Serangan canggih telah mengguncang DeFi, dengan peretasan protokol Drift mengekspos kelemahan kritis dalam keamanan operasional dan persetujuan transaksi.
Bagaimana $280 juta dikuras dari Protokol Drift
Pada Protokol Drift, penyerang berhasil menguras sekitar $280 juta dari dompet terkait, berdampak pada hampir setengah dari dananya. Menurut tim, ini adalah operasi yang sangat terorganisir yang berlangsung seiring waktu, bukan pencurian oportunistik sederhana.
Selain itu, eksploitasi berpusat pada transaksi nonce tahan lama yang telah ditandatangani sebelumnya. Transaksi khusus ini dapat dieksekusi nanti, di luar ekspektasi waktu normal. Penyerang menunggu dan kemudian memicunya pada momen strategis, mengubah mekanisme operasional rutin menjadi vektor serangan yang kuat.
Rekayasa sosial dan manipulasi multisig
Namun, inti dari insiden ini tidak terletak pada kode. Sebaliknya, penyerang dilaporkan menggunakan rekayasa sosial yang ditargetkan untuk menyesatkan beberapa penandatangan multisig. Dengan membangun kepercayaan dan menyusun pesan yang meyakinkan, mereka membujuk penandatangan untuk menyetujui tindakan berbahaya tanpa mengenali risiko yang mendasarinya.
Proses ini memungkinkan penyerang untuk mengamankan pengambilalihan hak istimewa administratif pada infrastruktur kritis yang terkait dengan protokol. Dengan izin yang ditingkatkan di tangan, mereka dapat mengotorisasi pergerakan dana dan mengeksekusi transaksi yang tertunda tersebut, mengakibatkan pengurasan aset dalam skala besar.
Mengapa ini bukan kegagalan kontrak pintar
Tim secara eksplisit mengklarifikasi bahwa pelanggaran tersebut bukan karena klarifikasi bug kontrak pintar atau cacat apa pun dalam kode protokol. Frasa seed dan kunci dompet inti juga tetap tidak terkompromi. Meski begitu, kombinasi alat transaksi tertunda dan penipuan manusia menciptakan kerentanan off-chain yang efektif.
Dalam analisis protokol Drift internalnya, proyek menekankan bahwa audit kode saja tidak dapat mencegah jenis serangan ini. Sebaliknya, prosedur yang lebih kuat seputar verifikasi penandatangan, konfirmasi out-of-band, dan batas transaksi diperlukan saat menggunakan dompet administratif yang kuat.
Pelajaran dari peretasan protokol Drift untuk keamanan DeFi
Peretasan protokol Drift menyoroti bagaimana faktor manusia dapat merusak bahkan sistem yang telah diaudit dengan baik. Selain itu, ini menunjukkan bahwa mekanisme nonce tahan lama dan pengaturan multisig harus dipasangkan dengan kebijakan ketat, termasuk konfirmasi multi-saluran dan pemeriksaan kontekstual sebelum persetujuan.
Untuk ekosistem yang lebih luas, insiden ini kemungkinan akan menginformasikan praktik pembaruan keamanan protokol Drift di masa depan dan standar DeFi yang lebih luas. Secara khusus, protokol dapat meninjau kembali penggunaan transaksi yang telah ditandatangani sebelumnya, memikirkan kembali kebijakan rotasi penandatangan, dan bersikeras pada pendidikan berkelanjutan terhadap upaya serangan rekayasa sosial multisig.
Pada akhirnya, peristiwa ini berdiri sebagai studi kasus eksploitasi pengurasan dana dompet yang terperinci. Ini menggarisbawahi perlunya memperlakukan keamanan operasional, perilaku penandatangan, dan komunikasi off-chain dengan ketelitian yang sama seperti kode on-chain, terutama di mana pun dompet administratif besar mengendalikan aset pengguna.
Sumber: https://en.cryptonomist.ch/2026/04/02/drift-protocol-hack/
