Solana-DeFi: Lending-Protokoll Drift in 10 Sekunden um über 220 Mio. US-Dollar erleichtert – mehr als 15 Projekte betroffen
Autor: Gu Yu, ChainCatcher
Gegen 1:00 Uhr heute Nacht kam es im DeFi-Sektor zu einem weiteren Großangriff: Das Solana-Lending-Protokoll Drift wurde kompromittiert, innerhalb von zehn Sekunden wurden Nutzer-Assets im Wert von über 220 Mio. US-Dollar abgezogen. In der Folge brach der Drift-Token kurzfristig um mehr als 40% ein; die Fully Diluted Valuation (FDV) liegt aktuell bei rund 44 Mio. US-Dollar. Aufgrund der engen Verflechtungen im Solana-Ökosystem kam es auch bei Tokens wie SOL und JUP zu auffälligen Kursrückgängen.
Drift zählte bislang zu den größten Lending-Protokollen auf Solana und hatte laut RootData mehr als 52 Mio. US-Dollar eingesammelt. Zu den Investoren gehören Multicoin Capital, Polychain, Robot Ventures, Blockchain Capital, Ethereal Ventures und Jump Capital.
Öffentlichen Analysen zufolge hängt der Diebstahl eng mit offengelegten Multisig-Adressen zusammen und wurde durch gängige Angriffsvektoren wie Governance- und Oracle-Manipulation begünstigt. Der Angreifer konnte sämtliche Schritte in einer einzigen Transaktion mit einem Single-Signature-Key durchführen: einen Fake-Markt anlegen, den Oracle-Preis manipulieren und Abhebebeschränkungen aushebeln. Der Vorfall zeigt erneut, wie anfällig DeFi-Strukturen bei unzureichenden Schutzmechanismen bleiben.
Nach Angaben von Omer Goldberg, Gründer von Chaos Labs, und begleitenden Auswertungen begann die Vorgeschichte bereits vor einer Woche: Drift verlagerte Admin-Rechte von einer alten Multisig-Wallet auf eine neue Multisig, die von einem Signer der alten Multisig erstellt wurde. Dieser Signer fügte sich selbst jedoch nicht als Unterzeichner in der neuen Multisig hinzu. Der Angreifer nutzte diese Schwachstelle, initiierte in der alten Multisig einen Vorschlag zur Übertragung der Admin-Rechte auf eine vom Angreifer kontrollierte Wallet.
Die neue Multisig verfügt über fünf Signer, von denen nur einer aus dem ursprünglichen Set stammt, während vier vollständig neu sind. Die Regeln gelten als extrem lax: Es reichen 2 von 5 Signaturen, zudem existiert ein Timelock von 0 Sekunden – genehmigte Vorschläge werden sofort ausgeführt.
In den frühen Morgenstunden stellte der letzte verbliebene ursprüngliche Signer über die neue Multisig den Vorschlag ein, die Admin-Rechte faktisch auf die Wallet des Angreifers zu übertragen. Sekunden später signierte ein weiterer neuer Signer; damit war die 2/5-Schwelle erreicht. Ohne Timelock wurde der Vorschlag unmittelbar ausgeführt, der Angreifer erhielt volle Administrationsrechte.
Anschließend legte der Angreifer umgehend einen CVT-Spot-Markt auf Drift an. Der Token weist eine Gesamtmenge von rund 750 Mio. auf, davon hält der Angreifer 600 Mio. Danach setzte der Angreifer ein von ihm kontrolliertes SwitchboardOnDemand-Oracle ein und konfigurierte Drift so, dass Preisfeeds von diesem Oracle gelesen werden. In 20 Transaktionen trieb der Angreifer den Preis des nahezu wertlosen CVT-Tokens nach oben, sodass die 600 Mio. CVT beim Oracle scheinbar mehrere hundert Millionen US-Dollar wert waren.
Auf dieser Basis lieh sich der Angreifer Assets im Umfang von etwa 220 Mio. bis 280 Mio. US-Dollar, darunter 41,72 Mio. JLP (Jupiter-LP-Token; bewertet mit rund 155 Mio. US-Dollar), 51,61 Mio. USDC sowie 164 cbBTC (bewertet mit rund 11,29 Mio. US-Dollar).
Die modulare DeFi-Architektur, lange als Stärke des Sektors gesehen, wirkte in diesem Fall als Risiko-Verstärker: Die Auswirkungen breiten sich wie Domino-Steine auf weitere Solana-DeFi-Protokolle aus, die den Drift-Lending-Markt integriert haben. Als größter Leidtragender gilt Jupiter, da ein erheblicher Teil der Beute aus JLP bestand – einem Kern-LP-Asset für den Perpetual-Futures-Markt von Jupiter. Der Abfluss dürfte die Liquidität im Perps-Markt spürbar verringern und Folgewirkungen auslösen, etwa panikgetriebene Abhebungen und zusätzlichen Druck auf den JUP-Token.
Mehr als 15 DeFi-Protokolle, darunter Perena, Project 0, Exponent, Carrot, Ranger, PiggyBank, Reflect, Project 0, Elemental, Neutral Trade, Pyra, Fuse, Neutral Trade und XPlace, bestätigten, vom Drift-Vorfall betroffen zu sein; einzelne Funktionen wie Auszahlungen wurden teils vorübergehend ausgesetzt.
Am stärksten trifft es erneut die Nutzer: Wiederholte Hacks untergraben das Vertrauen in DeFi. Nach eigenen Angaben verlor der bekannte KOL Tuyao DashiXiong in diesem Vorfall über 6.000 US-Dollar und schrieb, er werde heute nichts anderes tun, als Gelder aus alten Projekten auf allen Chains abzuziehen und in neue Projekte erst dann zu investieren, wenn er sie vollständig verstanden habe – es seien unruhige Zeiten.
