1 апреля 2026 года Drift Protocol, крупнейшая децентрализованная биржа бессрочных контрактов в экосистеме Solana, подверглась краже примерно 285 миллионов долларов пользовательских активов всего за 12 минут. Этот инцидент стал вторым по масштабам нарушением безопасности в истории Solana. Спустя всего несколько дней валидатор XRP Ledger Vet опубликовал предупреждение в социальных сетях: эта атака — важный урок для разработчиков экосистемы XRP, поскольку аналогичные угрозы социальной инженерии могут затронуть любую криптовалютную сеть.
Как шестимесячная «операция разведки» смогла обойти защиту multisig?
В основе атаки на Drift лежала не уязвимость смарт-контракта, а тщательно спланированная кампания социальной инженерии, продолжавшаяся шесть месяцев. Согласно официальному расследованию Drift, злоумышленники начали действовать уже осенью 2025 года. Они представлялись сотрудниками квантитативной торговой компании и подходили к участникам Drift на различных международных криптовалютных конференциях. В течение следующих шести месяцев они выстраивали личные отношения с жертвами, проводили очные встречи, создавали Telegram-группы для обсуждения торговых стратегий и даже внесли более 1 миллиона долларов собственных средств в казну Drift для укрепления доверия. В итоге злоумышленники проникли в проект по двум направлениям: один из участников склонировал вредоносный репозиторий кода, использовавший известную уязвимость VSCode, а другой скачал приложение TestFlight, замаскированное под «кошелёк», которое оказалось вредоносным ПО.
Почему «злоупотребление легитимной функцией» стало ключевым техническим прорывом?
Злоумышленники не взламывали приватные ключи и не эксплуатировали ошибки кода. Основной прорыв был связан с функцией «durable nonce» в Solana — возможностью, позволяющей предварительно подписанные транзакции оставаться действительными в течение нескольких недель. Получив разрешение от участников multisig через социальную инженерию, злоумышленники заранее подписали вредоносные транзакции и мгновенно их исполнили, как только получили необходимые права, практически не оставив защитникам времени на реагирование. Важно отметить, что архитектура multisig Drift предусматривала нулевой timelock: как только два участника одобряли транзакцию, она исполнялась сразу, что увеличивало окно атаки. Drift позже подчеркнул, что все члены multisig использовали холодные кошельки, однако это не предотвратило взлом, показав, что при атаке на человеческий фактор даже строгие аппаратные меры могут быть обойдены.
Почему валидаторы XRP Ledger публикуют целевые предупреждения о межэкосистемных угрозах?
Предупреждение валидатора XRP Ledger Vet было далеко не общим. Он отметил, что все крупные проекты, связанные с XRP, имеют доступ к операционным аккаунтам, разрешения на слияние репозиториев кода и учетные данные для бэкенд-систем — «выживут только те, кто достаточно осторожен». Vet выделил два структурных фактора, усиливающих риски XRPL: во-первых, рост числа разработчиков из проектов «vibe coding», где сложно обеспечить высокий уровень безопасности и стандарты работы; во-вторых, увеличение числа офлайн-мероприятий XRP, которые естественным образом создают возможности для социальной инженерии. Эти особенности во многом повторяют методы атаки на Drift, где злоумышленники завоевывали доверие через личные встречи.
Становятся ли размытые границы доверия между on-chain и off-chain слепым пятном для всей индустрии?
Виталик Бутерин отмечал, что криптографические гарантии блокчейна ограничены уровнем консенсуса, а off-chain активности — такие как поставки данных оракулов, управленческие решения и restaking — полностью зависят от честности валидаторов, а не от алгоритмических механизмов. Инцидент с Drift — реальный пример этого утверждения: злоумышленники не взломали сам блокчейн, а воспользовались человеческим фактором — решениями и действиями участников multisig. В экосистеме XRPL валидаторы являются ключевыми узлами консенсуса сети, а их границы безопасности выходят за пределы блокчейна: это управление операционными аккаунтами, безопасность учетных данных бэкенда и разрешения на слияние кода. Если любой из этих «off-chain доверительных» элементов даст сбой, безопасность on-chain активов оказывается под угрозой.
Как должны эволюционировать межэкосистемные защиты, если государственные хакеры используют социальную инженерию как стандартное оружие?
Инцидент с Drift с «средне-высокой уверенностью» связывают с UNC4736 — хакерской группой, поддерживаемой Северной Кореей, которая также организовала атаку на Radiant Capital на 58 миллионов долларов в октябре 2024 года. Методы и перемещения средств в этой операции имеют явные сходства с предыдущими случаями. Это сигнализирует, что DeFi-протоколы сталкиваются не только с одиночными хакерами, но и с профессиональными организациями с государственными ресурсами, способными тратить месяцы на «человеческие разведывательные» операции. Предупреждение валидатора XRPL — это напоминание для всей индустрии: межэкосистемные угрозы безопасности больше не гипотетичны, они становятся реальностью.
Формируют ли тренды межсетевой безопасности 2026 года предпосылки для следующей масштабной атаки?
В 2025 году через межсетевые мосты было отмыто более 2,01 миллиарда долларов украденных средств, что составило 49,75% всех годовых потерь. В инциденте с Drift злоумышленники перевели большую часть похищенных средств из Solana в Ethereum через межсетевой протокол Circle, а затем конвертировали их в ETH. Сложность механизмов проверки межсетевых мостов и неоднородные стандарты безопасности по всей индустрии становятся ключевыми уязвимостями, угрожающими стабильности криптоэкосистемы. Для XRPL, с ростом межсетевой совместимости, аналогичные каналы передачи могут превратиться в «магистрали» для отмывания и вывода средств злоумышленниками.
От предупреждений валидаторов к переосмыслению индустрии: стоит ли сместить акцент защиты с «технического укрепления» на «операционную безопасность»?
Главный урок инцидента с Drift заключается в следующем: традиционная парадигма защиты «аудит кода + управление multisig» структурно не работает при наличии «человеческой» переменной. Утверждение валидатора XRPL Vet о том, что «выживут только те, кто достаточно осторожен», не является алармистским — это серьёзное напоминание о важности операционной безопасности. С точки зрения стратегии защиты индустрии необходимо усилить три направления: во-первых, валидаторы и ключевые участники должны пройти специальное обучение для выявления атак социальной инженерии; во-вторых, архитектуры multisig должны внедрять timelock или обязательные периоды ожидания, чтобы предотвратить мгновенное исполнение предварительно подписанных транзакций; в-третьих, обмен информацией и сотрудничество по угрозам между экосистемами должны стать более институционализированными, чтобы предупреждения из одной экосистемы быстро доходили до других.
Заключение
Предупреждение о социальной инженерии, опубликованное валидаторами XRP Ledger по итогам атаки на Drift, — это не изолированное событие внутри одной экосистемы, а стресс-тест всей криптоиндустрии на прочность её защитных механизмов. Когда государственные хакеры совмещают социальную инженерию с злоупотреблением легитимными функциями протокола, а «off-chain доверие» становится слабее, чем уязвимости смарт-контрактов, граница безопасности любой экосистемы может рухнуть из-за ошибочного решения одного участника. Ответ индустрии должен выходить за рамки технических «заплаток» и фокусироваться на системном укреплении культуры операционной безопасности, избыточности управления и раннем межэкосистемном обмене предупреждениями.
Часто задаваемые вопросы
Вопрос: Что такое функция «durable nonce» и как злоумышленники её использовали?
Durable nonce — легитимная функция протокола Solana, позволяющая использовать фиксированный nonce-аккаунт вместо блок-хеша с ограниченным сроком действия, благодаря чему предварительно подписанные транзакции могут оставаться действительными неделями. Получив разрешение multisig-участников через социальную инженерию, злоумышленники воспользовались этой функцией для предварительной подписи вредоносных транзакций и мгновенного их исполнения при получении необходимых прав, обходя стандартное временное окно multisig.
Вопрос: Есть ли в экосистеме XRP Ledger структурные уязвимости, аналогичные тем, что были использованы в атаке на Drift?
Валидатор XRP Ledger Vet отмечает, что крупные проекты XRPL обычно имеют доступ к операционным аккаунтам и разрешения на слияние репозиториев кода, что создаёт риск-профили, схожие с «устройствами участников», скомпрометированными в атаке на Drift. Кроме того, увеличение числа офлайн-мероприятий XRPL предоставляет больше возможностей для социальной инженерии.
Вопрос: Как валидаторы могут защититься от подобных атак социальной инженерии?
Ключевые меры включают внедрение многофакторной аутентификации и аппаратно изолированных рабочих сред, строгий контроль за клонированием репозиториев кода, проведение обучающих программ по распознаванию атак социальной инженерии, введение обязательных timelock в управлении multisig, а также регулярную ротацию и аудит критических разрешений.
Вопрос: Какую роль играют межсетевые мосты в инцидентах безопасности?
Межсетевые мосты сейчас являются одним из основных каналов, используемых хакерами для отмывания средств. В инциденте с Drift более 230 миллионов долларов похищенных средств были переведены из Solana в Ethereum через протоколы межсетевого трансфера. Сложность и неоднородность стандартов безопасности механизмов проверки межсетевых мостов делают их важным инструментом для перемещения и сокрытия средств злоумышленниками.
Вопрос: Как этот инцидент повлиял на рыночные показатели XRP?
По данным Gate на 7 апреля 2026 года, XRP торгуется по цене 1,312 USD. В этой статье не приводятся прогнозы цены; пользователям рекомендуется самостоятельно оценивать связанные риски.
