El protocolo de préstamos DeFi Drift sufre un hackeo: roban más de 220 millones de dólares en 10 segundos y afecta a más de 15 proyectos
Autor: Gu Yu, ChainCatcher
En torno a la 1:00 de la madrugada de hoy se registró un nuevo gran golpe en el sector DeFi: Drift, protocolo de préstamos en Solana, fue comprometido y en apenas diez segundos se sustrajeron más de 220 millones de dólares en activos de usuarios. Tras el incidente, el token DRIFT llegó a caer más de un 40% en poco tiempo y su FDV se sitúa ahora en torno a 44 millones de dólares. Por su peso dentro del ecosistema de Solana, también se han observado descensos atípicos, de distinta magnitud, en tokens como SOL y JUP.
Drift había sido uno de los mayores protocolos de lending de Solana. Según RootData, ha captado más de 52 millones de dólares en financiación, con inversores como Multicoin Capital, Polychain, Robot Ventures, Blockchain Capital, Ethereal Ventures y Jump Capital.
De acuerdo con análisis públicos, el robo está estrechamente relacionado con la exposición de direcciones multifirma, a lo que se sumaron vectores habituales como ataques de gobernanza y de oráculos. El atacante ejecutó todas las acciones en una sola transacción usando una clave de firma única: creación de un mercado falso, manipulación del oráculo y eliminación de restricciones de retirada. La combinación de métodos ya conocidos y medidas preventivas insuficientes vuelve a poner de manifiesto la fragilidad del entorno DeFi.
Según publicaciones y análisis asociados a Omer Goldberg, fundador de Chaos Labs, el proceso habría sido el siguiente:
Las primeras señales aparecieron hace una semana, cuando Drift migró los permisos de administración del protocolo desde una antigua cartera multifirma a una nueva multifirma creada por uno de los firmantes de la anterior. Ese firmante no se añadió a sí mismo a la nueva multifirma. El atacante aprovechó la brecha iniciando una propuesta en la multifirma antigua para transferir los derechos de "admin" de Drift a una nueva cartera bajo su control.
La nueva multifirma contaba con cinco firmantes, de los que solo uno pertenecía al conjunto original y los otros cuatro eran completamente nuevos. Las reglas eran muy permisivas: bastaban 2 de 5 firmas y el time lock era de 0 segundos, por lo que las propuestas se ejecutaban de inmediato tras aprobarse.
A primera hora de hoy, el último firmante original que quedaba presentó una propuesta desde la nueva multifirma: cambiar los derechos de administración de Drift a la cartera efectivamente controlada por el atacante. Segundos después, otro de los firmantes nuevos firmó, alcanzando el umbral de 2/5. Al no existir time lock, la propuesta se ejecutó al instante y el atacante obtuvo privilegios administrativos plenos.
Con esos permisos, el atacante creó de inmediato un mercado spot de CVT en Drift. El token tiene una oferta total aproximada de 750 millones, de los cuales el atacante poseía 600 millones. Acto seguido utilizó un oráculo SwitchboardOnDemand bajo su control y configuró Drift para leer precios desde ese oráculo. Tras ello elevó el precio del CVT, prácticamente sin valor, mediante 20 transacciones, haciendo que el oráculo valorase sus 600 millones de CVT en cientos de millones de dólares.
Con esa valoración, el atacante habría tomado prestados activos por un valor aproximado de entre 220 y 280 millones de dólares, incluidos 41,72 millones de JLP (tokens LP de Jupiter, valorados en torno a 155 millones de dólares), 51,61 millones de USDC y 164 cbBTC (valorados en torno a 11,29 millones de dólares).
La arquitectura modular de DeFi, considerada durante años una ventaja, está trasladando el riesgo en cadena a otros protocolos de Solana que integran el mercado de préstamos de Drift. Jupiter aparece como el principal damnificado: el mayor volumen sustraído fue JLP, el activo LP central del mercado de futuros perpetuos de Jupiter. El robo puede reducir de forma significativa la liquidez de ese mercado y desencadenar un efecto dominó, con retiradas de fondos por pánico y presión bajista sobre el token JUP.
Además, más de 15 protocolos DeFi han confirmado impactos derivados de la brecha de Drift, con algunas funciones de retirada suspendidas temporalmente. Entre los mencionados figuran Perena, Project 0, Exponent, Carrot, Ranger, PiggyBank, Reflect, Elemental, Neutral Trade, Pyra, Fuse y XPlace.
Pese a todo, el mayor coste recae en los usuarios: la sucesión de hackeos erosiona de forma constante la confianza en DeFi. Tras perder más de 6.000 dólares en este incidente, el conocido KOL Tuyao DashiXiong publicó un mensaje en el que recomendaba retirar fondos de proyectos antiguos en todas las cadenas y no invertir en proyectos nuevos sin comprenderlos a fondo: "Es una etapa turbulenta; no pongas a prueba la naturaleza humana".
