2026年4月2日前后，Solana生态头部去中心化金融协议Drift Protocol发生严重安全事件。据多家链上监测机构与媒体披露，协议出现异常大额资金外流。项目方随后确认遭遇攻击，并暂停了协议存取款功能。初步估算，本次事件导致约2.85亿美元资金损失。
协议背景： Drift Protocol是一个建立在Solana上的综合性衍生品与借贷协议，自2021年上线以来，其总锁仓价值（TVL）曾超过3.5亿美元，拥有超过17.5万交易者。该协议在设计上依赖外部预言机，并设置了多重价格校验和风控“护栏”机制。
攻击性质： 根据Drift Protocol官方发布的声明，此次事件并非由其核心智能合约代码漏洞直接引起。攻击者通过一系列复杂的社会工程手段，结合对“Durable Nonce”（一种允许交易延迟执行的机制）的利用，最终获得了协议安全委员会多签钱包的控制权。攻击者随后滥用管理员权限，恶意修改关键风险参数（如抵押资产权重和提现限制），从而“合法”地耗尽了协议资金。
攻击手法分析： 安全研究人员指出，攻击链条可能始于数周前。攻击者预先创建并控制了与治理多签相关的Durable Nonce账户。在获得足够多签审批后，攻击者在4月1日执行了事先签署好的恶意交易，迅速完成了管理员权限的转移与资金窃取。
技术细节： 部分分析指出，攻击路径可能涉及操纵一个名为CVT的虚假代币价格。攻击者首先在去中心化交易所Raydium上为该代币创建了流动性极低的交易对，并通过洗盘交易人为制造价格记录。随后，他们可能利用被攻破的治理权限，将这个价值被严重高估的CVT代币以超高抵押权重列入协议，并以此作为抵押借走了协议内大量真实资产。
市场影响： 事件发生后，Drift Protocol的治理代币DRIFT价格暴跌超过40%。此外，风险已外溢至Solana生态内多个与Drift集成或依赖其基础设施的DeFi协议，包括Reflect Money、Ranger Finance等，部分项目已暂停相关功能以评估风险敞口。
行业反应： 此次事件引发了关于DeFi治理与中心化风险的广泛讨论。Uniswap创始人Hayden Adams评论称，如果一个协议的管理员密钥能够单方面转移用户资金，那么它本质上就更接近中心化金融（CeFi）而非去中心化金融（DeFi）。多位安全专家呼吁行业加强多签操作的安全实践，例如采用硬件安全模块和明文签名确认，以防止类似的社会工程攻击。
后续行动： Drift Protocol团队表示，正在与多家区块链安全公司、跨链桥、交易所以及执法部门合作，全力追踪并试图冻结被盗资产。团队承诺将发布详细的事后分析报告。目前，协议的大部分功能已被冻结，剩余的安全资产正被转移至更安全的环境。