Drift遭黑客洗劫逾2亿美元：来龙去脉与深层警示

Shaw，金色财经

4月2日，衍生品交易平台 Drift Protocol 发生安全事件，链上数据显示损失超过2.85亿美元。 项目方表示已发现异常活动并正在调查，提醒用户暂勿向协议存入资金，并强调“这不是愚人节玩笑”。

此次攻击涉及多个资金池，包括 JLP Delta Neutral、SOL Super Staking 及 BTC Super Staking 等。单笔约 4170 万枚 JLP 代币转移价值约 1.55 亿美元，此外 SOL、USDC、cbBTC 及 wBTC 等资产亦被转出。

根据统计，该事件或成为 Solana 生态中继 Wormhole bridge exploit 之后规模最大的 DeFi 攻击之一。

一、Drift Protocol被攻击事件最新进展

美东时间 2026 年 4 月 1 日，Solana生态去中心化衍生品协议 Drift Protocol 遭遇重大黑客攻击，被盗资产约 2.85 亿美元，核心被盗资产主要有：JLP 代币约 4170 万枚，价值 1.556 亿美元；以及USDC、SOL、cbBTC、wBTC 等多种资产。此次被盗事件成为Solana 史上第二大、DeFi 史上规模最大的攻击事件之一。

Drift Protocol官方随后在社交平台发文确认：“Drift Protocol 正遭受攻击。存款与提现功能已暂停。我们正在与多家安全机构、跨链桥及交易所协同合作，全力控制事态。这不是愚人节玩笑。更多信息将第一时间通过本账号发布。”

此次攻击从 4 月 2 日凌晨开始。链上监控平台 PeckShield 发出警报：Drift 主金库地址开始向一个新创建的钱包 HkGz4K 大规模转账。首批转出的主要是 JLP（Jito Liquidity Provider）代币，价值约 1.55 亿美元，随后是 USDC、SOL、cbBTC、wBTC、WETH 以及部分 meme 币。PeckShield 数据显示，短时间内累计流出资产 2.85 亿美元。

据余烬监测，Drift 被盗的 2.85 亿美元资产目前已经被换成 12.9 万枚 ETH（2.78亿美元）。黑客在过去几个小时里，通过多种方式，把这些资产卖出及跨链到了 Ethereum 链上，然后在 Ethereum 链上买成ETH。 现在，黑客在 Solana 上盗取的2.85 亿美元资产已经在 Ethereum 链上买成为 129,066 枚 ETH。

此外，慢雾安全团队在社交媒体发文表示，目前，被盗资金已基本集中到以下以太坊地址：0x0fe3b6908318b1f630daa5b31b49a15fc5f6b674、0xd3feed5da83d8e8c449d6cb96ff1eb06ed1cf6c7、0xaa843ed65c1f061f111b5289169731351c5e57c1，总计：105,969 ETH（约 2.26 亿美元）。

黑客地址集群：

二、Drift Protocol攻击解读，项目方“监守自盗”？

此次攻击是一场精心策划的权限入侵 + 价格操纵组合攻击，核心在于黑客窃取了管理员权限后，通过伪造代币和操纵预言机，瞬间突破了资金限额，洗劫了协议金库。黑客通过获取管理员私钥，解除了协议的核心风控（提现限额），随后利用虚假抵押品从资金池中批量提款，并通过跨链转移资产完成洗钱。

针对Drift Protocol被攻击导致资产被盗事件，慢雾创始人余弦发文分析Drift被盗事件指出，攻击发生前一周，Drift将多签机制调整为“2/5”（1个旧签名者+4个新签名者），且未设置时间锁（timelock）。攻击者随后获取管理员权限，伪造CVT代币、操纵预言机、关闭安全机制，并从资金池中转移高价值资产。

Chaos Labs联合创始人Omer Goldberg也在社交媒体发文指出，一周前，Drift 迁移至新的多重签名钱包，该钱包由原多重签名中的一位签名者创建。而这位签名者并未将自己加入新的多签名单。攻击者同时在旧多签中发起提案，将管理员权限移交至这个新钱包。新多签共 5 位签名者，仅有 1 人来自原团队，其余 4 人均为全新地址。该钱包设置为 2/5 多签阈值，且无任何时间锁（0 秒延时）。4月2日凌晨，这位唯一的原签名者通过新多签发起提案，变更 Drift 管理员权限。一名新签名者在一秒内联署，瞬间满足 2/5 阈值。由于没有时间锁，交易立即执行。

此外，社区流传Drift团队核心成员一个多月前离职，但它不是官方确认的事实，缺乏证据支持，目前只是X（推特）社区流传的猜测/谣言，没有具体人名，也没有主流媒体或Drift官方证实，主流新闻和Drift官方声明中，完全没有提到任何团队成员在一个月前离职。

尽管如此，“监守自盗” 的可能性确实是当前圈内讨论度最高、疑点最重的方向，甚至比 “外部黑客入侵” 更符合逻辑。此前官方调整多签机制，使权限结构太“方便攻击”，不像意外；攻击手法“太懂内部逻辑”，完全不像外部黑客的风格，且官方对如此巨额的资产被盗表现异常冷静；资产被盗后资金流向非常干净清晰，迅速换成ETH并进行跨链操作，且没有流入易受冻结的中心化交易所。这一系列的事件过程及操作逻辑。使得社区对Drift官方“监守自盗”的怀疑论甚嚣尘上。

三、相关方以及加密社区反应

Drift Protocol资产被盗事件发生后，相关各方及加密社区对此反应各异：

• DeFi 协议 Drift 被盗事件中，JLP 头寸损失约 1.556 亿美元。对此 Jupiter 官方表示，平台未受到此次事件影响，其借贷产品 Jupiter Lend 未涉及 Drift 市场，且 JLP 资产“完全由底层资产支持”。 Jupiter 同时表示，此次事件对 Solana DeFi 生态而言是“艰难的一天”，并向 Drift 团队及受影响用户表达关切。

• 收益生成协议Unitas Protocol发推表示，其未受到Drift Protocol攻击事件影响。Unitas在Drift上没有任何敞口。所有抵押品安全，所有策略（包括JLP Delta中性策略）正常运行。用户资金安全。抵押品可通过Accountable和Primus Labs的储备证明仪表盘实时验证。

• Solana流动性协议Meteora发推表示，Meteora上所有资金均安全，平台所有功能及金库均未与Drift协议交互。

• 稳定币基础设施Perena创始人Anna发推表示，其Perena USD*、USD*-J及USD*-P未受Drift攻击事件影响。但由Solana生态量化策略分享平台Neutral Trade管理的JLP金库因运行在Drift Protocol上而受到影响，团队正与合作伙伴保持沟通并将持续更新进展。

• X平台用户@hzkj99：SOL生态的资产协议 Drift Protocol 被盗，损失上亿资金凡是涉及资金的，任何时候安全都是第一要务，特别是在熊市也绝对会有新的协议被盗，这个世界真是个巨大的草台班子，有些协议甚至能被盗多次，而Drift也绝不是被盗的最后一个

• X平台用户@lanhubiji：Drift Protocol 遭受重大漏洞利用，损失约 2.7 亿美元级别，是2026 年迄今最大 DeFi 被攻击事件之一。有的帖子，一本正经地说，“Solana基金会正在和 Toly （联合创始人）地下室的服务器协调回滚”。这是虽然是梗，但这么说，有点过了。

• X平台用户@EnHeng456：熊市里存钱真的要小心再小心，现在的环境越来越不安全了，到处都是被盗的消息，一些老协议也专门在熊市出问题，你都很难分清是黑客攻击还是监守自盗，我最近也很保守，就老老实实放在USD1里，不敢再到处乱存。这种行情下越折腾越容易出问题，有时候不动反而是最好的选择，Drift被盗了两亿美金又进了将军口袋。

四、Drift Protocol被盗事件影响

Drift Protocol被盗2.85 亿美元事件是 Solana 生态史上第二大 DeFi 攻击，其影响远超协议本身，重创Solana生态信心、加速DeFi安全变革。

这次攻击暴露了DeFi项目在多签权限管理与预言机安全上的致命缺陷。权限即金库，一旦管理员密钥失守，且缺乏时间锁等紧急刹车机制，任何复杂的代码逻辑都可能瞬间失效。对Drift Protocol来说，除非追回巨款或有巨头接盘，否则将走向清算、破产、诉讼。对Solana及其生态系统来说，生态信誉重创，短期资金外流、增长放缓，长期倒逼安全升级。而对整个DeFi行业来说，可以说是行业的一个分水岭，“权限安全大于代码安全”成为铁律，信任成本急剧上升，DeFi 将进入更合规、更透明、更集权化（安全治理）的新阶段。

2026年4月1日，Solana生态最大的DEX协议之一Drift Protocol遭遇黑客攻击，在不到一个小时内损失超过 2 亿美元。

虽然发生在4月1日，但这不是愚人节玩笑。

一、Drift是谁？

Drift Protocol是Solana生态中最重要的去中心化衍生品交易所之一，以永续合约交易（Perp）为核心业务，支持多资产抵押和存款生息。事发前，Drift的总锁仓量（TVL）超过5.5亿美元，日均永续合约交易量接近7000万美元，是Solana链上DeFi生态的核心基础设施之一。

然而，2026年4月1日，这座价值数亿的金库在不到一个小时内几乎被清空。

二、事件经过：一场精心预谋的清仓

预谋阶段（8天前）

链上研究人员发现，攻击者的钱包（HkGz4KmoZ7Zmk7HN6ndJ31UJ1qZ2qgwQxgVqQwovpZES）在攻击发生八天前即已被创建，并通过NEAR协议的Intents跨链系统获得初始资金，此后该地址保持沉默，静待时机。攻击者还向Drift Vault发送了价值约2.52美元的测试交易，以验证其对合约的控制权。

攻击发生（UTC时间4月1日16:00，北京时间4月2日凌晨0时）

攻击正式开始于UTC时间16:00。第一笔交易从Drift金库转出了价值约1.55亿美元的JLP代币（Jupiter流动性池凭证），随后攻击者在约一小时内通过约11笔协调交易，将多个金库的资产悉数取出。

被盗资产的构成令人触目：包括4172万枚JLP（约1.556亿美元）、5161.6万枚USDC（约5162万美元）、12.5万枚wSOL（约1045万美元）、164349枚cbBTC（约1129万美元），以及其他代币。

在短短数分钟内，Drift某个金库的资产从3.09亿美元骤降至4100万美元。

洗钱与资产转移

攻击者并未滞留资金。链上数据显示，黑客将SOL代币存入了Hyperliquid和币安交易所，并购买了价值超过8200万美元的以太坊（ETH）。部分资金通过Wormhole跨链桥转移至以太坊网络，随后分散到多个地址。攻击者还通过跨链铸造了约400万美元的USDC，目前这部分稳定币已在以太坊网络被Circle冻结。

协议响应

Drift团队在北京时间凌晨约3时在X上发布警告："Drift Protocol正在遭受主动攻击。存款和提款已暂停。我们正在与多家安全公司、跨链桥和交易所协调，控制事态发展。这不是愚人节玩笑。"

鉴于事件发生在4月1日，Drift官方特意强调"这不是愚人节玩笑"——这句话本身道尽了这场事故的荒诞与沉痛。

三、被盗根源：不是智能合约漏洞，是人为失误

目前官方调查仍在进行，但链上研究人员和安全专家已指向最可能的攻击向量：管理员私钥泄露。但这种私钥泄露到底是黑客作为还是监守自盗值得打一个大大的问号。

区块链安全公司PeckShield创始人告诉Decrypt，此次攻击依赖于获得Drift协议的特权访问权限。"Drift背后的管理员密钥肯定被泄露或以某种方式被攻破了，"他表示。换句话说，这是一个人为错误，而非技术层面的智能合约漏洞。

慢雾创始人余弦发文分析Drift被盗事件指出，攻击发生前一周，Drift将多签机制调整为“2/5”（1个旧签名者+4个新签名者），且未设置时间锁（timelock）。攻击者随后获取管理员权限，伪造CVT代币、操纵预言机、关闭安全机制，并从资金池中转移高价值资产。

研究人员注意到，黑客获得管理员权限后，通过修改管理员密钥的方式将Drift团队自己锁在了门外，使其无法停止正在进行的攻击，从而完成了对多个资金池的清仓。

更严峻的是，事后披露，Drift Protocol缺乏CertiK等主流机构的安全审计，治理权限设计也存在明显的集中化漏洞。尽管审计本身不能保证万无一失，但它有助于消除显而易见的攻击点。

四、哪些协议和生态受到波及？

直接影响

Solana上多家公开上市的Solana财库公司，包括Forward Industries和DeFi Development Corp，已声明其国库未受此次事件影响。不过，受Drift深度嵌入Solana DeFi生态影响，连锁反应迅速扩散。Jupiter、Perena、Project 0、Exponent、Carrot、Ranger、PiggyBank、Reflect、Project 0、Elemental、Neutral Trade、Pyra、Fuse、Neutral Trade、XPlace等15个协议发文确认受到Drift被盗不同程度影响。

代币市场

Drift原生治理代币DRIFT在事发后暴跌逾28%，报约0.049美元。该代币距其2024年11月历史高点2.60美元，已累计下跌逾98%。

Solana原生代币SOL也在事发后数小时内出现下跌，最低触及83.82美元，随后略有回升。

跨协议风险

由于攻击者持有大量FARTCOIN，约占全部流通量的2.5%，若其择机抛售，可能对该代币价格造成冲击。被盗的wBTC与ETH等包装资产大量流向市场，也可能对相关协议造成脱锚压力。

基础设施层的响应

Solana生态钱包Phantom已对尝试访问Drift Protocol的用户实施警告提示。Circle也在得到通知后，对部分已转移至以太坊的USDC实施了冻结。

五、历史坐标：Solana生态最大劫案之一

根据Rekt的链上黑客事件排行榜，此次攻击如果最终确认损失规模，将成为Solana生态有史以来规模最大的攻击事件之一，仅次于2022年3.26亿美元的Wormhole跨链桥黑客事件。

横向比较，即便与近年规模较大的DeFi安全事件相比，Drift此次事件也超越了2025年夏天Cetus Protocol的2.23亿美元损失，成为近两年最严重的Web3安全事件之一。

六、对DeFi安全的深层启示

1. "去中心化"协议的中心化阿喀琉斯之踵

这次攻击最深刻的讽刺在于：Drift以"去中心化"为旗帜，却因两把管理员私钥而轰然倒塌。如果核心控制权仍集中于少数密钥持有人，再精妙的链上代码也只是一道虚设的防线。管理员权限应通过多签（Multisig）或时间锁（Timelock）机制进行分散，这不是建议，而是最低标准。

2. 攻击者的耐心远超团队的警觉

攻击者在真正发起攻击前八天就创建了钱包，并进行了小额测试交易，以验证其控制权。整个预谋过程历时一周以上，而协议团队的监控系统并未触发任何警报。这意味着，传统的"事后响应"安全体系在面对高度预谋的攻击者时几乎无效——实时异常检测和链上行为监控必须成为基础设施，而非可选项。

3. TVL越高，越是靶心

在攻击发生前，Drift凭借5.5亿美元的TVL成为Solana链上最显眼的攻击目标之一。这是DeFi高收益与高风险之间无法回避的结构性悖论——资金越集中，对攻击者的激励越强。协议设计应引入资金分仓机制，降低单点被攻破后的最大损失上限。

4. 安全审计的缺失是不可辩解的失职

此次攻击暴露出Drift Protocol缺乏主流安全机构审计这一致命短板。在TVL超过5亿美元的规模下，没有经过充分审计的协议向用户开放，本质上是一种风险转嫁行为。审计不是营销噱头，是对用户资金负责任的基本门槛。

5. 跨链桥与DEX聚合器是资金外逃的高速公路

攻击发生后，被盗资金迅速通过Jupiter聚合器进行链上兑换，并借助跨链桥转移至以太坊。这一路径被黑客反复采用——Wormhole、Jupiter等基础设施在提高资本效率的同时，也为非法资金的快速流转提供了便利。如何在基础设施层引入合规过滤机制，同时不损害去中心化特性，是行业需要共同面对的难题。

6. 紧急暂停机制应是标配，而非奢侈品

此次事件中，Drift团队因管理员密钥被更替，且多签没有设置时间锁，无法及时介入阻止攻击持续扩大。这说明协议的紧急响应能力必须独立于管理员密钥——例如通过智能合约层面内置的熔断机制，一旦触发阈值（单位时间内超大额出金），自动暂停协议操作，不依赖任何人工干预。

七、尾声

今天是2026年4月1日，Drift团队在公告中三度强调"这不是愚人节玩笑"。

从某种意义上说，真正的玩笑不在于日期的巧合，而在于：一个管理着5.5亿美元用户资金的协议，被一把泄露的私钥击穿；一套自诩"无需信任"的去中心化体系，栽倒在最古老、最人性化的失误上——密钥管理疏失。

DeFi的叙事从未改变：代码即法律，链上透明，用户自主。但任何叙事都依赖于人，人才是一个叙事能否成功的关键suo'zai。