El mayor exchange descentralizado de futuros perpetuos en la blockchain de Solana — Drift Protocol — fue el objetivo de un robo masivo y bien orquestado el 1 de abril de 2026. Atacantes desconocidos lograron sustraer 286 millones de dólares en activos digitales de los fondos principales de liquidez de la plataforma en menos de una hora, provocando un pánico generalizado en la comunidad de finanzas descentralizadas.

El mayor exchange descentralizado de futuros perpetuos en la blockchain de Solana, Drift Protocol, se convirtió en el objetivo de un robo masivo y bien orquestado el 1 de abril de 2026.

Atacantes desconocidos lograron sustraer $286 millones en activos digitales de las bóvedas principales de liquidez de la plataforma en menos de una hora, provocando pánico generalizado en la comunidad de finanzas descentralizadas.

La velocidad y escala del incidente señalaron claramente que la operación había sido planificada y preparada con mucha antelación.

El ataque se ejecutó con una rapidez y precisión impactantes. En la primera hora, el atacante vació sistemáticamente tres de las bóvedas principales de Drift: la bóveda JLP Delta Neutral, la bóveda SOL Super Staking y la bóveda BTC Super Staking.

La transacción individual más grande involucró la transferencia de aproximadamente 41.7 millones de tokens JLP, valorados en alrededor de $155 millones en el momento del robo.

Entre los activos adicionales sustraídos se incluyeron USDC, SOL, cbBTC, wBTC y varios tokens de staking líquido. Según la firma de seguridad blockchain PeckShield, la probable causa raíz fue un compromiso de las claves privadas de administrador del protocolo, lo que otorgó al atacante acceso privilegiado para iniciar retiros y modificar controles administrativos.

Analistas de Elliptic identificaron múltiples indicadores en la cadena que sugieren fuertemente que el ataque fue llevado a cabo por actores vinculados a Corea del Norte (DPRK).

El comportamiento en la cadena, los métodos de lavado de dinero y los patrones a nivel de red observados durante el exploit de Drift coinciden estrechamente con técnicas utilizadas en operaciones previas atribuidas a la DPRK.

Si esta conexión se confirma, marcaría el decimoctavo robo de criptoactivos vinculado a la DPRK que Elliptic ha rastreado solo en 2026, con más de $300 millones robados en total este año.

Se cree que actores vinculados a la DPRK han sustraído más de $6.5 mil millones en criptoactivos en los últimos años, con el gobierno de Estados Unidos vinculando directamente estos robos al financiamiento de los programas de armas de Corea del Norte.

Datos de DefiLlama muestran que el valor total bloqueado (TVL) de Drift cayó bruscamente de alrededor de $550 millones a menos de $250 millones tras el ataque.

Esto lo convierte en el mayor hackeo de DeFi de 2026 hasta ahora y la segunda brecha de seguridad más grande en el ecosistema de Solana, superada solo por el exploit del puente Wormhole de $326 millones en 2022.

El equipo de Drift confirmó públicamente el incidente en X, describiéndolo como un ataque activo, e inmediatamente suspendió todos los depósitos y retiros mientras coordinaba con múltiples firmas de seguridad, proveedores de puentes cross-chain y exchanges de criptomonedas para contener y abordar el daño.

El exploit de Drift no es un caso aislado. Forma parte de una campaña más amplia y en escalada de ataques vinculados a la DPRK que apuntan a la industria de las criptomonedas, que recientemente incluyó un compromiso en la cadena de suministro del paquete npm de Axios, un incidente que Google atribuyó al actor de amenazas de la DPRK UNC1069.

En conjunto, estos incidentes reflejan un esfuerzo deliberado por parte de operativos norcoreanos para atacar la infraestructura de cripto a gran escala.

Cómo se movieron los fondos robados

Los datos en la cadena revelan que la billetera del atacante fue creada aproximadamente ocho días antes del exploit, y durante ese período recibió una pequeña transferencia de prueba originada en una bóveda de Drift.

Este detalle apunta fuertemente a una operación premeditada y cuidadosamente preparada, ejecutada con planificación deliberada en lugar de un ataque impulsivo u oportunista.

Tras vaciar las bóvedas, el atacante utilizó un agregador de exchanges descentralizados basado en Solana para convertir rápidamente los tokens robados en USDC.

Desde allí, los fondos fueron transferidos a la blockchain de Ethereum, donde se intercambiaron por ETH, una técnica común de lavado que complica el rastreo cross-chain.

El atacante robó más de 15 tipos diferentes de tokens distribuidos en múltiples bóvedas, lo que significa que cualquier análisis en la cadena incompleto podría pasar por alto grandes porciones de los fondos robados.

Los investigadores de seguridad recomiendan que los protocolos DeFi protejan las claves privadas de administrador utilizando módulos de seguridad de hardware o esquemas de autorización multi-firma, realicen auditorías de seguridad de terceros de forma regular, implementen sistemas de detección de anomalías en tiempo real en la cadena y mantengan un plan de respuesta a incidentes completamente probado que permita una coordinación rápida con exchanges, operadores de puentes y firmas de seguridad en el momento en que se detecte una brecha.