2.85 tỷ đô la, cuộc tấn công chuỗi khối lớn nhất trong năm, vẫn là vấn đề của khóa riêng

Ngày 1 tháng 4 năm 2026 lúc 4 giờ chiều theo giờ Coordinated Universal Time (UTC), Tài sản toàn bộ trong Kho của Drift Protocol là 3.09 tỷ đô la Mỹ. Một giờ sau, chỉ còn lại 41 triệu đô la.

Điều này không phải là trò dựa vào ngày Đồ ngốc. Chính nhóm Drift cũng đã phải nói rõ điều này trước - "Đây không phải là một trò dựa vào ngày Đồ ngốc". Nhưng trước dữ liệu trên chuỗi, sự khác biệt giữa trò đùa và thảm họa chỉ nằm ở việc: tiền còn hay không.

Đã xảy ra chuyện gì

Vào khoảng 16:00 UTC ngày 1 tháng 4, cơ quan theo dõi trên chuỗi Lookonchain và PeckShield gần như cùng nhau phát hiện một tín hiệu bất thường: một ví tiền HkGz4K vừa được tạo tám ngày trước bắt đầu chuyển toàn bộ tài sản từ nhiều Kho của Drift. Giao dịch đầu tiên là 41,7 triệu token JLP, trị giá khoảng 155,6 triệu đô la Mỹ.

Kẻ tấn công một cách có hệ thống đã làm trống Kho JLP Delta Neutral, Sol Super Staking và BTC Super Staking của Drift, liên quan đến hơn 15 loại token - USDC, SOL, cbBTC, wBTC, token thế cấp thanh khoản, thậm chí cả meme coin Fartcoin cũng không thoát khỏi. Tổng cộng khoảng 2.7 tỷ đến 2.85 tỷ đô la Mỹ tài sản đã bị rút khỏi trong một giờ.

PeckShield đưa ra nhận định sơ bộ: Phần mềm quản trị khoá riêng đã bị rò rỉ. Kẻ tấn công đã có được khoá quản lý đặc quyền của giao thức, không chỉ có thể gọi chức năng rút tiền từ Kho, mà còn thay đổi chính khoá quản trị của mình - tương đương với việc đổi khóa, đẩy chủ nhân cũ ra ngoài. Đối với nhóm Drift, ngay cả sau khi tấn công xảy ra, họ cũng không thể khẩn cấp đóng băng hợp đồng.

Đây là phương pháp tấn công cổ điển nhất. Không phải là lợi dụng vay flash loan, không phải là thao tác bất kỳ thông qua máy oracles, không phải là lỗ hổng logic hợp đồng thông minh. Chỉ đơn giản là một chiếc chìa khóa đã rơi vào tay người không nên có nó.

Lộ trình rút lui của kẻ tấn công

Tiêu biểu hơn cả việc xâm nhập là chiến lược rút lui của kẻ tấn công.

Sau khi đánh cắp tài sản, kẻ tấn công nhanh chóng thông qua trình tự tổng hợp Jupiter chuyển đổi các loại token thành USDC, sau đó giao tiếp qua cầu liên chuỗi đến Ethereum. Đến thời điểm 17:49 UTC, kẻ tấn công đã mua 19,913 ETH (khoảng 42,6 triệu đô la Mỹ); đến 18:17, con số này đã tăng gấp đôi lên 38,820 ETH (khoảng 82,66 triệu đô la Mỹ). Đồng thời, một phần SOL khác đã được gửi trực tiếp vào Binance và HyperLiquid.

Phân tán đa chuỗi, rút tiền đa nền tảng, cân bằng thời gian thực. Đây không phải là một vụ tấn công tỉnh thức tạm thời, mà là một kế hoạch rút lui được lên kế hoạch trước.

Tầm Quan Trọng Của Drift

Drift không phải là một giao thức nhỏ vô danh.

Nó được thành lập chung bởi Cindy Leow và David Lu vào năm 2021, là sàn giao dịch hợp đồng vĩnh viễn phi tập trung lớn nhất trong hệ sinh thái Solana. Đầu năm 2024, Polychain Capital đã dẫn đầu vòng gọi vốn chuỗi A trị giá 23.5 triệu USD, nâng tổng số vốn kêu gọi lên 52.3 triệu USD. Đến trước sự cố, tổng lượng giao dịch của Drift đã vượt quá 550 tỷ USD, tổng số lượng token đã bị khóa vượt quá 10 tỷ USD, và số người tham gia giao dịch tích cực đã vượt qua con số 20 vạn người.

Cindy Leow đã nói với tạp chí Fortune vào năm 2024 rằng, cô muốn biến Drift trở thành "Robinhood của thế giới tiền điện tử". Hiện nay, phép biến tấu này mang một ý nghĩa mới không tốt lắm—Robinhood đã đóng băng quyền giao dịch của người dùng trong sự kiện GameStop vào năm 2021, Drift thì bị người tấn công đóng băng quyền quản lý của chính mình.

Đây cũng là sự cố bảo mật lớn nhất mà hệ sinh thái Solana phải đối mặt kể từ khi Wormhole Cross-Chain Bridge bị đánh cắp 325 triệu USD vào năm 2022.

Vấn Đề Bảo Mật DeFi Cổ Điển

Xem sự kiện Drift trong bối cảnh lịch sử, cảnh tượng không lạ lẫm.

Năm 2022, Ronin Bridge bị đánh cắp 625 triệu USD—bí mật khai thác mảnh. Tháng 2 năm 2025, Bybit bị đánh cắp 14 tỷ USD—Safe{Wallet} bị chèn mã độc, nhìn chung vẫn là việc đứt lỗi chuỗi quản lý khóa. Giờ là Drift, cùng kịch bản quen thuộc: khóa quản trị viên bị đánh ế.

235 triệu USD nằm trên bảng xếp hạng những vụ đánh cắp DeFi có lịch sử, khoảng từ vị trí thứ 5 đến thứ 6. Nhưng con số lớn hay nhỏ không còn quan trọng nữa. Quan trọng là, giao thức phi tập trung liên tục gục ngã ở cùng một điểm yếu—không phải là logic mã, không phải là mật mã học, mà là bí quyết tuyệt mật điều khiển tất cả do ai giữ, và giữ như thế nào.

Giao thức hợp đồng vĩnh viễn bán không gian tự do tài chính không cần phép. Nhưng khi một chiếc chìa khóa quản trị viên có thể làm trống tất cả kho bạc trong một giờ, "không cần phép" bảo vệ từng từ ngữ kia chốc lát đã bảo vệ ai?

Hậu Quả và Mảng Hỏi

Đội ngũ Drift đã nhanh chóng tạm ngừng chức năng gửi/rút tiền sau sự cố, và tuyên bố rằng họ đang phối hợp với "nhiều công ty an ninh, cầu nối giữa chuỗi và sàn giao dịch" để theo dõi dòng tiền. Tuy nhiên, đến thời điểm viết bài, chưa có thông báo nào về việc thành công của việc đóng băng hoặc thu hồi dòng tiền nào.

Giá của token DRIFT đã sụt giảm hơn 25% sau thông điệp lan truyền, từ khoảng 0.072 đô la xuống còn 0.055 đô la. DeFi Development Corp. (một công ty niêm yết DAT sở hữu số lượng lớn SOL) đã nhanh chóng lên tiếng để làm sáng tỏ họ không liên quan đến Drift.

Ví của kẻ tấn công vẫn đang hoạt động. Dữ liệu trên chuỗi cho thấy tài sản vẫn đang được chuyển đổi và phân tán liên tục. Đây là một cuộc rút lui đang diễn ra.

Một số vấn đề chính vẫn còn đang chờ giải đáp: Vì sao khoá riêng của quản trị viên bị rò rỉ? Có phải do sơ suất vận hành, tấn công xã hội, hay là do nhân viên nội bộ? Tại sao kẻ tấn công đã tạo ví trước 8 ngày và thực hiện giao dịch nhỏ trên OKX và Jupiter - điều này có phải là thăm dò hay lên kế hoạch? Dòng tiền đã được chuyển đến sàn giao dịch tập trung liệu có thể bị đóng băng hay không?

Vào ngày 1 tháng 4, một ví chỉ được tạo ra từ 8 ngày trước đã mở toàn bộ kho tủ của nền tảng hợp đồng vĩnh cửu lớn nhất trên Solana bằng một cặp khoá quản trị. Toàn bộ quá trình chỉ mất chưa đầy một giờ. Trên chuỗi, mối quan hệ giữa khóa và chìa khóa chưa bao giờ là ẩn dụ.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia