El hackeo al Protocolo Drift, una de las principales plataformas de derivados descentralizados sobre Solana, se ha convertido en uno de los episodios más sonados del ecosistema DeFi flamante, similar a otros casos de hackeo recientes. En cuestión de minutos, un atacante logró hacerse con un despojo que los descomposición sitúan entre 220 y 285 millones de dólares en distintos criptoactivos, provocando el parón inmediato del protocolo y un musculoso impacto en su token nativo.
Más allá de las cifras, el caso ha encendido todas las alarmas en la comunidad cripto europea y española porque pone el foco en poco especialmente delicado: no fue un decisión clásico de código, sino una combinación de ingeniería social, errores operativos y uso creativo de funciones legítimas de la red Solana. El resultado es un ejemplo de cómo los puntos débiles ya no están solo en los contratos inteligentes, sino todavía en los procesos humanos que los rodean, para lo cual resulta útil una serie de comprobación tras un incidente.
Un ataque millonario a Drift Protocol: qué pasó y cuánto se perdió
Drift Protocol es, hasta la data del incidente, el viejo exchange descentralizado de futuros perpetuos en la blockchain de Solana, con un valencia total bloqueado que rondaba los 550 millones de dólares según portales de analítica DeFi. El día del ataque, la plataforma confirmó a través de sus canales oficiales que estaba sufriendo un exploit en tiempo verdadero y procedió a suspender depósitos y retiradas mientras coordinaba la respuesta con firmas de seguridad, puentes y otros actores del ecosistema.
Los datos on-chain y los informes de empresas especializadas como Arkham Intelligence y PeckShield sitúan el agujero en una horquilla que va de poco más de 220 millones a unos 285 millones de dólares, según el método de cálculo y la valoración de cada activo implicado. Buena parte del drenaje se concentró en la ascendencia de cerca de de 41 millones de tokens JLP, valorados en más de 150 millones de dólares, desde las bóvedas de Drift con destino a una cartera identificada como HkGz4K en la red Solana.
Tras ese primer movimiento, el atacante continuó retirando grandes sumas de USDC, USDT, WBTC, tokens envueltos de ether y bitcoin, memecoins y otros activos, redistribuyendo las tenencias entre múltiples direcciones para dificultar el rastreo. Estimaciones detalladas de analistas de seguridad hablan de un total próximo de 270 millones de dólares en docenas de tokens distintos, con una musculoso concentración en JLP y stablecoins.
La reacción oficial de Drift incluyó la congelación del protocolo, la retirada y protección de los fondos del seguro y la asesinato de la cartera comprometida del multisig que gobernaba el sistema. Al mismo tiempo, monederos como Phantom comenzaron a mostrar avisos a los usuarios que intentaban interactuar con Drift, recomendando una precaución máxima mientras se investigaba el valor del ataque.
Nonces duraderos en Solana: la habitación secreto del disimulo
Uno de los aspectos más llamativos del caso es que, al contrario de lo que se pensó en un primer momento, el atacante no habría recurrido a un bug distintivo en el resolución inteligente ni a un préstamo flash clásico. En su superficie, se habría apoyado en una funcionalidad legítima de Solana: los nonces duraderos, diseñados para permitir la firma y ejecución diferida de transacciones.
En Solana, cada operación incluye un hash de bando flamante que actúa como una especie de sello temporal. Ese hash solo es válido durante unos 60 a 90 segundos; si la transacción no se envía en ese beneficio, queda invalidada, lo que sirve como defensa contra la repetición de órdenes antiguas. Los nonces duraderos, sin requisa, sustituyen ese hash efímero por un código fijo de un solo uso, almacenado en una cuenta específico en la sujeción y cuya validez puede prolongarse durante días o semanas hasta que cierto decide gastarlo.
Esta característica es muy útil para configuraciones de seguridad avanzadilla: carteras hardware, firmas en frío o custodia institucional, donde los procesos de aprobación pueden tardar más de un minuto. El problema es que, si se abusa de ella, abre la puerta a que una transacción firmada hoy pueda ejecutarse tiempo luego en un contexto completamente diferente, y el firmante no tiene una forma sencilla de revocar esa aprobación si no gestiona activamente la cuenta nonce. Casos previos que muestran el peligro de robo mediante apps de confianza ilustran cómo herramientas legítimas pueden ser aprovechadas por atacantes.
Según la cronología publicada por el propio equipo de Drift, el atacante habría creado el 23 de marzo cuatro cuentas de nonce duradero: dos vinculadas a miembros legítimos del Consejo de Seguridad del protocolo, y dos bajo su control directo. De esta forma, ya contaba con transacciones pre-firmadas que podían activarse en el futuro sin caducar, aparentemente con el asentimiento de al menos dos de los cinco firmantes del multisig que gobernaba Drift.
Días luego, el 27 de marzo, se produjo una migración planificada del Consejo de Seguridad para reemplazar a uno de sus miembros. El atacante se adaptó rápidamente: el 30 de marzo apareció una nueva cuenta de nonce duradero vinculada al multisig actualizado, lo que indica que había recuperado el comienzo de dos de cinco firmas requerido en la nueva configuración. Con las piezas preparadas, solo quedaba designar el momento oportuno para pulsar el rama.
De la firma al drenaje: ejecución del exploit en cuestión de minutos
El 1 de abril se desencadenó el ataque. Primero, el equipo de Drift ejecutó una retirada de prueba legítima de su fondo de seguros, una operación que, sobre el papel, formaba parte del funcionamiento frecuente del protocolo. Aproximadamente un minuto luego, el atacante envió a la red la sujeción de transacciones con nonces duraderos previamente firmadas, aprovechando el contexto de actividad administrativa para camuflar su movimiento.
En casi nada unos slots de la blockchain de Solana —separados por cuatro bloques, según el descomposición on-chain— se consiguió crear y aprobar una transferencia administrativa maliciosa, y a continuación ejecutarla. Esto otorgó al atacante un control efectivo sobre los permisos a nivel de protocolo, lo que le permitió introducir un mecanismo de retirada fraudulento y pincharse rápidamente las bóvedas.
El detalle inquietante es que, de acuerdo con la lectura facilitada por Drift, no fue necesario comprometer criptográficamente las claves privadas de los firmantes. Bastó con que dos miembros del multisig aprobasen transacciones que, o proporcionadamente no comprendían del todo, o proporcionadamente fueron presentadas de forma engañosa, lo que el equipo ha descrito como «aprobaciones no autorizadas o mal representadas». Este tipo de incidentes recuerda otros donde ataques de credential stuffing y fallos operativos facilitaron el llegada indebido.
Este patrón encaja con una tendencia creciente en los grandes hackeos DeFi de los últimos abriles: menos errores puros de código y más fallos de seguridad operacional, donde la ingeniería social y los procesos internos poco robustos se convierten en el efectivo vector de ataque. Los nonces duraderos, en este caso, actuaron como una utensilio que permitió separar en el tiempo la firma y la ejecución, explotando esa brecha de contexto.
Desde la perspectiva europea, donde cada vez más fondos y startups exploran la DeFi sobre redes como Solana, el incidente está siendo seguido con lupa por reguladores y empresas que estudian cómo alentar los controles de gobernanza y los flujos de firma en infraestructuras críticas.
Fondos robados: desglose de activos y ruta a través de puentes
Los investigadores on-chain han tratado de recobrar con precisión qué activos se llevaron y adónde fueron a detener. Un descomposición complemento monograma el valencia sustraído en torno a los 270 millones de dólares, repartidos entre decenas de tokens y stablecoins. La viejo categoría individual fue de aproximadamente 155,6 millones de dólares en tokens JLP, seguidos por unos 60,4 millones de USDC, 11,3 millones en CBBTC (bitcoin envuelto de Coinbase), cerca de de 5,65 millones en USDT y varios millones adicionales en ether envuelto, DSOL, WBTC, FARTCOIN y otros activos como JUP, JITOSOL, MSOL, BSOL o EURC.
La cartera principal utilizada para iniciar el drenaje fue financiada ocho días antiguamente mediante interacciones con el ecosistema de NEAR, pero se mantuvo inactiva hasta el momento del ataque. Desde esa dirección, los fondos se movieron a billeteras intermedias financiadas el día precursor a través de Backpack, un exchange descentralizado que exige comprobación de identidad. Este detalle, relevante para los investigadores, abre la puerta a pistas adicionales si las autoridades solicitan información; encima, recuerda la importancia de monitorizar posibles filtraciones de credenciales que facilitan la rastreabilidad.
A continuación, buena parte del despojo fue trasladada fuera de Solana utilizando puentes entre cadenas. Por un banda, se empleó Wormhole para mover activos con destino a Ethereum. Por otro, el analista on-chain ZachXBT documentó que más de 230 millones de dólares en USDC cruzaron mediante el Cross-Chain Transfer Protocol (CCTP) de Circle en más de un centenar de transacciones.
Un medio ambiente que ha generado polémica en la comunidad es la yerro de congelación inmediata de esos USDC por parte de Circle en las horas críticas del ataque. Según las reconstrucciones temporales, hubo una ventana de cerca de de seis horas desde que se detectó públicamente la actividad sospechosa hasta que el obeso de los fondos terminó de moverse, lo que ha servido para reabrir el debate sobre el papel de los emisores centralizados de stablecoins en incidentes de esta magnitud.
Una vez en Ethereum, los fondos siguieron los patrones ya conocidos en grandes robos DeFi: consolidación en carteras de control, paso por servicios de mezcla como Tornado Cash y conversiones progresivas para distribuir el peligro. Esta operativa, repetida en distintos casos anteriores, complica la recuperación incólume que se identifiquen puntos regulados (exchanges o rampas fiat) donde los atacantes intenten finalmente destruir.
Reacción del mercado: desplome del token DRIFT y agitación en DeFi
El impacto del ataque en el mercado no tardó en notarse. El token nativo de la plataforma, DRIFT, sufrió una musculoso corrección en las horas posteriores a la confirmación del exploit. Datos de agregadores como CoinMarketCap recogen caídas de entre el 28% y más del 40% en un intervalo de 24 horas, con el precio deslizándose con destino a la zona de 0,04-0,06 dólares, muy acullá de los máximos históricos cercanos a los 2,60 dólares que había pillado a finales de 2024.
En paralelo, la capitalización de mercado del token se redujo a poco más de 20 millones de dólares, mientras que el masa diario de negociación se disparó más de un 300%, reflejando ventas masivas, reposicionamiento reflexivo y movimientos de cobertura. La ratio masa/capitalización superando ampliamente el 100% indica un entorno de actividad intensa y suscripción rotación durante la período de viejo volatilidad.
En el ecosistema de Solana y la DeFi en universal, el incidente se ha ilustrado como un nuevo recordatorio de los riesgos estructurales asociados a los protocolos de derivados y a las arquitecturas complejas de gobernanza. Proyectos con exposición directa o indirecta a Drift se apresuraron a propagar comunicados para aclarar si sus tesorerías o bóvedas habían resultado afectadas, con el objetivo de contener posibles contagios de pánico entre usuarios europeos y de otras regiones.
Para los inversores minoristas y profesionales en España y el resto de la UE, el caso refuerza la idea de que, incluso en protocolos muy auditados y consolidados, las pérdidas pueden ser abruptas e irreversibles si se materializa un decisión de seguridad operacional. Esta sinceridad encaja con las advertencias habituales de los supervisores financieros europeos, que subrayan el carácter de parada peligro de los criptoactivos y de las plataformas DeFi.
¿Hackeo de código o decisión humano? El debate sobre el vector verdadero
Una de las cuestiones que más controversia ha generado es la naturaleza exacta del exploit. En los primeros compases, varios analistas y empresas de seguridad apuntaron a la posible comprometida de claves administrativas, lo que habría permitido al atacante registrar nuevos mercados, modificar límites de retirada o intervenir directamente las bóvedas de Drift.
Algunos informes describieron un atmósfera en el que se habría creado un token falsificado, el llamado CarbonVote Token (CVT), acompañado de un pool de solvencia leve en plataformas como Raydium. Mediante operaciones de wash trading durante semanas, el atacante habría manipulado el historial de precios de ese activo hasta fijar una valoración sintético en torno a 1 dólar, para luego incluirlo como colateral en Drift y retirar activos reales utilizando una señal inflada con casi nada unos cientos de dólares de respaldo verdadero.
En este maniquí, se habrían ejecutado decenas de operaciones en casi nada 12 minutos, vaciando cerca de una veintena de bóvedas de mercado spot adentro del protocolo, con retiradas que incluyen decenas de millones en USDC, JLP y otros tokens. El hecho de que las transacciones se firmaran desde claves diferentes se ha interpretado como señal de un posible compromiso de la infraestructura de gobierno de claves o la billete de cierto con llegada a múltiples credenciales autorizadas.
Sin requisa, otras investigaciones más recientes inciden en que el núcleo del ataque no habría estado tanto en una vulnerabilidad método del resolución —como un bug en el mecanismo de financiación de swaps perpetuos—, sino en ese tropelía de nonces duraderos combinado con errores humanos en la aprobación de transacciones. Desde esta óptica, el incidente se sitúa en la misma categoría que otros exploits recientes basados en ingeniería social y fallos de seguridad operacional, más que en defectos de programación estricta.
Esta discrepancia de interpretaciones no cambia el resultado para los usuarios, pero sí importa a la hora de diseñar nuevas defensas. Si el problema de fondo es que los firmantes no disponían de herramientas o procedimientos adecuados para detectar que estaban aprobando operaciones atadas a nonces duraderos, la decisión pasa por revisar de hacia lo alto debajo la experiencia de sucesor de las multifirmas, las interfaces de firma y las alertas de peligro, especialmente en entornos de suscripción responsabilidad como los consejos de seguridad de grandes protocolos.
La sombra de Corea del Norte: patrones que apuntan a grupos estatales
El caso de Drift no solo ha interesado a desarrolladores y traders, sino todavía a las firmas especializadas en inteligencia financiera. La empresa de descomposición Elliptic ha señalado que el exploit presenta múltiples indicadores compatibles con la operativa típica de grupos de hackers asociados a la República Popular Democrática de Corea (RPDC), es proponer, Corea del Norte.
Entre los fundamentos destacados figuran el comportamiento en sujeción, la forma de lavado de fondos y ciertas señales a nivel de red, todo ello en hilera con otros ataques atribuidos a grupos como Lazarus. Según Elliptic, si se confirma esta autoría, estaríamos frente a el decimoctavo incidente de este tipo en el año vinculado a actores norcoreanos, con un masa total robado que superaría ya los 300 millones de dólares solo en este periodo.
Informes previos de empresas como Chainalysis ya habían documentado que los hackers de Corea del Norte lograron en 2025 un récord cercano a los 2.000 millones de dólares en criptoactivos sustraídos, con grandes golpes como el incumplimiento de Bybit por 1.400 millones. Las autoridades estadounidenses sostienen que estos fondos se destinan, en parte, a financiar programas de armas de destrucción masiva, lo que dota a estos incidentes de una dimensión geopolítica adicional.
En el caso concreto de Drift, Elliptic subraya la planificación previa: transacciones de prueba, carteras preparadas con adelanto, uso de mezcladores sancionados y cruce por múltiples cadenas. La estructura modular del lavado —con consolidación, conversión y distribución secuencial— encajaría con un flujo de emblanquecimiento repetible y profesionalizado, más propio de actores estatales que de atacantes aislados.
Para el entorno regulatorio europeo, donde se está desplegando el ámbito MiCA y se refuerzan las exigencias de prevención de emblanquecimiento de capitales (AML), este tipo de operaciones subraya la penuria de capacidades de rastreo multicanal y de cooperación internacional, tanto entre empresas como entre supervisores de distintos países.
La edificación de cuentas de Solana, en la que cada activo se mantiene en una cuenta de token separada, añade encima una complejidad extra: sin herramientas avanzadas de agrupación de entidades, los investigadores corren el peligro de ver solo «fragmentos» del comportamiento de un atacante, sin aparecer a recobrar todo el planisferio de exposición.
Qué se salvó y qué lecciones deja para usuarios e industria
Aunque el ataque fue devastador, no todo el ecosistema vinculado a Drift sufrió el mismo destino. El propio equipo del protocolo ha aclarado que los tokens DSOL no depositados en Drift, incluidos los activos en staking para su validador, no se vieron afectados directamente. Parte de los fondos del seguro todavía se retiraron y resguardaron, y el protocolo fue congelado para evitar mayores daños.
En términos más amplios, el incidente se suma a una serie creciente de exploits recientes en los que no ha sido el código la habitación que se rompe, sino las capas humanas y organizativas: desde infraestructuras de firma comprometidas hasta aprobaciones engañosas en sistemas multisig. Este desplazamiento del punto de decisión obliga a replantear prioridades en la industria DeFi europea y general.
Para los usuarios de España y Europa que operan en plataformas DeFi, el caso de Drift sirve como recordatorio de varias prácticas básicas: evaluar la edificación de gobernanza de los protocolos en los que se deposita renta, revisar con detalle las medidas de custodia y de auditoría, y hacerse cargo que incluso proyectos con buena reputación pueden estar envueltos en incidentes de este calibre. Además, conviene repasar guías sobre cómo volver en criptomonedas de forma segura antiguamente de depositar fondos.
Al mismo tiempo, el episodio refuerza la importancia de contar con proveedores de descomposición, monitorización en tiempo verdadero y seguros especializados, así como de que los equipos de los protocolos mantengan canales de comunicación transparentes y ágiles. La ligereza con la que se informa, se congela la operativa y se coordinan bloqueos con emisores de stablecoins y exchanges puede marcar la diferencia en la cantidad de fondos que logran recuperarse o al menos bloquearse.
En conjunto, el hackeo al Protocolo Drift se ha consolidado como uno de los casos de estudio más relevantes para la seguridad DeFi en los últimos tiempos: combina un uso progresista de funcionalidades de Solana, una preparación meticulosa del atacante, una posible implicación de grupos estatales y una respuesta que aún está siendo diseccionada por desarrolladores, reguladores y analistas en Europa y el resto del mundo, con implicaciones directas para cómo se diseñarán los próximos sistemas de gobernanza y protección en las finanzas descentralizadas.
