Eksploit Drift menguras $285M lewat kendali admin, menyebabkan penurunan TVL, kejatuhan token, dan aktivitas yang terhenti di seluruh Solana DeFi.
Serangan menggunakan manipulasi oracle dan tata kelola yang lemah untuk menggelembungkan jaminan (collateral) dan menarik aset riil dengan cepat.
Dana dipindahkan lintas-chain ke Ethereum, sehingga pemulihan menjadi rumit karena investigasi dan upaya penegakan hukum terus berlanjut.

Eksploit mendadak di Drift Protocol pada 1 April 2026 menghapus sekitar $285 juta dan mengguncang sektor Solana DeFi dalam hitungan menit. Pelaku mengambil alih kendali admin, menguras dana brankas (vault), dan memicu penurunan tajam dalam aktivitas perdagangan, open interest, dan total value locked, sehingga memaksa beberapa platform untuk menghentikan operasi dan menilai paparan.

Eksploit Memicu Tarikan Pasar yang Cepat

Drift Protocol mengonfirmasi serangan tersebut tak lama setelah aktivitas tidak biasa di rantai (on-chain) muncul. Tim tersebut segera menghentikan setoran dan penarikan untuk membendung pelanggaran. Namun, dampaknya sudah terlanjur menyebar ke seluruh ekosistem.

Dalam waktu satu jam, total value locked milik Drift turun dari sekitar $550 juta menjadi di bawah $300 juta. Pada saat yang sama, token DRIFT jatuh lebih dari 40%. Akibatnya, trader mengurangi aktivitas di platform DeFi berbasis Solana.

Beberapa protokol yang terhubung merespons segera. PiggyBank_fi menutup sekitar $106.000 paparan menggunakan dana internal. Sementara itu, Reflect Money menghentikan minting dan penebusan, sedangkan Ranger Finance menghentikan fungsi-fungsi penting karena potensi kerugian.

Serangan Memanfaatkan Tata Kelola dan Celah Penetapan Harga

Para penyelidik kemudian merinci bagaimana pelaku menjalankan eksploit. Menurut data on-chain, pelanggaran menggabungkan kunci admin yang berhasil dibobol, manipulasi harga oracle, dan kontrol tata kelola yang lemah.

Pelaku membuat token bernama CarbonVote Token dan menggelembungkan nilainya dengan wash trading. Seiring waktu, oracle harga menangkap valuasi buatan tersebut, menganggapnya sebagai data pasar yang sah.

Pada 1 April, pelaku mencantumkan token tersebut di Drift menggunakan hak istimewa admin. Lalu, ia menaikkan batas penarikan dan menyetor jaminan yang telah diagunkan secara menggelembung (inflated collateral). Ini memungkinkan peminjaman cepat terhadap aset-aset riil.

Dalam sekitar 12 menit, pelaku menyelesaikan 31 penarikan, menguras USDC, SOL, dan aset lainnya. Yang mencolok, sistem hanya memerlukan dua dari lima penandatangan (signers) dan tidak memiliki timelock.

Dana Dipindahkan Cepat Melintasi Rantai

Setelah eksploit, pelaku mengonversi aset menjadi USDC dan memindahkan dana keluar dari rantai (off-chain). Catatan blockchain menunjukkan adanya transfer ke Ethereum menggunakan Circle’s Cross-Chain Transfer Protocol.

Di Ethereum, sebagian ditukar menjadi ETH, sementara lainnya melewati bursa (exchanges). Pergerakan ini mempersulit upaya pelacakan dan pemulihan.

Sementara itu, peneliti ZachXBT mengkritik respons Circle. Ia mencatat bahwa transfer USDC dalam jumlah besar terjadi pada jam-jam di AS tanpa dibekukan. Tim Drift terus bekerja sama dengan penegakan hukum dan mitra keamanan saat investigasi berlanjut.

Penafian: Informasi di halaman ini dapat berasal dari pihak ketiga dan tidak mewakili pandangan atau opini Gate. Konten yang ditampilkan hanya untuk tujuan referensi dan bukan merupakan nasihat keuangan, investasi, atau hukum. Gate tidak menjamin keakuratan maupun kelengkapan informasi dan tidak bertanggung jawab atas kerugian apa pun yang timbul akibat penggunaan informasi ini. Investasi aset virtual memiliki risiko tinggi dan rentan terhadap volatilitas harga yang signifikan. Anda dapat kehilangan seluruh modal yang diinvestasikan. Harap pahami sepenuhnya risiko yang terkait dan buat keputusan secara bijak berdasarkan kondisi keuangan serta toleransi risiko Anda sendiri. Untuk detail lebih lanjut, silakan merujuk ke Penafian.