Solana DeFi प्लेटफॉर्म ड्रिफ्ट्स को 280 मिलियन डॉलर के हैक का सामना करना पड़ा

1 अप्रैल को Solana-आधारित विकेंद्रीकृत पर्पचुअल्स एक्सचेंज Drift Protocol ने एक सक्रिय सुरक्षा उल्लंघन की पुष्टि की, जिसके परिणामस्वरूप उपयोगकर्ताओं के लगभग $280 मिलियन फंड खो गए। असामान्य ऑन-चेन ट्रांज़ैक्शन देखने के कुछ मिनटों के भीतर Drift टीम ने सभी जमा-निकासी रोक दिए और घटना को रोकने के लिए अपनी सुरक्षा साझेदारों को तुरंत जुटा लिया। Drift की पोस्टमॉर्टम रिपोर्ट ने बाद में खुलासा किया कि हमलावर ने एक पूर्व-हस्ताक्षरित टिकाऊ nonce मेकेनिज्म का फायदा उठाकर देर से किए गए ट्रांज़ैक्शन को बिना पहचाने निष्पादित कर दिया। इस पद्धति ने दुर्भावनापूर्ण हमलावर को मल्टीसिग साइनर्स को ऐसे कदम उठाने के लिए प्रोत्साहित किया जो वैध प्रशासनिक संचालन लगते थे, जिससे एक तत्काल थ्रेशोल्ड बायपास हो गया。

यह उल्लंघन दो चरणों में हुआ। पहली बार, एक्सप्लॉइटर ने प्रोटोकॉल के नए मल्टीसिग पते पर आवश्यक पाँच हस्ताक्षर में से दो प्राप्त कर लिए, जो केवल कुछ दिनों पहले नियोजित उन्नयन के हिस्से के रूप में तैनात था। पिछले मल्टीसिग संरचना से एक हस्ताक्षरकर्ता अनजाने में पहुँच बनाए रहा, और हमलावर ने लक्षित संचालन सुरक्षा विफलताओं के माध्यम से दो अन्य हस्ताक्षरों को भी समझौता कर लिया। शून्य-सेकंड टाइम-लॉक विंडो के भीतर, अभिनेता ने Drift की लिक्विडिटी वॉल्ट से सभी परिसंपत्तियाँ—USDC, Wrapped Bitcoin, Wrapped Ethereum, और अन्य SPL टोकन—को एक बाहरी वॉलेट में स्थानांतरित करने का प्रस्ताव प्रस्तुत किया और उसे मंजूर कर लिया।

Elliptic और CertiK द्वारा ब्लॉकचेन विश्लेषण से संकेत मिला कि निधियाँ drain के कुछ मिनट बाद Circle के Cross-Chain Transfer Protocol (CCTP) के माध्यम से Ethereum में ब्रिज की गईं। Elliptic की थ्रेट इंटेलिजेंस ने North Korean state-sponsored साइबरक्राइम अभियानों से पहले से जुड़े वॉलेट पत्तों को चिह्नित किया। DPRK के ऐतिहासिक हैकों में 2022 के Wormhole हैक के $1.5 बिलियन और फरवरी 2025 के Bybit घटना शामिल हैं, जो टिकाऊ nonces या टाइम-डिले विंडो पर निर्भरता और उच्च तरलता वाले Stablecoin प्रवाहों को प्राथमिकता देने जैसी behavioral similarities साझा करते हैं।

उद्योग के हितधारकों ने तेज प्रतिक्रिया दी। Solana Foundation ने टिकाऊ nonce हैंडलिंग की कोड ऑडिट शुरू की, जबकि Circle ने अनधिकृत USDC ब्रिजों को रोकने के लिए पुरानी मेश राउटिंग नोड्स को बंद कर दिया। Drift Protocol ने कानून प्रवर्तन से संपर्क किया, जिसमें यू.एस. Justice Department के National Cryptocurrency Enforcement Team भी शामिल है, ताकि केंद्रीकृत और विकेंद्रीकृत प्लेटफॉर्मों पर चुराई गई संपत्तियों का पता लगाया जा सके। ऑन-चैन रिकवरी विकल्प अभी भी सीमित हैं, लेकिन प्रोटोकॉल गवर्नेंस ने इकोसिस्टम इंश्योरेंस पूलों द्वारा वित्तपोषित एक collateral recovery योजना प्रस्तावित की है।

इस एक्सप्लॉइट ने मल्टीसिग्नेचर स्कीमों में बनी स्थायी कमजोरियों और संचालन सुरक्षा में मानव तत्व की भूमिका को उजागर किया। Drift के संस्थापक ने हार्डवेयर-आधारित कुंजी प्रबंधन समाधान एकीकृत करने और Threshold Signature Schemes (TSS) के माध्यम से बहु-भागी स्वीकृतियों को विस्तृत टाइम-लॉक के साथ अनिवार्य बनाने की योजना की घोषणा की। जैसे-जैसे DeFi के TVLs नेटवर्कों में 200 अरब डॉलर से अधिक हो जाते हैं, Drift हैक यह याद दिलाता है कि गवर्नेंस हाइजीन और क्रॉस-चेन जोखिम नियंत्रण विकेन्द्रीकृत वित्तीय संरचना की सुरक्षा के लिए अत्यंत आवश्यक हैं।