Drift协议遭持久化随机数攻击，2.85亿美元损失待确认
Drift协议遭遇持久化随机数攻击，治理权限失控引发连锁反应
Drift协议披露了一起利用持久化随机数机制实施的严重安全事件，攻击者在漏洞窗口期内获取了安全委员会的管理权限，造成系统性控制权丧失。尽管市场初步估测损失超2亿美元，但当前仍缺乏完整的事后分析报告，事件影响正逐步延伸至治理机制与资产追偿层面。
攻击路径解析：延迟执行与多签滥用并行
攻击时间线与关键节点
2026年4月1日，Drift宣布正在应对安全威胁，并立即暂停存款与提现功能以启动应急响应。次日，官方确认攻击者通过持久化随机数技术实现延迟授权，进而夺取了安全委员会的管理控制权。
该时间线是目前最权威的公开记录，然而其描述仅聚焦于权限失效结果，尚未揭示完整的攻击链细节，亦未提供涉及所有系统的根本原因分析。
技术逻辑与潜在弱点
Bloomingbit对事件的解读指出，本次攻击融合了延迟执行策略与被盗的多签批准机制，表明问题本质更接近于权限滥用而非传统合约缺陷。
Drift对持久化随机数的说明及外部分析均将焦点集中于交易授权时机与审批流程，但并未完整呈现各环节批准失效的具体过程。因此，当前信息仍属事件更新，非最终技术复盘。
官方声明还提到，团队正联合多家安全机构、交易所、跨链桥及执法单位开展资产追踪与冻结行动，显示应对措施已超越单一协议修复范畴。
为何管理员密钥成为安全焦点？
有消息称，安全专家Jiang Xuxian认为Drift的管理员密钥极可能已被泄露或盗用。尽管此结论尚未定论，但与协议方关于管理权限被夺的声明高度吻合。
Drift的官方披露结合专家观点，共同指向一个深层议题：即特权访问控制体系的脆弱性。即便代码经过严格审计，若签名者安全、治理路径与权限分配存在疏漏，系统仍易被攻破。
特权控制如何演变为主要攻击面
此次管理权限被劫持的官方通报，迅速引发关于紧急干预权与资产冻结机制的广泛讨论。类似争议此前也出现在Circle对USDC进行冻结时所面临的批评中。
这一事件赋予了政策维度，类比美联储官员Barr关于稳定币风险的警示——当底层系统失效时，真正决定系统命运的是谁掌握关键密钥与审批权。
对用户而言，信任危机已不再局限于代码是否合规。官方通报、专家研判以及Phantom等钱包平台的警告，共同指向一个更复杂的运营链条，涵盖签名者行为、治理权限设计、钱包集成方式与危机响应机制。
用户面临的风险：从技术故障到生态级中断
警告信号与实际影响的区别
Phantom在其安全调查期间，对尝试访问Drift的用户强制推送警告提示，使该事件从后台技术问题升级为前端用户体验风险。
对于普通使用者，钱包端的即时拦截与协议方暂停服务构成直接冲击：即使损失金额尚未核实，访问通道也可能已被切断。
这凸显出产品内警告的重要性——当生态系统主动修改用户交互流程，意味着威胁已被视为整体性安全事件，而非孤立应用故障。
PeckShield的初步估算、Phantom的预警以及Drift的权限披露，分别代表三种不同层级的信息：潜在损失、用户风险提示与攻击机制。三者混同将导致认知偏差。
损失与追回：哪些仍处于未知状态
PeckShieldAlert发布的初步估算称损失约为2.85亿美元，但明确标注此为临时数据，非最终结果。
现有材料中未见完整的官方事后分析、区块链浏览器对账报告或赔偿方案，因此无法确认最终损失规模或追回进展。
Drift确认了攻击手法与权限被夺事实，而PeckShield仅提供估算值。这种信息落差正说明，过早将事件简化为“漏洞”标签会掩盖其复杂性。
后续关注重点：从技术复盘到责任界定
下一阶段的关键披露将是Drift发布的完整技术性事后分析报告，需详述持久化随机数、签名者批准与管理权限在攻击路径中的协同作用。
其次应关注任何关于已追踪、冻结或追回资产的公开说明。在这些信息公布前，最可信的事实仍限于事件时间线、钱包警告及临时估算。
目前未见监管机构发声，表明事件仍处于响应阶段，尚未进入执法或赔偿程序。
常见问题解答：事件核心疑点澄清
Drift协议具体发生了什么？
2026年4月1日，Drift公告遭受攻击并暂停所有资金进出操作；4月2日，确认攻击者借助持久化随机数机制获得未授权访问，成功接管安全委员会管理权限。
是否属于典型智能合约漏洞？
否。事件核心并非已知的代码缺陷，而是管理权限被夺取。外部分析进一步指向延迟执行与多签批准被盗，而非合约本身的根本性漏洞。
当前损失金额如何评估？
最常引用的数据为2.85亿美元，但必须强调这是初步估算，未被官方定性为最终损失额。
Phantom对用户发布了何种提示？
在安全团队调查期间，所有试图通过Phantom钱包接入Drift的用户均收到强制性风险警告。
当前最主要的安全教训是什么？
Drift对管理权限丢失的披露与专家评论一致指向管理员密钥与批准路径的高危性。现有证据表明，特权控制体系应与智能合约代码享有同等严格的安全审计标准。
免责声明：本文所有内容均来源于第三方平台，所有内容不作任何类型的保证，不构成任何投资、不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。