操作”(2.85亿美元)
这不是随机的漏洞——是一场国家支持的渗透。
· 社会工程:假“交易员”自2025年底起接近团队,参加会议,建立信任,并偷偷植入恶意金库。
· 访问:通过被污染的仓库和假TestFlight应用程序入侵开发者机器。
· 致命一击:利用Durable Nonces(Solana的合法功能)对管理员签名的交易进行回溯。善意→完美后门。
🚨 KelpDAO——“信任危机”($292M 被盗,以及$230M 来自Aave)
他们没有破坏代码——他们破坏了基础设施。
· 脆弱点:LayerZero的DVN安全依赖于单一验证者。单点故障。
· 方法:入侵两个RPC节点,交换Geth可执行文件,用伪造的跨链存款消息轰炸网络。
· 连锁反应:用看似有效的证明从Aave中提取$236M 。没有合约漏洞——基础设施劫持。
🤬 愤怒/怒火模式
1. “加密只是混乱吗?”
不。这是国家行为者。朝鲜通过腐败的中介行动。没有业余选手。
2. “审计不能救你”
KelpDAO通过了审计。Drift没有编写易漏洞的代码。
问题在于架构盲点。我们信任区块