Solana 生態衍生品協議 Drift Protocol 疑遭 2.8 億美元複合攻擊：durable nonce、多重簽名與社會工程引爆 DeFi 安全警報

根據加密貨幣專欄 The Block 於 1 日（當地時間）的報導，*Solana* 生態上的去中心化衍生品交易平台「*Drift Protocol*」疑似遭遇規模高達「2 億 8,000 萬美元」的重大攻擊。此次事件並非典型的智慧合約漏洞，而是結合「*社會工程*」、*多重簽名(multisig)* 權限管理與「*持久隨機數（durable nonce）*」濫用的複合式攻擊，凸顯目前 *DeFi 安全* 在人為流程與治理設計上的薄弱環節。

根據 Drift 團隊說明，*異常活動* 首先在 4 月 1 日晚間 7 時（UTC+1）被偵測到。團隊其後緊急發布公告，提醒用戶暫停充值，並強調「這不是愚人節玩笑」。隨著攻擊行動持續，Drift 進一步暫停平台「充值與提領」，同時有鏈上研究者開始懷疑是否涉及「*私鑰洩漏*」或內部權限被滲透等更嚴重狀況。

事後公布的時間線顯示，這次攻擊並非單一錯誤觸發，而是「經過數週佈局」的精心計畫。Drift 指出，攻擊者利用 *Solana* 的「*durable nonce 帳戶*」機制，事先完成簽名、延後廣播交易，並疑似透過「*社會工程*」鎖定員工或安全委員會成員，使多重簽名的審批流程形同虛設。

所謂「*持久隨機數（durable nonce）*」是一種用來繞過區塊哈希時效限制、支援「離線簽名」的區塊鏈工具。依 Drift 公布的細節，3 月 23 日起共建立了 4 個相關帳戶，其中 2 個與 Drift 的「*安全委員會多重簽名*」綁定，另 2 個則指向疑似攻擊者控制的帳戶。接著在 3 月 27 日，平台針對安全委員會成員結構進行多重簽名遷移。三天後，新成員錢包再次被建立「durable nonce」帳戶，結果讓攻擊者能實際掌握「5 個簽名者中的 2 個有效權限」，成為其後奪取管理權的關鍵。

在攻擊當天，鏈上紀錄顯示，攻擊者先從「*保險基金*」進行小額試探性提領，隨後再利用多重簽名權限，執行帶有隱藏惡意參數的「管理者交易」，一步步奪取協議層面的控制權。當協議權限遭掌握後，他們隨即關閉預先設定的「*提款限額*」，大規模轉出資產，形成疑似高達 2 億 8,000 萬美元的潛在損失。

這起事件同時引爆了對於「*穩定幣*」發行方 *Circle* 的反彈聲浪。鏈上分析師 ZachXBT 批評，數小時內有數千萬美元等值的 *USDC* 自 *Solana* 橋接至 *以太坊(ETH)*，但「*Circle* 卻遲遲未啟動凍結措施」。由於 Drift 已整合 Circle 的跨鏈傳輸協議（Cross-Chain Transfer Protocol），部分觀點認為，*USDC* 凍結行動的延誤，放大了最終資金外流的規模。

評論：這類事件突顯「穩定幣中心化凍結機制」的兩難。一方面，社群時常質疑中心化發行方掌握過大權力；另一方面，當真正的大型駭侵發生時，大家又期待其能「即時出手」。如何在「*用戶保護*」與「*去中心化精神*」之間找到平衡，將是未來穩定幣監管與產品設計的關鍵議題。

在治理結構方面，部分用戶對 Drift 是否仍能被稱為「*去中心化*」提出質疑。批評者指出，本次攻擊核心是「*中央化的多重簽名治理*」被滲透，尤其「5 簽中 2 簽即可執行關鍵交易」的門檻設計過低，使得攻擊者只需控制極少數關鍵成員或其裝置，即可獲得致命權限。

Drift 團隊目前已表示，正與多家區塊鏈安全公司、執法機關、跨鏈橋專案與中心化交易所合作，持續追蹤與凍結遭竊資金。業界也有觀點將此次事件與去年交易所 *Bybit* 遭遇的駭客攻擊相提並論，懷疑背後可能是「同一批或同類型專業團隊」主導，採取類似的 *多重簽名滲透* 與 *社會工程* 手法。

評論：這起「*Solana 生態*」重大事件，已不止是單一協議風險，而是對整個 *DeFi 安全框架* 的警鐘。未來類似協議在設計時，勢必需要重新檢視：

— 多重簽名「簽名門檻」與「成員替換流程」的安全性

— 對「durable nonce」等進階功能的權限控管

— 團隊成員在面對「社會工程攻擊」時的內部教育與演練

隨著事故衝擊持續擴大，此案很可能成為今年 *多重簽名治理*、*社會工程防禦* 與 *中心化穩定幣介入角色* 等議題上的重要案例，為之後的監管討論與技術改進提供具體教訓。