Блокчейн-дослідник ZachXBT публічно звинуватив Circle у неспроможності заморозити викрадені USDC, коли вони переміщувалися через власну кросчейн-інфраструктуру компанії під час експлойту Drift Protocol на суму $285 мільйонів 1 квітня 2026 року — що викликало гострі питання про те, коли і чому емітент стейблкоїнів вирішує скористатися своїми повноваженнями на заморожування.
Атака 1 квітня на Drift, децентралізовану біржу безстрокових ф'ючерсів на базі Solana, була помічена безпековою компанією PeckShield. Використовуючи маніпульований оракул та скомпрометований ключ адміністратора, зловмисник вичерпав основне сховище Drift приблизно за 12 хвилин, згідно з даними блокчейн-аналітичної компанії Arkham. Загальна заблокована вартість (TVL) Drift впала з приблизно $550 мільйонів до менш ніж $300 мільйонів протягом години. Токен DRIFT впав більш ніж на 40%. Понад десять додаткових протоколів Solana повідомили про збої.
Після конвертації більшості викрадених активів в USDC, зловмисник використав Протокол кросчейн-передачі (CCTP) Circle для переміщення приблизно $232 мільйонів з Solana до Ethereum за понад 100 транзакцій — протягом шести послідовних годин у робочий час США.
«Circle "спала", поки мільйони USDC обмінювалися через CCTP з Solana на Ethereum протягом годин після дев'ятизначного зламу Drift під час робочого часу США», — написав ZachXBT на X.
Критика є ще гострішою, враховуючи час. Лише дев'ятьма днями раніше, 23 березня, Circle заморозила USDC на 16 непов'язаних гарячих гаманцях бізнесів — включно з одним, що належить DFINITY Foundation — в рамках засекреченої цивільної справи в США. ZachXBT назвав це заморожування «можливо, найнекомпетентнішою» дією, яку він бачив за п'ять років ончейн-розслідувань.
Цей контраст — агресивні дії проти законних бізнесів та бездіяльність під час підтвердженого дев'ятизначного експлойту, що проходив через власний міст Circle, — знову розпалив дебати про те, як централізоване управління стейблкоїнами працює на практиці. Дослідник безпеки Specter зазначив, що зловмисник свідомо уникав конвертації коштів у Tether USDT, здавалося, впевнений, що Circle не втрутиться.
Circle відповіла: «Circle — це регульована компанія, яка дотримується санкцій, розпоряджень правоохоронних органів та судових вимог. Ми заморожуємо активи, коли це юридично вимагається, відповідно до верховенства права та з сильним захистом прав користувачів та конфіденційності».
Салман Баней, генеральний юрисконсульт Plume, попередив, що заморожування активів без авторизації може наразити Circle на юридичну відповідальність. Бен Левіт, генеральний директор агентства з рейтингу стейблкоїнів Bluechip, описав ситуацію як «сіру зону», зазначивши, що це був експлойт оракула, а не "чистий" злом. Блокчейн-аналітична компанія Elliptic виявила численні ознаки, що вказують на причетність північнокорейських хакерів до експлойту Drift.
Оскільки втрати від криптозломів значно зменшилися в місяці, що передували цьому інциденту, злам Drift на $285 мільйонів знаменує різкий розворот — і дебати навколо Circle, які він викликав, можуть мати довгострокові наслідки для того, як буде сформована ширша регуляторна база для стейблкоїнів, особливо щодо повноважень на заморожування та відповідальності емітента.
USDC
DRIFT
