1 квітня 2026 року Drift Protocol, найбільша децентралізована біржа безстрокових контрактів в екосистемі Solana, зазнала крадіжки приблизно 285 мільйонів доларів США з активів користувачів лише за 12 хвилин. Цей інцидент став другим за масштабом порушенням безпеки в історії Solana. Вже за декілька днів валідатор XRP Ledger під псевдонімом Vet опублікував попередження у соціальних мережах: ця атака є важливим уроком для розробників екосистеми XRP — подібні соціотехнічні загрози можуть виникнути в будь-якій криптомережі.
Як шестимісячна «розвідувальна операція» подолала захист мультипідпису?
Основною причиною атаки на Drift стала не вразливість смартконтракту, а ретельно спланована соціотехнічна кампанія, що тривала шість місяців. За даними офіційного розслідування Drift, зловмисники розпочали операцію ще восени 2025 року. Вони видавали себе за представників квантитативної торгової компанії та контактували з учасниками Drift на кількох міжнародних криптоконференціях. Протягом наступних шести місяців вони вибудовували особисті стосунки з цільовими особами, проводили особисті зустрічі, створювали групи в Telegram для обговорення торгових стратегій і навіть внесли понад 1 мільйон доларів власних коштів у казначейство екосистеми Drift для підвищення довіри. У підсумку зловмисники проникли в проєкт через два вектори: один з учасників скопіював шкідливий репозиторій коду, який використовував відому вразливість VSCode, а інший завантажив додаток TestFlight, замаскований під «гаманець», який насправді був шкідливим програмним забезпеченням.
Чому саме «зловживання легітимною функцією» стало ключовим технічним проривом?
Зловмисники не зламали жодного приватного ключа і не використали помилки в коді. Справжній прорив полягав у використанні функції «durable nonce» Solana — механізму, що дозволяє попередньо підписані транзакції залишати дійсними протягом декількох тижнів. Після отримання авторизації від підписантів мультипідпису через соціотехнічні методи, зловмисники підписали шкідливі транзакції наперед і виконали їх миттєво, щойно отримали достатньо дозволів, практично не залишаючи часу на реакцію захисникам. Важливо, що в архітектурі мультипідпису Drift таймлок було встановлено на нуль секунд — це означало, що транзакція виконувалася одразу після схвалення двома підписантами, що ще більше розширило вікно атаки. Drift згодом підкреслив, що всі учасники мультипідпису використовували холодні гаманці, однак це не завадило зламу, що демонструє: коли ціллю стає людський фактор, навіть суворі апаратні обмеження можна обійти.
Чому валідатори XRP Ledger адресують цільові попередження про міжекосистемні загрози?
Попередження валідатора XRP Ledger Vet не було загальним. Він зазначив, що всі великі проєкти, пов’язані з XRP, мають доступ до операційних акаунтів, дозволи на злиття репозиторіїв коду та облікові дані бекенд-систем — «виживуть лише ті, хто достатньо обережний». Vet також виділив два структурні чинники, які підсилюють ризики XRPL: по-перше, зростання кількості розробників із проєктів «vibe coding» (проєкти з низькою культурою безпеки та нестабільними стандартами операційної діяльності); по-друге, збільшення кількості офлайн-подій XRP, що створює природні можливості для соціотехнічних атак. Ці риси напряму співпадають із методами атаки на Drift, де зловмисники вибудовували довіру через особисті зустрічі.
Чи стають нечіткі межі довіри між ончейн і офчейн новою сліпою зоною для всієї індустрії?
Віталік Бутерін колись зазначав, що криптографічні гарантії блокчейну обмежуються лише шаром консенсусу, а позаланцюгові процеси — такі як оновлення даних через оракули, управлінські рішення або рестейкінг — повністю залежать від доброчесності валідаторів, а не від алгоритмічного контролю. Інцидент із Drift є практичним підтвердженням цієї тези: зловмисники не зламали сам блокчейн, а використали людський фактор — рішення та дії підписантів мультипідпису. В екосистемі XRPL валідатори є ключовими вузлами консенсусу мережі, а їхні межі безпеки виходять за межі ончейн: це управління операційними акаунтами, захист облікових даних бекенду, дозволи на злиття репозиторіїв коду. Якщо будь-яка з цих «офчейн-ланок довіри» буде порушена, безпека ончейн-активів опиниться під загрозою.
Як мають еволюціонувати міжекосистемні захисні стратегії, якщо хакери на рівні держави застосовують соціотехніку як стандартну зброю?
Інцидент із Drift із «середньою-високою впевненістю» пов’язують із UNC4736 — хакерською групою, яку асоціюють із Північною Кореєю і яка також організувала атаку на Radiant Capital на 58 мільйонів доларів у жовтні 2024 року. Методи та рух коштів у цій операції мають спільні риси з попередніми випадками. Це свідчить, що DeFi-протоколи стикаються вже не лише з одиничними хакерами, а й з професійними організаціями, які мають державні ресурси та можуть вкладати місяці у «розвідувальні операції». Попередження валідатора XRPL — це, по суті, сигнал для всієї індустрії: міжекосистемні загрози безпеці вже не гіпотетичні — це реальність, що розширюється.
Чи формують міжланцюгові тренди безпеки 2026 року передумови для наступної великої атаки?
У 2025 році через міжланцюгові мости було відмито понад 2,01 мільярда доларів вкрадених коштів, що становить 49,75% від загальних річних втрат. У випадку з Drift більшість викрадених коштів було переведено з Solana до Ethereum через міжланцюговий протокол Circle, після чого конвертовано в ETH. Складність механізмів валідації міжланцюгових мостів і відсутність єдиних стандартів безпеки в індустрії стають ключовими вразливостями, що загрожують стабільності криптоекосистеми. Для XRPL із зростанням міжланцюгової взаємодії аналогічні канали передачі можуть також стати «магістралями» для відмивання та виведення коштів зловмисниками.
Від попереджень валідаторів до індустріальної рефлексії: чи варто змістити фокус захисту з «технічного посилення» на операційну безпеку?
Головний урок інциденту Drift полягає в наступному: традиційна модель захисту «аудит коду + мультипідписне управління» структурно програє при зіткненні з людським фактором. Твердження валідатора XRPL Vet про те, що «виживуть лише ті, хто достатньо обережний», не є перебільшенням — це серйозне нагадування про важливість операційної безпеки. З позиції захисної стратегії індустрія має підвищити рівень захисту за трьома напрямами: по-перше, валідатори та ключові учасники мають проходити спеціалізоване навчання для розпізнавання соціотехнічних атак; по-друге, у мультипідписних архітектурах слід впроваджувати «таймлоки» або обов’язкові періоди очікування для блокування миттєвого виконання попередньо підписаних транзакцій; по-третє, міжекосистемний обмін інформацією та співпраця у сфері розвідки загроз мають стати інституціоналізованими, щоб попередження з однієї екосистеми швидко доходили до інших.
Висновок
Попередження про соціотехнічні загрози, яке оприлюднили валідатори XRP Ledger після атаки на Drift, не є ізольованим випадком в межах однієї екосистеми — це стрес-тест для всієї системи захисту криптоіндустрії. Коли хакери на рівні держави поєднують соціотехніку зі зловживанням легітимними функціями протоколу, а «офчейн-довіра» стає слабшою ланкою, ніж вразливості смартконтрактів, периметр безпеки будь-якої екосистеми може впасти через одну помилку окремого учасника. Відповіддю індустрії має стати не лише технічне латання, а системне зміцнення культури операційної безпеки, надлишковості управління та міжекосистемної системи раннього попередження.
Поширені запитання
Q: Що таке функція "durable nonce" і як її використали зловмисники?
Durable nonce — це легітимна функція протоколу Solana, яка дозволяє транзакціям використовувати фіксований nonce-акаунт замість блокового хеша, що швидко втрачає чинність. Це дає змогу попередньо підписаним транзакціям залишатися дійсними протягом тижнів. Після отримання дозволу від підписантів мультипідпису через соціотехнічні методи зловмисники використали цю функцію для попереднього підписання шкідливих транзакцій, а потім виконали їх миттєво, щойно отримали потрібні дозволи, обійшовши традиційне вікно часу мультипідпису.
Q: Чи має екосистема XRP Ledger структурні вразливості, подібні до тих, що були використані під час атаки на Drift?
Валідатор XRP Ledger Vet зазначає, що великі проєкти екосистеми XRPL зазвичай мають доступ до операційних акаунтів і дозволи на злиття репозиторіїв коду, що створює ризики, подібні до компрометації «пристроїв учасників», як це сталося під час атаки на Drift. Окрім того, зростання кількості офлайн-подій XRPL створює додаткові можливості для соціотехнічних атак.
Q: Як валідатори можуть захиститися від подібних соціотехнічних атак?
Ключові заходи включають впровадження багатофакторної автентифікації та апаратно ізольованих операційних середовищ; ретельний контроль за клонуванням репозиторіїв коду; навчальні програми для розпізнавання соціотехнічних атак; обов’язкові таймлоки в мультипідписному управлінні; регулярну ротацію та аудит критичних дозволів.
Q: Яку роль відіграють міжланцюгові мости у випадках безпеки?
Міжланцюгові мости наразі є одним із основних каналів для відмивання коштів хакерами. У випадку Drift понад 230 мільйонів доларів викрадених коштів було переведено з Solana до Ethereum через міжланцюгові протоколи передачі. Складність і нестабільність стандартів безпеки механізмів валідації міжланцюгових мостів робить їх важливим інструментом для переміщення та приховування коштів зловмисниками.
Q: Як цей інцидент вплинув на ринкову динаміку XRP?
Станом на 7 квітня 2026 року, за даними Gate, XRP торгується на рівні 1,312 долара США. Ця стаття не містить прогнозів цін; користувачам слід самостійно оцінювати відповідні ризики.
