Drift Protocol Diretas Senilai $285 Juta: Apa yang Salah dan Apa yang Akan Terjadi Selanjutnya

Pada tanggal 1 April 2026, Drift Protocol yang berbasis di Solana diretas dan kehilangan sekitar $285 juta, menjadikannya peretasan DeFi terbesar tahun ini hingga saat ini. Penyerang menggunakan rencana yang telah direncanakan selama beberapa minggu yang melibatkan token palsu, manipulasi data harga, dan transaksi yang telah ditandatangani sebelumnya untuk merebut kendali admin protokol, kemudian menguras dana pengguna sebenarnya dalam waktu kurang dari 12 menit.

Apa yang terjadi pada Drift Protocol pada tanggal 1 April?

Serangan itu bukan terjadi begitu saja. Menurut tim Drift Protocol, serangan itu merupakan hasil persiapan berhari-hari yang baru terlihat setelah kerusakan terjadi.

Total Value Locked (TVL) Drift turun dari sekitar $550 juta menjadi di bawah $ 300 juta Dalam waktu kurang dari satu jam. Token DRIFT jatuh lebih dari 40% selama insiden tersebut. Perusahaan keamanan PeckShield dikonfirmasi Kerugian tersebut melebihi 285 juta dolar AS, yang mewakili lebih dari 50% dari TVL protokol pada saat itu.

Waktu kejadian tersebut langsung menimbulkan kebingungan. Tim Drift kemudian memposting di X untuk mengklarifikasi bahwa situasi tersebut nyata, dengan menulis: "Ini bukan lelucon April Mop. Berhati-hatilah sampai ada pemberitahuan lebih lanjut."

Protokol tersebut menangguhkan semua penyetoran dan penarikan dana saat investigasi dimulai.

Bagaimana Penyerang Mempersiapkan Eksploitasi Tersebut Beberapa Hari Sebelumnya?

Menurut laporan, pelaku menghabiskan setidaknya 9 hari untuk membangun kondisi yang memungkinkan terjadinya pencurian sebelum melaksanakannya.

Token Palsu dan Jebakan Oracle

Penyerang membuat token bernama Token CarbonVote (CVT)Mereka mencetak sekitar 750 juta unit. Mereka menyetorkan modal ke dalam liquidity pool di Raydium hanya dengan $500 dan menggunakan wash trading, membeli dan menjual token di antara dompet mereka sendiri, untuk membangun riwayat harga palsu mendekati $1. Seiring waktu, oracle harga on-chain mendeteksi harga buatan ini dan memperlakukan CVT sebagai aset sah yang bernilai sekitar $1 per token.

Oracle adalah layanan yang memasukkan data harga eksternal ke dalam smart contract. Ketika oracle diberi data yang dimanipulasi, smart contract tidak memiliki cara untuk mengetahui bahwa harga tersebut palsu.

Serangan Nonce yang Tahan Lama

Secara terpisah, penyerang menggunakan fitur Solana yang disebut nonce tahan lama (durable nonces) untuk menandatangani transaksi terlebih dahulu dan menunda eksekusinya. Nonce tahan lama menggantikan mekanisme kedaluwarsa transaksi normal, memungkinkan transaksi yang telah ditandatangani untuk disimpan dan dikirimkan kapan saja di masa mendatang.

Temukan Proyek yang Menjanjikan...

Proyek yang Menjanjikan...

(Iklan)

Artikel berlanjut...

Garis waktu:

• 23 Maret: Empat akun nonce permanen telah dibuat. Dua di antaranya terhubung dengan anggota multisig Drift Security Council yang sebenarnya. Dua lainnya dikendalikan oleh penyerang.
• 27 Maret: Drift memindahkan Dewan Keamanannya karena perubahan anggota yang direncanakan. Penyerang juga memperoleh akses ke dua penanda tangan dalam multisig yang diperbarui.
• 30 Maret: Akun nonce permanen baru telah dibuat untuk anggota multisig yang telah diperbarui.
• April 1: Penyerang mengeksekusi dua transaksi nonce tahan lama yang telah ditandatangani sebelumnya, dengan jarak empat slot, menyelesaikan transfer admin yang memberinya kendali atas izin tingkat protokol.

Dengan akses admin yang telah diamankan, penyerang mendaftarkan CVT sebagai pasar yang valid di Drift, menghapus semua batasan penarikan, menyetorkan ratusan juta token CVT sebagai jaminan, dan kemudian mengeksekusi 31 penarikan cepat yang menguras aset riil, termasuk USDC, JLP, SOL, BTC yang dibungkus, Jito (JTO), dan memecoin Fartcoin (FRT), dalam waktu sekitar 12 menit.

Drift mengkonfirmasi bahwa serangan tersebut bukan disebabkan oleh bug pada smart contract-nya atau frasa sandi yang dibocorkan. Sebaliknya, serangan itu melibatkan "persetujuan transaksi yang tidak sah atau disalahartikan yang diperoleh sebelum eksekusi."

Audit keamanan oleh Trail of Bits pada tahun 2022 dan ClawSecure pada Februari 2026 telah menyatakan Drift aman, tetapi tidak satu pun dari tinjauan tersebut mendeteksi pengenalan CVT ke pasar atau perubahan tata kelola yang memungkinkan serangan tersebut terjadi.

Ke Mana Perginya Dana yang Dicuri?

Setelah berhasil membobol sistem, penyerang bergerak cepat untuk menyamarkan jejaknya.

Aset curian dikonversi menjadi USDC dan SOL, kemudian ditransfer dari Solana ke Ethereum menggunakan Protokol Transfer Lintas Rantai (CCTP) Circle. Di Ethereum, penyerang mengkonversi dana tersebut menjadi ETH. Menurut pelacakan on-chain, penyerang akhirnya mengumpulkan 129,066 ETH, senilai sekitar $ 273 juta pada saat itu.

Penyerang juga menyetorkan SOL ke HyperLiquid dan Binance, sehingga mempersulit upaya pelacakan di berbagai platform dan dompet.

Apakah Circle Sudah Berupaya Cukup untuk Menghentikan Pencurian?

Penyelidik on-chain ZachXBT dikritik di depan umum Lingkaran setelah eksploitasi tersebut, menunjukkan bahwa sejumlah besar USDC curian ditransfer dari Solana ke Ethereum selama jam kerja AS tanpa dibekukan.

ZachXBT membandingkan respons ini dengan keputusan Circle baru-baru ini untuk membekukan 16 dompet digital korporat yang tidak terkait dalam kasus perdata tertutup di AS, dengan alasan bahwa Circle memiliki kemampuan dan preseden untuk melakukan intervensi tetapi gagal bertindak cukup cepat untuk membatasi kerugian.

Protokol mana saja yang terpengaruh selain pergeseran protokol?

Dampak buruknya meluas ke seluruh ekosistem DeFi Solana. Beberapa platform yang terhubung dengan likuiditas Drift menghentikan operasi atau melaporkan kerugian:

• PiggyBank_fi melaporkan eksposur sekitar $106,000 melalui strategi delta-netral dan mencakup pengguna secara langsung menggunakan dana tim.
• Reflect Money menghentikan sementara pencetakan dan penukaran USDC+ dan USDT+.
• Ranger Finance menghentikan deposito dan penarikan RGUSD, dengan perkiraan eksposur di atas $900,000.
• Sebagai tindakan pencegahan, Project0 menghentikan peminjaman dengan menggunakan posisi Drift sebagai jaminan.
• TradeNeutral, GetPyra, xPlace, Uselulo, dan Elemental DeFi semuanya menangguhkan fitur-fitur utama atau melaporkan paparan yang terbatas.
• Jupiter Exchange mengkonfirmasi bahwa pool JLP mereka tetap sepenuhnya didukung.

Apa yang Akan Terjadi Selanjutnya untuk Drift?

Drift sedang berkoordinasi dengan berbagai perusahaan keamanan, bursa, platform perantara, dan penegak hukum untuk melacak dan memulihkan aset yang dicuri. Multisig telah diperbarui untuk menghapus dompet yang disusupi. Semua fungsi protokol yang tersisa tetap dibekukan.

Menurut Immunefi CEO Mitchell AmadorDampak pada harga token seringkali berlangsung lebih lama daripada eksploitasi itu sendiri. Data Immunefi menunjukkan 83% token asli dari protokol yang diretas tidak pernah pulih ke harga sebelum peretasan.

Laporan postmortem terperinci dari Drift diperkirakan akan dirilis dalam beberapa hari mendatang.

Publikasi

1. PeckShield di X: Postingan (1-2 April)

2. Lookonchain di X: Postingan (1-2 April)

3. Protokol Pergeseran pada X: Postingan (1-2 April)

4. Mitchell Amador di X: Postingan pada 25 Maret