Drift Protocol

Eventi documentati con conseguenze non ancora chiuse. Ogni voce ha fonte e data.

1. 1 apr 2026 Hack / furto di fondi Critico 296 Mln USD ● aperto

   Exploit da 295,7 M$: vault drenati in 12 minuti con collaterale fittizio e oracolo controllato, utenti non ancora rimborsati

   L'1/4/2026 Drift Protocol ha perso 295,7 M$ di fondi utenti in circa 12 minuti, su 31 prelievi. Secondo la ricostruzione di TRM Labs l'attacco era preparato da settimane: dall'11/3 i fondi per l'infrastruttura erano usciti da Tornado Cash; fra il 23 e il 30/3 sono stati creati account "durable nonce" di Solana per pre-firmare transazioni ad esecuzione differita, e i firmatari del Security Council sono stati indotti con social engineering ad approvare autorizzazioni amministrative nascoste; il 27/3 Drift aveva rimosso il timelock del Security Council, azzerando la finestra di rilevamento. In parallelo gli attaccanti avevano fabbricato un asset fittizio (CVT, CarbonVote Token, creato il 12/3 con 750 M di unità), ancorato a circa 1 $ con un piccolo pool Raydium e wash trading e dato in pasto a un oracolo da loro controllato: gli oracoli di Drift lo hanno accettato come collaterale valido per centinaia di milioni. L'1/4 le transazioni pre-firmate hanno depositato il collaterale fasullo, alzato i limiti di prelievo e svuotato i vault; gran parte del bottino è stata portata su Ethereum in poche ore. Drift ha sospeso depositi e prelievi; il token DRIFT ha perso oltre il 40%. La società forense Mandiant ha attribuito l'attacco a UNC6862, gruppo nordcoreano legato ad altri attori statuali (attribuzione riportata da Drift stessa nell'aggiornamento ufficiale del 3/6/2026). Recupero: Drift ha emesso un recovery token dedicato (SPL trasferibile, distinto dal token di governance DRIFT), 1 unità = 1 $ di perdita verificata, su un totale di 295.426.725,97 $ di perdite accertate. Il fondo di recupero è partito dai 3,8 M$ rimasti al protocollo e dovrebbe crescere con i ricavi trimestrali dell'exchange più impegni annunciati fino a 127,5 M$ da Tether e fino a 20 M$ da altri partner; il riscatto si apre solo quando il fondo supera i 5 M$, e chi riscatta in anticipo prende una quota pro-rata di quanto c'è in quel momento e rinuncia al resto del credito. Il rilancio è stato subordinato a due audit indipendenti (Ottersec e Asymmetric) e all'introduzione di un nuovo multisig governato dalla community, con dispositivi di firma dedicati e timelock su tutte le azioni amministrative critiche. L'1/7/2026 il protocollo è stato ribattezzato Velocity ed è ripartito come exchange di soli perpetual regolati in USDT (non più USDC), con una linea di credito di Tether. Alla data di verifica gli utenti NON risultano rimborsati: l'ultimo aggiornamento ufficiale sul recupero è quello del 3/6/2026, che non annuncia né il raggiungimento della soglia dei 5 M$ né l'apertura dei riscatti, e rinvia a comunicazioni successive "i dettagli su meccanica e tempi del recupero".

   ↗ fonte

verificato il 3 set 2026