Napad iskorišćavanjem ‘durable nonce’ opcije zaobišao multisig zaštitu, pogođeni svi korisnički depoziti
Drift protokol na Solani pretrpeo je gubitak od najmanje 270 miliona dolara (oko 29,1 milijardi dinara) nakon što je napadač iskoristio legitimnu funkciju mreže poznatu kao ‘durable nonces’. Za razliku od klasičnih hakerskih napada, ovde nije postojao bug u kodu niti su korišćeni ukradeni ključevi. Napadač je, koristeći samo dve od pet potrebnih multisig potvrda Drift-ovog bezbednosnog saveta, unapred potpisao administrativne transfere koji su ostali validni više od nedelju dana. Ovi transferi omogućili su napadaču da praktično preuzme kontrolu nad protokolom i izvuče sredstva u roku od nekoliko minuta.
Na Solana mreži, ‘durable nonces’ služe da transakcije ostanu validne duže od standardnih 60 do 90 sekundi, čime se olakšava rad sa hardverskim novčanicima i institucionalnim skrbništvom. Ipak, ovaj mehanizam nosi rizik—jednom potpisana transakcija ostaje aktivna dok se nonce ručno ne osveži, što većina korisnika ne prati redovno. To je omogućilo napadaču da dobije potrebne potpise kroz “neovlašćena ili pogrešno predstavljena odobrenja” i da, kada je konfiguracija saveta promenjena, ponovo obezbedi dve validne potvrde.
Prema objavljenoj vremenskoj liniji, 23. marta kreirana su četiri durable nonce naloga, od kojih su dva pripadala napadaču. Nakon migracije članova saveta 27. marta, napadač je 30. marta ponovo došao do potrebnog praga od dve potvrde u novoj konfiguraciji. Akcija je izvršena 1. aprila, kada su svi korisnički depoziti sa Drift protokola preusmereni kroz ekosisteme NEAR, Backpack, Wormhole i Tornado Cash radi prikrivanja tragova.
Ovaj incident ukazuje na rastući značaj operativnih i ljudskih slabosti, posebno pri upravljanju sofisticiranim sigurnosnim funkcijama poput durable nonce-a. U DeFi sektoru, gde se često oslanja na multisig zaštitu, socijalni inženjering i proceduralni propusti postaju jedan od glavnih vektora napada. Za korisnike u Srbiji, gde kripto još uvek nije formalno regulisan, ovakvi događaji naglašavaju potrebu za dodatnom edukacijom i oprezom pri korišćenju decentralizovanih finansijskih servisa.