#DriftProtocolHacked

Drift Protocolは、Solanaブロックチェーン上に構築された最大級の分散型永久取引およびスポット取引所の一つであり、2026年4月1日にDeFi史上最も壊滅的な攻撃の一つを受けました。チームはこの事件について、「エイプリルフールの冗談ではない」と自身の言葉で確認しました。事態が収束し始める頃には、総損失額は$200 百万ドルから$285 百万ドルの間と推定されており、2026年の最大の暗号資産ハッキング事件となり、2022年のWormholeブリッジの脆弱性以来、SolanaベースのDeFiにとって最も被害の大きい攻撃となりました。

最初の異常兆候は、GMT18:10頃にDriftチームが異常なオンチェーン活動を検知し、ユーザーに資金の預け入れを控えるよう警告したことでした。1時間も経たない18:58頃、チームは攻撃が進行中であることを確認し、直ちにプラットフォーム全体の預け入れと引き出しを停止、ブロックチェーンセキュリティ企業やブリッジ、中央集権型取引所と連携して、盗まれた資産の凍結や追跡を試みる緊急対応を開始しました。

攻撃の仕組みは高度で、多段階にわたり、綿密に計画されたものでした。オンチェーン調査によると、攻撃者は実際の攻撃の少なくとも8日前から脆弱性をテストしていたことが判明し、長期にわたる準備と偵察の期間があったことを示唆しています。攻撃の核心は、Driftの管理者キーの一部が侵害されたことにありました。これらのキーが漏洩したプライベートキーなのか、複数の署名者によるマルチシグの侵害によるものなのかは調査中ですが、結果は同じで、攻撃者は重要なプロトコルパラメータに対する管理者権限を獲得しました。

管理者権限を得た攻撃者は、次の一連の操作を実行しました。まず、CarbonVote Token（略称CVT）という偽のトークンを作成し、Raydium上に偽の流動性プールを設置しました。ウォッシュトレーディングを通じて、CVTの見かけ上の価格を人工的に高騰させ、プロトコルのオラクルに正当な高価値資産として登録させました。次に、侵害された管理者権限を使い、CVTをDriftのスポット市場で受け入れられる担保としてリストアップしました。また、これらの管理者権限を利用して、プロトコルの引き出しガードを無効化し、USDCの借入上限を標準の$25 百万ドルから$500 百万ドルまで引き上げました。最後に、価値のない偽のCVT担保を大量に deposit し、それを使ってDriftのメイン貸付プールや金庫から実資産を借り出し、流出させました。これらは約31回のオンチェーン取引を通じて行われ、initializeSpotMarketやupdateSpotMarketStatusなどのプロトコル機能を利用しました。全ての資金流出作業は、開始から約12分で完了したと報告されています。

被害を受けた金庫には、JLP Delta Neutral金庫、SOL Super Staking金庫、BTC Super Staking金庫などが含まれます。盗まれた資産の内訳は、約1億5560万ドルのJLPトークン、6040万ドルのUSDC、その他にSOL、JitoSOL、cbBTC、WETHなどが含まれます。総損失額は、攻撃前のDriftの総ロック資産約$540 百万ドルの約50％に相当します。

攻撃者は金庫から資金を引き出した後も動き続けました。資金はSolanaの主要流動性アグリゲーターであるJupiterを通じて迅速にスワップされました。一部はKYC記録を持つ可能性のあるBackpackウォレットにルーティングされ、調査官はこれを重要な手掛かりとしています。その後、資産はSolanaからEthereumにブリッジされ、ETHに変換され、HyperliquidやMoneroなどのプラットフォームを通じてマネーロンダリングされました。最新のオンチェーン報告によると、攻撃者は約19,913 ETH（約$42 百万ドル相当）を保有しており、そのうち$82 百万ドル以上はすでにマネーロンダリング済みと見なされています。

市場の反応は即座かつ激烈でした。DRIFTトークンは、ニュースが拡散して数時間以内に25％から50％下落しました。DeFiLlamaの当時のデータによると、DriftのTVLは約3億1193万ドルであったものの、崩壊しました。Ranger Finance、Reflect Money、Elemental DeFi、Project0など、Driftにエクスポージャーを持つ他の複数のプロトコルも、リスクを考慮して一時的に運営を停止しました。この事件により、Drift Protocolは一時的にCoinGeckoのトレンドトップのトークンとなり、トレーダーや研究者がエクスポージャーの評価に奔走しました。

2026年4月2日現在、Driftチームは正式な事後報告や正確な損失額の公表を行っていません。セキュリティ企業の推定値はさまざまで、CertiKは約$136 百万ドルと見積もる一方、Arkham Intelligenceは盗難資産が$285 百万ドルに近いと追跡しています。これらの差異は、盗難時点と清算後の資産評価方法の違いによるものと考えられます。

Drift Protocolと関わったすべてのユーザーにとって、最優先すべきは、すべてのトークン承認と権限を取り消すことです。Jup Portfolioスキャナーや同等のツールを使ってウォレットの承認状況を確認してください。被害を受けた金庫に資産を保有していた方は、自身のポジションを記録し、Driftの公式発表や対応策を注視してください。

この事件は、管理者キーの露出がDeFiプロトコルにもたらすシステミックリスクの厳しい警鐘です。最も監査された堅牢なプラットフォームでさえ、管理者権限が適切なマルチパーティのタイムロック制御なしに存在している場合、中央集権化のリスクを伴います。今回のDriftの脆弱性は、従来のスマートコントラクトのバグではなく、アクセス制御の失敗によるものであり、一人の攻撃者がセッション中に一方的にルールを書き換えることを可能にしました。完全な事後報告と、侵害されたキーの証拠の追跡が行われるまでは、全体像は未完成のままです。

状況はまだ進行中です。回復の見通しは不透明です。