Drift ngày Cá tháng Tư bị trộm hơn 2.8 tỷ USD, hacker xâm nhập hay tự lấy?

Shaw, Kinh tài chính vàng

Ngày 2 tháng 4, nền tảng giao dịch phái sinh Drift Protocol gặp sự cố an ninh; dữ liệu trên chuỗi cho thấy thiệt hại vượt 2,85 tỷ USD. Bên dự án cho biết đã phát hiện hoạt động bất thường và đang điều tra, nhắc người dùng tạm thời đừng nạp tiền vào giao thức, đồng thời nhấn mạnh “đây không phải trò đùa ngày Cá tháng Tư”.

Cuộc tấn công liên quan đến nhiều quỹ vốn, bao gồm JLP Delta Neutral, SOL Super Staking và BTC Super Staking v.v. Mỗi lần chuyển khoảng 41,70 triệu token JLP, tương đương khoảng 155 triệu USD; ngoài ra, các tài sản như SOL, USDC, cbBTC và wBTC cũng bị rút ra.

Theo thống kê, sự kiện này có thể trở thành một trong những vụ tấn công DeFi quy mô lớn nhất trong lịch sử, lớn nhất sau vụ Wormhole bridge exploit trên hệ sinh thái Solana.

I. Diễn biến cập nhật mới nhất của sự kiện Drift Protocol bị tấn công

Theo giờ miền Đông Hoa Kỳ ngày 1 tháng 4 năm 2026, giao thức phái sinh phi tập trung Drift Protocol trên hệ sinh thái Solana đã phải hứng chịu một cuộc tấn công tin tặc nghiêm trọng, số tài sản bị đánh cắp khoảng 285 triệu USD; tài sản bị đánh cắp cốt lõi chủ yếu gồm: khoảng 41,70 triệu token JLP, trị giá 155,6 triệu USD; và nhiều loại tài sản như USDC, SOL, cbBTC, wBTC. Vụ đánh cắp này trở thành một trong những sự kiện tấn công lớn thứ hai trong lịch sử Solana và cũng là một trong những vụ tấn công có quy mô lớn nhất trong lịch sử DeFi.

Sau đó, trang chính thức Drift Protocol đã đăng bài trên nền tảng xã hội để xác nhận: “Drift Protocol đang bị tấn công. Các chức năng gửi và rút tiền đã bị tạm dừng. Chúng tôi đang phối hợp với nhiều tổ chức an ninh, cầu nối xuyên chuỗi và sàn giao dịch để kiểm soát tình hình một cách toàn lực. Đây không phải trò đùa ngày Cá tháng Tư. Thông tin chi tiết hơn sẽ được đăng tải ngay lập tức thông qua tài khoản này.”

Cuộc tấn công bắt đầu từ rạng sáng ngày 2 tháng 4. Nền tảng giám sát on-chain PeckShield đã phát cảnh báo: địa chỉ kho tiền chính của Drift bắt đầu chuyển khoản quy mô lớn đến một ví mới được tạo là HkGz4K. Nhóm tài sản được chuyển đi ngay đầu tiên chủ yếu là token JLP (Jito Liquidity Provider), trị giá khoảng 155 triệu USD; sau đó là USDC, SOL, cbBTC, wBTC, WETH và một phần meme coin. Dữ liệu của PeckShield cho thấy, trong thời gian ngắn, tổng số tài sản chảy ra đạt 285 triệu USD.

Theo theo dõi của Yú Yīn, các tài sản 285 triệu USD mà Drift bị đánh cắp hiện đã được đổi thành 129.000 ETH (278 triệu USD). Trong vài giờ qua, kẻ tấn công đã bán các tài sản này bằng nhiều phương thức khác nhau và chuyển xuyên chuỗi sang mạng Ethereum, rồi trên mạng Ethereum mua lại thành ETH. Hiện nay, các tài sản 285 triệu USD mà kẻ tấn công đánh cắp trên Solana đã được quy đổi trên mạng Ethereum thành 129,066 ETH.

Ngoài ra, đội ngũ an ninh SlowMist đã đăng bài trên mạng xã hội, cho biết hiện tại, các khoản tiền bị đánh cắp đã cơ bản được gom về các địa chỉ Ethereum sau: 0x0fe3b6908318b1f630daa5b31b49a15fc5f6b674、0xd3feed5da83d8e8c449d6cb96ff1eb06ed1cf6c7、0xaa843ed65c1f061f111b5289169731351c5e57c1, tổng cộng: 105,969 ETH (khoảng 226 triệu USD).

Cụm địa chỉ của kẻ tấn công：

II. Phân tích cuộc tấn công Drift Protocol, bên dự án “nội gián tự trộm”？

Cuộc tấn công này là sự kết hợp giữa xâm nhập quyền hạn được lên kế hoạch kỹ lưỡng + tấn công thao túng giá; cốt lõi là việc kẻ tấn công đã đánh cắp quyền của quản trị viên, sau đó thông qua giả mạo token và thao túng oracle, trong chớp mắt vượt giới hạn hạn mức vốn, cướp sạch kho tiền của giao thức. Kẻ tấn công, thông qua việc lấy khóa riêng quản trị viên, đã vô hiệu hóa cơ chế quản trị rủi ro cốt lõi của giao thức (giới hạn rút tiền). Sau đó, chúng lợi dụng tài sản thế chấp giả để rút hàng loạt từ các quỹ vốn, và hoàn tất việc rửa tiền thông qua chuyển giao tài sản xuyên chuỗi.

Đối với sự kiện Drift Protocol bị tấn công dẫn đến việc tài sản bị đánh cắp, Người sáng lập SlowMist là Yu Xuan đã đăng bài phân tích sự kiện Drift bị đánh cắp, chỉ ra rằng trước cuộc tấn công một tuần, Drift đã điều chỉnh cơ chế đa chữ ký thành “2/5” (1 người ký cũ + 4 người ký mới), và không thiết lập khóa thời gian (timelock). Kẻ tấn công sau đó giành quyền quản trị viên, giả mạo token CVT, thao túng oracle, tắt cơ chế an toàn, và chuyển các tài sản giá trị cao từ các quỹ vốn.

Đồng sáng lập Chaos Labs là Omer Goldberg cũng đã đăng bài trên mạng xã hội, nêu rằng một tuần trước, Drift chuyển sang một ví đa chữ ký mới; ví này do một trong các người ký của bộ đa chữ ký cũ tạo ra. Và người ký này không đưa bản thân vào danh sách người ký đa chữ ký mới. Kẻ tấn công đồng thời khởi tạo một đề xuất trong đa chữ ký cũ, chuyển quyền quản trị viên sang ví mới này. Đa chữ ký mới có tổng cộng 5 người ký, chỉ 1 người thuộc nhóm ban đầu; còn lại 4 người đều là các địa chỉ hoàn toàn mới. Ví này được đặt ngưỡng đa chữ ký 2/5 và không có bất kỳ khóa thời gian nào (độ trễ 0 giây). Khoảng 5 giờ trước, người ký duy nhất thuộc nhóm ban đầu đã khởi tạo đề xuất thông qua đa chữ ký mới để thay đổi quyền quản trị viên Drift. Một người ký mới đã đồng ký trong vòng một giây, lập tức đạt ngưỡng 2/5. Do không có khóa thời gian, giao dịch được thực thi ngay lập tức.

Kết hợp các bằng chứng on-chain hiện có, hành vi của đội ngũ, dòng chảy tiền tệ và các yếu tố khác, khả năng “nội gián tự trộm” thực sự là hướng có mức độ được bàn luận cao nhất và nhiều nghi điểm nhất trong vòng hiện tại; thậm chí còn hợp logic hơn so với “tin tặc bên ngoài xâm nhập”. Trước đó, phía chính thức đã điều chỉnh cơ chế đa chữ ký khiến cấu trúc quyền hạn trở nên “thuận tiện để bị tấn công” hơn là do tai nạn; phương thức tấn công “quá hiểu logic nội bộ”, hoàn toàn không giống phong cách của tin tặc bên ngoài. Hơn nữa, phía chính thức tỏ ra bất thường bình tĩnh trước việc bị đánh cắp một khoản tài sản khổng lồ như vậy; sau khi bị đánh cắp, dòng tiền chảy ra rất sạch sẽ, rõ ràng, nhanh chóng đổi sang ETH và thực hiện thao tác xuyên chuỗi, đồng thời không có dòng tiền đi vào sàn giao dịch tập trung dễ bị đóng băng. Chuỗi diễn biến sự kiện và logic vận hành này. Khiến cho các nghi ngờ về việc phía Drift tự “nội gián trộm” trong cộng đồng càng lúc càng dâng cao.

III. Các bên liên quan và phản ứng của cộng đồng mã hóa

Sau khi xảy ra sự kiện Drift Protocol bị đánh cắp tài sản, các bên liên quan và cộng đồng mã hóa phản ứng không giống nhau:

• Trong vụ Drift - giao thức DeFi bị đánh cắp, tổn thất vị thế JLP khoảng 155,6 triệu USD. Về vấn đề này, Jupiter chính thức cho biết nền tảng không bị ảnh hưởng bởi sự kiện lần này; sản phẩm cho vay Jupiter Lend không liên quan đến thị trường Drift, và tài sản JLP “được hỗ trợ hoàn toàn bởi tài sản cơ sở”. Jupiter đồng thời cho biết sự kiện này đối với hệ sinh thái DeFi Solana là một “ngày khó khăn” và bày tỏ sự quan tâm đến đội ngũ Drift cũng như người dùng bị ảnh hưởng.

• Giao thức tạo lợi nhuận Unitas Protocol đăng bài trên mạng xã hội cho biết họ không bị ảnh hưởng bởi sự kiện Drift Protocol bị tấn công. Trên Drift, Unitas không có bất kỳ vị thế (exposure) nào. Tất cả tài sản thế chấp đều an toàn, mọi chiến lược (bao gồm chiến lược JLP Delta trung tính) đều vận hành bình thường. Tiền của người dùng an toàn. Tài sản thế chấp có thể được xác minh theo thời gian thực thông qua dashboard bằng chứng dự trữ của Accountable và Primus Labs.

• Meteora - giao thức thanh khoản trên Solana đăng bài trên mạng xã hội cho biết mọi quỹ trên Meteora đều an toàn; toàn bộ chức năng và kho tiền của nền tảng đều không tương tác với giao thức Drift.

• Người sáng lập Perena - Anna đăng bài trên mạng xã hội cho biết Perena USD*, USD*-J và USD*-P của họ không bị ảnh hưởng bởi sự kiện tấn công Drift. Tuy nhiên, kho tiền JLP của dự án chia sẻ chiến lược định lượng trong hệ sinh thái Solana Neutral Trade bị ảnh hưởng vì vận hành trên Drift Protocol; đội ngũ đang duy trì liên lạc với các đối tác và sẽ tiếp tục cập nhật tiến triển.

• Người dùng nền tảng X @hzkj99：Giao thức tài sản Drift Protocol trong hệ sinh thái SOL bị đánh cắp, thiệt hại lên tới hàng trăm triệu; bất kỳ lúc nào, đối với bất kỳ thứ gì liên quan đến tiền bạc, an toàn phải là ưu tiên hàng đầu, đặc biệt trong giai đoạn thị trường gấu cũng chắc chắn sẽ có thêm giao thức bị đánh cắp. Thế giới này đúng là một “bộ máy sân khấu” khổng lồ; một số giao thức thậm chí có thể bị đánh cắp nhiều lần, và Drift cũng chắc chắn không phải là giao thức bị đánh cắp cuối cùng

• Người dùng nền tảng X @lanhubiji：Drift Protocol chịu một lỗ hổng bị khai thác nghiêm trọng, thiệt hại khoảng 270 triệu USD, là một trong những sự kiện tấn công DeFi lớn nhất cho đến nay năm 2026. Có những bài đăng, nghiêm túc một cách chính thức nói rằng, “Quỹ Solana đang phối hợp để rollback với máy chủ trong tầng hầm của Toly (đồng sáng lập)”. Đây là dù là meme nhưng nói như vậy cũng hơi quá.

• Người dùng nền tảng X @EnHeng456：Trong thị trường gấu, cất tiền thật sự phải hết sức cẩn thận; hiện tại môi trường ngày càng không an toàn, khắp nơi đều là tin tức bị đánh cắp. Một số giao thức cũ cũng cố tình gặp vấn đề trong thị trường gấu; bạn cũng rất khó phân biệt đó là tấn công của hacker hay nội gián tự trộm. Dạo gần đây tôi cũng bảo thủ hơn, chỉ để ngoan trong USD1, không dám bừa bãi đi chỗ khác nữa. Trong bối cảnh kiểu này, càng giằng co càng dễ xảy ra vấn đề; đôi khi không động vào gì lại là lựa chọn tốt nhất. Drift bị mất 200 triệu USD và rồi lại lọt vào túi của tướng.

IV. Ảnh hưởng của sự kiện Drift Protocol bị đánh cắp

Sự kiện Drift Protocol bị đánh cắp 285 triệu USD là cuộc tấn công DeFi lớn thứ hai trong lịch sử hệ sinh thái Solana; ảnh hưởng của nó vượt xa bản thân giao thức, gây đòn nặng vào niềm tin của hệ sinh thái Solana và đẩy nhanh sự thay đổi về an toàn DeFi.

Cuộc tấn công lần này đã phơi bày những khiếm khuyết chí mạng của các dự án DeFi trong quản lý quyền đa chữ ký và bảo mật oracle.Quyền hạn là két tiền，một khi khóa của quản trị viên bị lộ, và thiếu các cơ chế phanh khẩn cấp như timelock, thì mọi logic mã phức tạp đều có thể trong nháy mắt trở nên vô dụng.Đối với Drift Protocol，trừ khi thu hồi được khoản tiền khổng lồ hoặc có “ông lớn” nhận kèo tiếp, nếu không sẽ đi đến thanh lý, phá sản và kiện tụng.Đối với Solana và cả hệ sinh thái của nó，niềm tin của hệ sinh thái bị tổn hại nghiêm trọng; trong ngắn hạn dòng tiền chảy ra nhanh hơn và tăng trưởng chậm lại; trong dài hạn buộc phải nâng cấp an toàn. Còn đối với toàn ngành DeFi, có thể nói đây là một mốc ranh giới của ngành, “an toàn quyền hạn lớn hơn an toàn mã lệnh” trở thành điều luật bất biến; chi phí niềm tin tăng vọt, và DeFi sẽ bước vào một giai đoạn mới tuân thủ hơn, minh bạch hơn, và tập quyền hóa hơn (quản trị an toàn).