Drift “Ngày Cá tháng Tư” hơn 2,8 tỷ USD bị đánh cắp: hacker xâm nhập hay nhân viên tự lấy trộm?

Shaw，Tin tức Tài chính Màu Vàng

Vào ngày 2 tháng 4, nền tảng giao dịch phái sinh Drift Protocol xảy ra sự cố an ninh, dữ liệu on-chain cho thấy thiệt hại vượt quá 2,85 trăm triệu USD. Bên dự án cho biết đã phát hiện hoạt động bất thường và đang điều tra, đồng thời nhắc người dùng tạm thời đừng nạp tiền vào giao thức, và nhấn mạnh “đây không phải trò đùa ngày Cá tháng Tư”.

Cuộc tấn công lần này liên quan đến nhiều quỹ (fund pool), bao gồm JLP Delta Neutral, SOL Super Staking và BTC Super Staking…. Một giao dịch chuyển khoảng 41,70 triệu token JLP có giá trị xấp xỉ 155 triệu USD; ngoài ra, các tài sản như SOL, USDC, cbBTC và wBTC cũng bị rút ra.

Theo thống kê, sự kiện này có thể trở thành một trong những cuộc tấn công DeFi có quy mô lớn nhất trong hệ sinh thái Solana kể từ sau vụ exploit Wormhole bridge.

I. Diễn biến mới nhất của sự kiện Drift Protocol bị tấn công

Vào ngày 1 tháng 4 năm 2026 (giờ miền Đông Hoa Kỳ), giao thức phái sinh phi tập trung Drift Protocol trong hệ sinh thái Solana đã hứng chịu một vụ tấn công tin tặc nghiêm trọng; tài sản bị đánh cắp khoảng 285 triệu USD. Các tài sản lõi bị đánh cắp chủ yếu gồm: khoảng 41,70 triệu token JLP, trị giá 155,6 triệu USD; cùng với nhiều loại tài sản như USDC, SOL, cbBTC, wBTC. Sự kiện bị đánh cắp này trở thành một trong những vụ tấn công lớn thứ hai trong lịch sử Solana và có quy mô lớn nhất trong DeFi.

Sau đó, Drift Protocol chính thức đăng bài trên nền tảng xã hội để xác nhận: “Drift Protocol đang bị tấn công. Các chức năng nạp tiền và rút tiền đã bị tạm dừng. Chúng tôi đang phối hợp toàn lực với nhiều cơ quan an ninh, cầu nối liên chuỗi và sàn giao dịch để kiểm soát tình hình. Đây không phải là trò đùa ngày Cá tháng Tư. Thông tin thêm sẽ được đăng tải đầu tiên trên tài khoản này.”

Cuộc tấn công bắt đầu từ rạng sáng ngày 2 tháng 4. Nền tảng giám sát on-chain PeckShield phát cảnh báo: địa chỉ “kho dự trữ chính” (main vault) của Drift bắt đầu chuyển một lượng lớn tiền vào một ví mới được tạo, có tên HkGz4K. Lô chuyển đầu chủ yếu là token JLP (Jito Liquidity Provider), trị giá khoảng 155 triệu USD; sau đó là USDC, SOL, cbBTC, wBTC, WETH và một phần meme coin. Dữ liệu của PeckShield cho thấy trong thời gian ngắn, tổng dòng tiền chảy ra đạt 285 triệu USD.

Theo theo dõi của Yu Jin, tài sản 285 triệu USD bị Drift đánh cắp hiện đã được đổi thành 129k ETH (2,78 trăm triệu USD). Trong vài giờ vừa qua, tin tặc đã bán số tài sản này bằng nhiều cách khác nhau và chuyển xuyên chuỗi sang Ethereum, rồi tại chuỗi Ethereum đã mua thành ETH. Hiện tại, tài sản 285 triệu USD mà tin tặc đánh cắp trên Solana đã được mua thành 129.066 ETH trên chuỗi Ethereum.

Ngoài ra, đội ngũ an ninh SlowMist cũng đăng bài trên mạng xã hội cho biết hiện tại, số tiền bị đánh cắp đã cơ bản được gom về các địa chỉ Ethereum sau: 0x0fe3b6908318b1f630daa5b31b49a15fc5f6b674、0xd3feed5da83d8e8c449d6cb96ff1eb06ed1cf6c7、0xaa843ed65c1f061f111b5289169731351c5e57c1, tổng cộng: 105.969 ETH (khoảng 226 triệu USD).

Cụm địa chỉ tin tặc:

II. Phân tích vụ tấn công Drift Protocol: “kẻ canh cửa tự trộm” từ phía dự án?

Cuộc tấn công là một tổ hợp gồm xâm nhập quyền được lập kế hoạch kỹ lưỡng + thao túng giá. Điểm mấu chốt nằm ở việc tin tặc, sau khi đánh cắp quyền quản trị, đã vượt giới hạn hạn mức vốn ngay lập tức bằng cách giả mạo token và thao túng oracle, qua đó cướp sạch kho tiền của giao thức. Tin tặc, bằng việc có được khóa riêng quản trị, đã vô hiệu hóa cơ chế quản trị rủi ro cốt lõi của giao thức (giới hạn rút tiền); sau đó sử dụng tài sản thế chấp giả để rút hàng loạt từ các quỹ (fund pool) và hoàn tất rửa tiền thông qua chuyển tài sản liên chuỗi.

Liên quan đến vụ việc tài sản bị đánh cắp do Drift Protocol bị tấn công, nhà sáng lập SlowMist, Yu Xuan, đã đăng bài phân tích và cho biết rằng trước cuộc tấn công một tuần, Drift đã điều chỉnh cơ chế đa chữ ký thành “2/5” (1 người ký cũ + 4 người ký mới) và không thiết lập thời gian khóa (timelock). Sau đó, kẻ tấn công giành được quyền quản trị, giả mạo token CVT, thao túng oracle, tắt các cơ chế an toàn, và chuyển các tài sản giá trị cao từ các quỹ.

Đồng sáng lập Chaos Labs, Omer Goldberg cũng đăng bài trên mạng xã hội, nêu rằng một tuần trước, Drift đã di chuyển sang một ví đa chữ ký mới; ví này được tạo bởi một trong những người ký thuộc nhóm đa chữ ký cũ. Và người ký này không đưa bản thân vào danh sách người ký đa chữ ký mới. Kẻ tấn công đồng thời đề xuất trong đa chữ ký cũ để chuyển quyền quản trị sang ví mới đó. Đa chữ ký mới có tổng cộng 5 người ký; chỉ 1 người đến từ đội ngũ cũ, còn lại 4 người là địa chỉ hoàn toàn mới. Ví này được đặt ngưỡng đa chữ ký 2/5 và không có bất kỳ thời gian khóa nào (0 giây độ trễ). Đêm 2 tháng 4, người ký duy nhất thuộc đội ngũ cũ đã khởi tạo đề xuất thông qua đa chữ ký mới để thay đổi quyền quản trị của Drift. Một người ký mới đã đồng ký trong vòng một giây, lập tức đáp ứng ngưỡng 2/5. Do không có thời gian khóa, giao dịch được thực thi ngay lập tức.

Ngoài ra, trong cộng đồng có lan truyền rằng các thành viên nòng cốt của nhóm Drift đã rời khỏi công ty cách đây một tháng, nhưng đó không phải là sự thật được xác nhận chính thức; thiếu bằng chứng, hiện chỉ là suy đoán/lời đồn trong cộng đồng X (Twitter), không nêu tên cụ thể, và không có bất kỳ phương tiện truyền thông lớn hay Drift chính thức nào xác nhận. Trong tin tức phổ thông và các tuyên bố chính thức của Drift, hoàn toàn không nhắc đến việc bất kỳ thành viên nào trong nhóm đã rời đi một tháng trước.

Dù vậy, khả năng “kẻ canh cửa tự trộm” thực sự là hướng được thảo luận nhiều nhất trong thời điểm hiện tại, và cũng là hướng có nhiều nghi điểm nhất, thậm chí logic hơn cả “tin tặc bên ngoài xâm nhập”. Trước đó, việc dự án điều chỉnh cơ chế đa chữ ký khiến cấu trúc quyền hạn trở nên “quá thuận tiện cho việc tấn công”, không giống một sự cố bất ngờ; cách thức tấn công “quá hiểu logic nội bộ”, hoàn toàn không giống phong cách của tin tặc bên ngoài; hơn nữa, phản ứng của phía dự án trước việc bị đánh cắp số tài sản khổng lồ lại bất thường đến mức lạnh lùng. Sau khi bị đánh cắp, dòng tiền chuyển hướng rất rõ ràng và gọn gàng: nhanh chóng đổi sang ETH và thực hiện thao tác liên chuỗi; đồng thời không có dòng tiền vào các sàn tập trung dễ bị đóng băng. Chuỗi diễn biến và logic vận hành này khiến nghi ngờ của cộng đồng đối với phía Drift chính thức “kẻ canh cửa tự trộm” ngày càng dâng cao.

III. Các bên liên quan và phản ứng của cộng đồng mã hóa

Sau khi vụ Drift Protocol bị đánh cắp tài sản xảy ra, các bên liên quan và cộng đồng mã hóa phản ứng khác nhau như sau:

• Trong vụ việc giao thức DeFi Drift bị đánh cắp, tổn thất vị thế JLP vào khoảng 155,6 triệu USD. Đối với việc này, Jupiter (Jupiter Official) cho biết nền tảng không bị ảnh hưởng bởi sự kiện lần này; sản phẩm cho vay Jupiter Lend của họ không liên quan đến thị trường Drift, và tài sản JLP “được hỗ trợ hoàn toàn bởi tài sản cơ sở”. Jupiter đồng thời cho biết sự kiện này đối với hệ sinh thái Solana DeFi là “một ngày khó khăn”, và bày tỏ quan tâm đến đội ngũ Drift cũng như những người dùng bị ảnh hưởng.

• Giao thức tạo lợi nhuận Unitas Protocol đăng tweet rằng họ không bị ảnh hưởng bởi vụ tấn công Drift Protocol. Trên Drift, Unitas không có bất kỳ vị thế (exposure) nào. Tất cả tài sản thế chấp an toàn, mọi chiến lược (bao gồm chiến lược JLP Delta trung tính) vận hành bình thường. Tiền của người dùng an toàn. Tài sản thế chấp có thể được xác minh theo thời gian thực thông qua bảng điều khiển bằng chứng dự trữ trên Accountable và Primus Labs.

• Giao thức thanh khoản Solana Meteora đăng tweet rằng toàn bộ quỹ trên Meteora đều an toàn; mọi chức năng và kho tiền của nền tảng không tương tác với giao thức Drift.

• Nhà sáng lập hạ tầng stablecoin Perena, Anna đăng tweet rằng Perena USD*, USD*-J và USD*-P của họ không bị ảnh hưởng bởi vụ tấn công Drift. Tuy nhiên, kho JLP của đội quản lý chia sẻ chiến lược định lượng Neutral Trade chạy trong hệ sinh thái Solana bị ảnh hưởng vì nó vận hành trên Drift Protocol; nhóm đang duy trì liên lạc với đối tác và sẽ tiếp tục cập nhật tiến triển.

• Người dùng nền tảng X @hzkj99: Giao thức tài sản Drift Protocol trong hệ sinh thái SOL bị đánh cắp, thiệt hại lên đến hàng trăm triệu. Bất cứ khi nào, đối với phần liên quan đến tiền bạc, an toàn luôn là ưu tiên hàng đầu; đặc biệt trong giai đoạn thị trường gấu chắc chắn sẽ có các giao thức mới bị đánh cắp. Thế giới này đúng là một “đội ngũ dựng chỗ tạm” khổng lồ; có một số giao thức thậm chí có thể bị đánh cắp nhiều lần, và Drift cũng không phải là giao thức cuối cùng bị đánh cắp

• Người dùng nền tảng X @lanhubiji: Drift Protocol chịu sự khai thác lỗ hổng nghiêm trọng, thiệt hại ở mức khoảng 270 triệu USD; đây là một trong những vụ tấn công DeFi lớn nhất tính đến năm 2026. Có những bài đăng, nói năng đàng hoàng rằng: “Quỹ Solana đang phối hợp với máy chủ ở tầng hầm của Toly (đồng sáng lập) để rollback”. Dù đây là trò đùa, nhưng nói như vậy thì hơi quá.

• Người dùng nền tảng X @EnHeng456: Trong thị trường gấu, cất tiền thực sự phải cẩn thận thêm nữa; môi trường hiện ngày càng kém an toàn, khắp nơi là tin tức bị đánh cắp. Một số giao thức cũ cũng chỉ gặp vấn đề trong giai đoạn thị trường gấu; bạn gần như không thể phân biệt là do tấn công của hacker hay do “kẻ canh cửa tự trộm”. Dạo gần đây tôi cũng rất thận trọng, cứ để yên trong USD1, không dám nhét lung tung nữa. Với tình hình này, càng giằng co càng dễ phát sinh vấn đề; đôi khi không làm gì lại là lựa chọn tốt nhất. Drift bị đánh cắp 200 triệu USD rồi lại bỏ vào túi của vị tướng.

IV. Ảnh hưởng của sự kiện Drift Protocol bị đánh cắp

Sự kiện Drift Protocol bị đánh cắp 285 triệu USD là cuộc tấn công DeFi lớn thứ hai trong lịch sử hệ sinh thái Solana; ảnh hưởng của nó còn vượt xa bản thân giao thức, gây chấn động mạnh niềm tin của hệ sinh thái Solana và đẩy nhanh cuộc cách mạng về an ninh DeFi.

Cuộc tấn công này đã phơi bày những khiếm khuyết chí mạng của dự án DeFi trong quản lý quyền đa chữ ký và bảo mật oracle. Quyền là kho tiền và một khi khóa mật quản trị bị lộ, lại thiếu các cơ chế phanh khẩn cấp như timelock, thì mọi logic mã phức tạp đều có thể mất hiệu lực ngay lập tức. Đối với Drift Protocol, trừ khi thu hồi được số tiền khổng lồ hoặc có “ông lớn” tiếp nhận, dự án sẽ đi tới thanh lý, phá sản, kiện tụng. Đối với Solana và toàn bộ hệ sinh thái của nó, uy tín hệ sinh thái bị tổn hại nặng nề, dòng tiền rút ra trong ngắn hạn, tăng trưởng chậm lại trong dài hạn buộc phải nâng cấp an toàn. Còn đối với toàn ngành DeFi, có thể nói đây là một mốc chia ranh giới cho ngành: “an toàn quyền hạn lớn hơn an toàn mã nguồn” trở thành chân lý, chi phí niềm tin tăng vọt, và DeFi sẽ bước vào một giai đoạn mới: tuân thủ hơn, minh bạch hơn, và tập quyền hóa hơn (quản trị an toàn).