当Drift协议披露其2.7亿美元漏洞的细节时，最令人不安的并非损失规模，而是攻击方式。据协议团队称，这并非智能合约漏洞或巧妙代码操纵，而是一场持续六个月的行动：使用假身份、跨越多个国家进行线下会面、精心培养信任。攻击者据称来自朝鲜，他们并未发现系统漏洞，而是直接成为系统的一部分。
这一新威胁正迫使去中心化金融（DeFi）行业进行更深刻的反思。多年来，行业将安全视为技术问题，认为通过审计、形式化验证和更好的代码就能解决。但Drift事件表明，真正的漏洞可能完全存在于代码之外。
“别再叫它黑客，这是情报行动”
ENS Labs首席信息安全官Alexander Urbelis直言：“我们需要停止称这些为‘黑客’，而应该称它们为情报行动。那些人出现在会议上，在多个国家与Drift贡献者面对面会面，存入100万美元自有资金建立信誉——这是间谍手法，是特工干的事，而不是黑客。”如果这一描述成立，那么Drift代表了一种新剧本：攻击者不再像机会主义黑客，而是像有耐心的操作者，先在社交层面嵌入，再在链上行动。
“朝鲜不再扫描脆弱合约了。他们在扫描脆弱的人……那不是黑客，那是运营线人。”Urbelis补充道。
这类手法并不全新。近年调查已显示朝鲜特工通过假扮开发者渗透加密公司，通过面试、甚至以假身份入职。但Drift事件表明这些努力已升级——从通过招聘渠道进入，扩展到数月之久的线下关系建立行动。
“阿喀琉斯之踵”：人的因素
这种转变让许多安全领袖最为担忧。即便审计最严格的协议，如果贡献者被入侵，依然可能失败。前Robinhood和Galaxy CISO、现SVRN首席运营官David Schwed认为Drift事件是警钟：“协议必须明白他们在对抗什么。这不是简单漏洞，而是有专用资源、伪造身份和蓄意人为因素的长期行动。那个‘人的因素’正是许多组织的阿喀琉斯之踵。”
许多DeFi团队规模小、行动快、建立在信任之上。但少数人掌控关键权限时，只需攻破一人即可。Schwed指出应对措施需要更新：“答案是构建坚固的安全计划，不仅保护技术，还要保护人和流程……安全必须成为项目和团队的基础。”
部分协议已在调整。Solana最大DeFi平台之一Jupiter的COO Kash Dhanda表示：“代码安全（审计、开源、形式化验证）只是入场券，攻击面已大幅扩大。”Jupiter在扩大多签合约、时间锁使用的同时，也在投资检测系统和内部培训。“既然血肉比代码更脆弱，我们也在更新关键团队成员的操作安全培训和监控。”但他补充，“安全没有终点，自满仍是最大风险。”
dYdX Labs COO David Gogel表示：“不幸的是，加密货币项目正越来越多地被国家级不良行为者瞄准……开发者必须采取预防措施，但用户也应意识到，鉴于攻击者日益复杂，这类风险无法完全消除。”他还呼吁用户主动理解协议技术架构和多重签名升级的风险。
信任本身已成漏洞
Jito Labs CEO Lucas Bruder指出：“Drift漏洞不是代码漏洞，而是利用人际信任的六个月情报行动。这意味着要设计假设会被攻破的系统——不仅假设代码有bug，还要假设人会被攻破。智能合约审计是入场券，真正的攻击面是你的团队、多签签名者以及他们接触的每个设备。”
SVRN的Schwed建议从威胁建模开始：“问自己，我如何可能被利用？如果项目所有者之一被入侵，后果半径有多大？”在这个意义上，Drift事件可能不是因为损失的资金而被铭记，而是因为它揭示了一个事实：DeFi中最大的风险可能不再存在于代码中，而在于运行代码的人。
市场影响分析：此次事件加剧了DeFi领域对社交工程攻击的警惕。短期内，可能推动更多项目加强操作安全培训、升级多签和代码升级治理。长期看，用户风险意识提升，可能更倾向选择具有成熟安全流程和去中心化治理的协议。对基于信任的小团队DeFi项目，融资和用户信任或面临更大挑战。