Drift Protocol vidé de 270 millions de dollars utilisant des nonces durables Solana - Corée du Nord suspectée

Drift Protocol, l'une des plus grandes plateformes de contrats à terme perpétuels et de prêt de Solana, a été vidée d'environ 270 millions de dollars dans ce que les chercheurs en sécurité qualifient de l'une des attaques d'ingénierie sociale les plus sophistiquées de l'histoire de la DeFi. L'exploitation n'a pas impliqué une seule ligne de code défectueux.

Ce qui s'est passé

L'attaque a tiré parti des nonces durables de Solana - une fonctionnalité légitime conçue pour permettre aux portefeuilles matériels et aux solutions de garde institutionnelles de pré-signer des transactions sans la fenêtre d'expiration standard de 90 secondes. L'attaquant a utilisé cette fonctionnalité pour tromper deux des cinq membres du multisig du Conseil de sécurité de Drift en leur faisant signer ce qui semblait être des transactions de routine, puis a conservé ces approbations pré-signées pendant plus d'une semaine avant de les exécuter.

Le 23 mars, quatre comptes de nonce durable ont été créés - deux liés à des membres légitimes du conseil de Drift et deux contrôlés par l'attaquant. D'ici le 30 mars, l'attaquant s'était adapté à une migration prévue du Conseil de sécurité et avait de nouveau obtenu le seuil d'approbation requis de deux sur cinq. Le 1er avril, l'attaquant a soumis les transactions pré-signées en deux opérations séparées par seulement quatre emplacements sur la blockchain Solana, prenant le contrôle total des autorisations au niveau du protocole de Drift en moins d'une minute.

Répartition des 270 millions de dollars

Des chercheurs on-chain ont suivi les actifs volés en temps réel :

• 155,6 millions de dollars en tokens JLP
• 60,4 millions de dollars en USDC
• 11,3 millions de dollars en CBBTC (Bitcoin enveloppé par Coinbase)
• 5,65 millions de dollars en USDT
• 4,7 millions de dollars en ETH enveloppé
• 4,5 millions de dollars en DSOL
• 4,4 millions de dollars en WBTC
• 4,1 millions de dollars en FARTCOIN
• Montants plus petits à travers JUP, JITOSOL, MSOL, BSOL, EURC, et d'autres

Connexion avec la Corée du Nord

La société d'analyse blockchain Elliptic a identifié des schémas de blanchiment inter-chaînes et des défis de traçage spécifiques à Solana qui reflètent des opérations antérieures liées à l'État nord-coréen. L'attaquant a utilisé un portefeuille financé via NEAR Protocol intents huit jours avant l'attaque et a déplacé des fonds volés vers Ethereum via Wormhole, avec des adresses préfinancées blanchies par Tornado Cash.

ZachXBT a noté que plus de 230 millions de dollars en USDC ont été transférés de Solana à Ethereum via le CCTP de Circle à travers plus de 100 transactions, critiquant Circle pour ne pas avoir gelé les fonds pendant une fenêtre de six heures après le début de l'attaque.

Un schéma d'ingénierie sociale

Ceci marque la troisième grande exploitation DeFi ces derniers mois qui n'impliquait pas de vulnérabilité de code. Le schéma reflète le piratage de Bybit (1,4 milliard de dollars), l'exploitation du pont Ronin (625 millions de dollars), et la violation du protocole Cetus (223 millions de dollars) - tous des cas où l'ingénierie sociale, et non les bogues de contrat intelligent, était le vecteur de l'attaque.

Comme l'a noté un chercheur : "Nous avons déjà vu cela. Même concept. Ingénierie sociale. Pas de code."

Que se passe-t-il maintenant

Drift Protocol a été gelé, et le portefeuille compromis a été retiré du multisig. Tous les dépôts dans les produits de prêt et d'emprunt de Drift, les dépôts de coffre-fort et les fonds de trading sont affectés. Les actifs du fonds d'assurance sont en cours de retrait et de protection. Les tokens DSOL non déposés dans Drift, y compris les actifs mis en jeu auprès du validateur Drift, restent non affectés.

L'exploitation a renouvelé des appels urgents pour que les protocoles DeFi reconsidèrent leur dépendance à la gouvernance multisig et mettent en œuvre des garanties supplémentaires autour de l'utilisation des nonces durables, y compris des fenêtres d'exécution verrouillées dans le temps et une surveillance des nonces en temps réel.