Hack do Drift Protocol: US$ 285 Milhões Roubados em 12 Minutos — O Que Aconteceu e As Lições Para Quem Usa DeFi

1. O Que Aconteceu

A Drift Protocol era a maior exchange descentralizada de futuros perpétuos na Solana, com mais de US$ 550 milhões em TVL (Total Value Locked). Permitia trading alavancado, staking de SOL, estratégias delta-neutras e vaults de rendimento — tudo on-chain, sem intermediário centralizado.

Em 1 de abril de 2026, atacantes executaram um exploit que drenou ~US$ 285 milhões dos vaults principais do protocolo — JLP Delta Neutral, SOL Super Staking e BTC Super Staking — em aproximadamente 12 minutos.

O ataque não explorou um bug de código. Foi uma operação de inteligência que combinou engenharia social, token falso, manipulação de oráculos e uma funcionalidade legítima da Solana (durable nonces) para contornar todas as proteções do protocolo.

2. Timeline do Ataque

• 11 de Março de 2026 (~3 semanas antes)

  Atacante saca 10 ETH do Tornado Cash (Ethereum) e começa a financiar a infraestrutura do ataque. Horários on-chain coincidem com horário de trabalho em Pyongyang.

• 12 de Março

  Atacante cria o token falso CarbonVote (CVT) e injeta liquidez mínima (~US$ 500). Inicia wash trading para inflar artificialmente o preço do token nos agregadores de preço.

• Semanas seguintes

  Engenharia social sobre signatários do multisig da Drift. O Security Council é migrado para configuração 2/5 sem timelock — removendo a última linha de defesa.

• ~24 de Março

  Atacante obtém pré-assinaturas dos signatários do multisig usando durable nonces da Solana — transações assinadas que ficam “dormentes” até serem executadas.

• 1 de Abril — 13:30 UTC

  Analistas on-chain (Lookonchain, PeckShield) detectam movimentações suspeitas. Mais de US$ 250 milhões saem dos vaults da Drift para um wallet desconhecido.

• 1 de Abril — ~14:00 UTC

  Drift publica no X: “Estamos observando atividade incomum. Não depositem fundos. Isto não é uma piada de 1º de abril.“

• Horas seguintes

  Atacante converte tokens roubados em USDC via Jupiter (Solana), faz bridge para Ethereum via CCTP da Circle, e troca por ETH. Parte dos fundos passa por exchanges centralizadas.

• 2-5 de Abril

  Drift confirma o exploit, suspende operações. Elliptic e TRM Labs atribuem o ataque a hackers norte-coreanos. Mais de 20 protocolos Solana com exposição à Drift são afetados.

3. Como o Ataque Funcionou

O exploit combinou três vetores de ataque encadeados — nenhum deles era um bug de código:

Vetor 1: Token falso + manipulação de oráculos

O atacante criou o token CarbonVote (CVT) com custo mínimo (~US$ 500) e usou wash trading para inflar seu preço nos agregadores. Os oráculos de preço da Drift trataram o CVT como colateral legítimo valendo centenas de milhões.

Vetor 2: Engenharia social do multisig

Os signatários do Security Council da Drift foram alvos de engenharia social sofisticada. O atacante conseguiu que pré-assinassem transações administrativas usando durable nonces — uma funcionalidade legítima da Solana que permite assinar transações “para execução futura”. As assinaturas ficaram dormentes até 1 de abril.

Vetor 3: Governança sem timelock

Semanas antes do ataque, o multisig do Security Council foi migrado para configuração 2/5 (apenas 2 de 5 assinaturas necessárias) sem timelock. Isso significava que as transações administrativas podiam ser executadas instantaneamente, sem período de espera que permitisse detecção pela comunidade.

4. Impacto: TVL, Token e Contágio

• 📉 TVL da Drift: caiu de ~US$ 550 milhões para menos de US$ 250 milhões em menos de 1 hora
• 📉 Token DRIFT: queda de 37-42%, atingindo mínima de ~US$ 0,04-0,05
• 🔗 Contágio: mais de 20 protocolos Solana com exposição à Drift foram afetados — vários pausaram operações, depósitos ou saques
• ⚖️ Ação legal: escritório de advocacia Gibbs Mura abriu investigação para class action em nome de investidores da Drift, incluindo possível ação contra a Circle por não congelar o USDC durante o bridge

5. Quem Está Por Trás: Lazarus Group

As firmas de inteligência blockchain Elliptic e TRM Labs atribuíram o ataque a hackers norte-coreanos vinculados ao estado, citando:

• 🔗 Origem dos fundos via Tornado Cash — padrão consistente com operações anteriores do Lazarus Group
• ⏰ Horários de atividade on-chain consistentes com horário de trabalho em Pyongyang
• 🎭 Engenharia social sofisticada — a mesma técnica usada no hack da Radiant Capital (outubro 2024, US$ 50M)
• 💨 Velocidade de lavagem agressiva — centenas de transações de bridge movendo milhões em USDC, superando até a velocidade de lavagem do hack Bybit (2025)

O governo dos EUA vincula essas operações ao financiamento do programa de armas nucleares da Coreia do Norte. A Elliptic rastreou mais de US$ 300 milhões roubados só no primeiro trimestre de 2026.

6. Hardware Wallet Protege? Depende

Esta é a distinção mais importante que todo investidor DeFi precisa entender:

7. Lições Para Investir em DeFi Com Segurança

1. 🏦 Mantenha a maioria em autocustódia — deposite em protocolos DeFi apenas o necessário para a estratégia ativa. O restante fica na sua hardware wallet (Trezor Safe 7, Ledger Flex, SecuX V20)
2. 🔍 Avalie governança, não só código — auditorias de código são necessárias, mas não suficientes. Verifique: o multisig tem timelock? Quantas assinaturas são necessárias? A governança é transparente? O caso Drift mostra que governança fraca é tão perigosa quanto código vulnerável
3. ⏰ Timelocks são essenciais — protocolos sérios implementam períodos de espera (24-72h) para alterações administrativas. Se um protocolo permite mudanças instantâneas no multisig, o risco é elevado
4. 📊 Diversifique entre protocolos — nunca concentre todos os seus fundos DeFi em um único protocolo. O contágio da Drift afetou mais de 20 protocolos que tinham exposição
5. 📺 Use Clear Signing sempre — ao interagir com DApps, verifique na tela da hardware wallet exatamente o que está aprovando: endereço do contrato, valor, tipo de operação
6. 🔑 Proteja logins com passkeys/FIDO2 — se você opera via exchanges centralizadas, proteja o login com YubiKey ou PUFido — imunes a phishing e engenharia social
7. 📚 Eduque-se antes de investir — entenda como funcionam oráculos, multisigs, timelocks, vaults e riscos de smart contract. O Curso DeFi da KriptoBR cobre esses fundamentos

8. Perguntas Frequentes