Drift Protocol (DRIFT): l’hack da 295 milioni su Solana, il token DFX e la rinascita come Velocity

Drift Protocol, per quattro anni uno degli exchange di futures perpetui più attivi di Solana, non opera più con il proprio nome. Il 1° aprile 2026 alcuni attaccanti hanno preso il controllo dei suoi poteri di amministrazione e hanno svuotato la piattaforma di una somma compresa tra circa 285 e 295 milioni di dollari, a seconda di chi fa il conto. Drift Labs ha ricostruito l’exchange partendo dal codice della v2 e lo ha ribattezzato Velocity, con effetto dal 1° luglio 2026.

Chi ha perso fondi possiede oggi un token di recupero chiamato DFX. All’apertura delle richieste, il 1° ottobre 2026, un DFX si riscattava per circa 0,0104 USDT: più o meno un centesimo per ogni dollaro perso. Tether e i partner hanno promesso cifre molto più alte, ma a inizio ottobre nessuna di queste somme era arrivata nel pool.

Intanto il bottino si muove di nuovo. Il 20 ottobre un wallet che Etherscan etichetta «Drift Exploiter 5» ha inviato 25.710 ETH a Tornado Cash in poco più di due ore, come abbiamo raccontato in la nostra notizia sui depositi dell’attaccante di Drift su Tornado Cash. Due testate hanno riportato un secondo lotto il giorno dopo. Nella sera del 21 ottobre un wallet etichettato conteneva ancora 56.568 ETH, secondo la pagina dell’etichetta «Drift Exploit» di Etherscan.

Il sito col marchio Drift non si è adeguato. Il 21 ottobre la home di drift.trade mostrava ancora i pulsanti per fare trading e vecchie statistiche, senza una parola su Velocity o sull’attacco di aprile. Il protocollo storico, censito come Drift Trade su DefiLlama, custodiva quel giorno circa 642.000 dollari.

Drift Protocol oggi: diventato Velocity, rimborsa pochi centesimi per dollaro

Nell’ottobre 2026 tre cose portano ancora il nome Drift: DFX, il token di governance DRIFT con il sito della fondazione drift.foundation e il suo forum di voto, e il vecchio sito. Nessuna di queste è un mercato Drift attivo.

L’attività di trading è oggi Velocity, su velocity.exchange. La documentazione la descrive come un exchange di futures perpetui e un money market «distribuito come un unico programma Solana», derivato dal codice di Drift Protocol v2. Il piano di recupero di Drift del 5 maggio prometteva un nuovo programma «a un indirizzo nuovo, con chiavi completamente ruotate»: si tratta quindi di un nuovo deployment, non dei vecchi contratti con un logo diverso. Drift aveva lanciato una v3 nel dicembre 2025, ma quanto ne sia passato in Velocity non è documentato.

Il 21 ottobre il sito di Velocity elencava perpetui su BTC, ETH e SOL con leva fino a 20x e su HYPE fino a 10x, regolati in USDT, la stablecoin che descriviamo nella scheda di Tether (USDT). Un mercato di perpetui su azioni era indicato come «Coming Soon», mentre le FAQ del sito dicevano che NVDA e TSLA sarebbero state negoziabili al lancio. Le garanzie accettate erano wBTC, wETH, SOL e USDT.

Sulle commissioni le fonti non concordano. Le FAQ del sito indicano per i taker su BTC, ETH e SOL una tariffa che parte dallo 0,060% e scende allo 0,02% in base al volume a 30 giorni, con un rimborso del 0,0025% per i maker e uno sconto del 5% per gli utenti invitati. La documentazione riporta un livello base dello 0,04%, mentre una recensione di decentralised.news del 17 luglio citava una forbice dallo 0,035% allo 0,020%.

L’attività è modesta. DefiLlama ha iniziato a monitorare Velocity il 29 settembre e il 21 ottobre registra un open interest di 95.346 dollari, dopo essere rimasto sotto i 120.000 dollari nelle due settimane precedenti. Nel dicembre 2025 Drift dichiarava 650 milioni di dollari di open interest.

Che cos’è Drift e come funzionava

Drift è nato su Solana alla fine del 2021; DefiLlama lo censisce dal 3 dicembre 2021. Offriva futures perpetui, contratti che seguono il prezzo di un asset senza data di scadenza, gestiti da programmi on-chain e non dal motore di abbinamento di un’azienda.

Il tratto distintivo era il conto unico. Il trader depositava più asset, li prestava o li prendeva in prestito attraverso un money market integrato e operava sui perpetui contro il valore complessivo, una struttura nota come cross-margin. Quando le perdite erodevano la garanzia, dei keeper chiudevano le posizioni, come spiega la voce del nostro glossario sulla liquidazione. A coprire i debiti irrecuperabili c’era un fondo assicurativo alimentato dagli staker.

Nel 2024 e nel 2025 Drift ha aggiunto vault gestiti da gestori di strategie, pool isolati per gli asset più rischiosi, un sistema di instradamento degli ordini chiamato Swift, un prodotto a leva chiamato Amplify e i Builder Codes per le interfacce esterne. La strategia più grande tra i vault si basava su JLP, il token di liquidità di Jupiter, la piattaforma di trading di Solana.

Drift v3 è stata aperta su invito il 4 dicembre 2025. Drift diceva che l’85% degli ordini a mercato veniva eseguito nello stesso slot di Solana, circa 400 millisecondi, e che l’impatto sul prezzo degli ordini grandi era sceso da 20 punti base a 2. Lo stesso post vantava oltre 1,5 miliardi di dollari di TVL, più di 133 miliardi di volume cumulato e 650 milioni di open interest: numeri di Drift, non verificati da terzi.

Da 1,1 miliardi bloccati a meno di 1 milione

I dati di DefiLlama su Drift Trade, letti il 21 ottobre 2026 alle 18:18 UTC, mostrano la salita e il crollo. I valori sono rilevazioni di mezzanotte UTC, tranne l’ultimo.

Data	Valore totale bloccato (DefiLlama)
1° maggio 2024	283,4 milioni di dollari
1° gennaio 2025	806,3 milioni di dollari
10 ottobre 2025 (massimo)	1.112,7 milioni di dollari
1° dicembre 2025	647,0 milioni di dollari
1° aprile 2026	311,4 milioni di dollari
2 aprile 2026	23,5 milioni di dollari
1° giugno 2026	6,3 milioni di dollari
21 ottobre 2026, 16:32 UTC	0,64 milioni di dollari

Anche le commissioni sono calate nello stesso modo. DefiLlama conta circa 25,2 milioni di dollari di commissioni nel 2025, con un picco di 4,23 milioni in ottobre. Nel 2026 il dato mensile è passato da 1,31 milioni in gennaio a 0,66 milioni in marzo, a circa 13.500 dollari in aprile e a zero da maggio. Le commissioni totali dall’inizio ammontano a 41,1 milioni di dollari.

Il volume è più difficile da fissare. La serie dei volumi di DefiLlama è a pagamento e i totali dichiarati da Drift sono passati da «120 miliardi e oltre» nel novembre 2025 a «più di 150 miliardi» nel racconto di Cindy Leow del 29 settembre 2026. Sono numeri dell’azienda.

Come hanno hackerato Drift? La presa di controllo del 1° aprile 2026

Non è servito alcun bug negli smart contract di Drift. Secondo Rekt, nessuno ha rotto il codice di Drift: gli attaccanti hanno ottenuto i poteri di amministrazione. La ricostruzione che segue si basa sul resoconto di Chainalysis del 9 aprile, che poggia sull’indagine di Drift e che, precisa Chainalysis, non era stato verificato in modo indipendente. Elliptic e Rekt concordano sui punti principali.

Sei mesi di ingegneria sociale

Per circa sei mesi alcune persone, spacciandosi per una società di trading quantitativo, hanno costruito rapporti con i collaboratori di Drift in occasione di conferenze, su Telegram e in sessioni di lavoro. Hanno attivato un vault su Drift e vi hanno depositato più di 1 milione di dollari per sembrare un cliente vero.

Il 10 e l’11 marzo 2026 hanno prelevato fondi da Tornado Cash per finanziare l’operazione. Il 12 marzo hanno creato un token chiamato CarbonVote (CVT), tenendo circa l’80% dell’offerta, e lo hanno scambiato avanti e indietro intorno a 1 dollaro in un pool da circa 500 dollari. Un oracolo da loro controllato riportava poi quel prezzo, così che CVT sembrasse un asset con un mercato.

Durable nonce e un consiglio 2 su 5 senza timelock

Dal 23 marzo gli attaccanti hanno predisposto account con durable nonce, alcuni legati a membri del Security Council di Drift. Su Solana un durable nonce permette di firmare una transazione subito e di inviarla giorni dopo, invece di vederla scadere nel giro di uno o due minuti. Almeno due membri del consiglio hanno firmato transazioni che non avevano compreso fino in fondo.

Il 26 marzo Drift ha spostato i diritti di amministrazione su un nuovo multisig del Security Council che richiedeva due firme su cinque e non prevedeva alcun timelock, quindi una modifica approvata aveva effetto subito. Gli attaccanti hanno ottenuto firme anche sul nuovo multisig. Il giudizio di Rekt: l’anello debole erano due firme e nessun timelock.

Garanzia falsa, prelievi veri

Alle 16:05:18 UTC del 1° aprile la prima transazione già firmata proponeva di cedere la chiave di amministrazione a un indirizzo dell’attaccante; un secondo dopo la seconda la eseguiva. Con i diritti di amministratore, l’attaccante ha inserito CVT tra le garanzie, ha alzato i limiti di prestito e di prelievo, ha depositato 500 milioni di CVT «per un valore» di circa 500 milioni di dollari e ha prelevato asset reali contro quella garanzia.

Elliptic indica come bersagli principali i vault JLP Delta Neutral, SOL Super Staking e BTC Super Staking. Chainalysis conta almeno 18 tipi di token e colloca l’ultimo prelievo confermato alle 18:31 UTC; l’istantanea della pausa di Drift riporta le 18:31:47 UTC. Almeno altri 20 protocolli di Solana hanno segnalato disservizi, pause o perdite.

I fondi hanno lasciato Solana in pochi minuti. I token rubati sono stati scambiati e trasferiti su Ethereum, soprattutto come USDC tramite il Cross-Chain Transfer Protocol di Circle, con SOL passato per Chainflip, e poi convertiti in ETH. Secondo Chainalysis i primi fondi sono arrivati su Ethereum circa 23 minuti dopo la presa di controllo. Circle ha poi congelato circa 3,36 milioni di USDC da tre trasferimenti, ma Rekt le ha rimproverato di aver lasciato passare più di 230 milioni di dollari nell’arco di sei ore.

Attribuzione alla Corea del Nord: cosa dicono Drift e Mandiant

Il 5 aprile Drift, con il sostegno del gruppo di sicurezza SEAL 911, ha dichiarato con grado di fiducia medio-alto che gli attaccanti erano gli stessi dell’hack di Radiant Capital dell’ottobre 2024, che Mandiant aveva attribuito a UNC4736. Il 3 giugno Drift ha scritto che l’analisi forense indipendente di Mandiant attribuiva l’attacco a UNC6862, un gruppo che Drift ha definito nordcoreano.

È un’attribuzione di società forensi, non una sentenza. Al 21 ottobre non erano stati segnalati incriminazioni, arresti o sequestri legati al caso.

Quanto è stato perso: da 285 a 295 milioni di dollari

Una cifra unica non c’è. La differenza dipende dal momento in cui si valutano i token e da ciò che ogni conteggio include.

Fonte e data	Stima della perdita
Elliptic, aggiornamento del 7 aprile 2026	circa 286 milioni di dollari
Chainalysis, 9 aprile 2026	circa 285 milioni di dollari
Aggiornamento di Drift sul recupero, 16 aprile 2026 (19 asset)	295.706.374,93 dollari
Piano di recupero di Drift, 5 maggio 2026	295.426.725,97 dollari
Elenco hack di DefiLlama, letto il 21 ottobre 2026	295 milioni di dollari

La ripartizione di Drift del 16 aprile mostra dove si concentravano le perdite: JLP 159,3 milioni di dollari, USDC 71,4 milioni, cbBTC 11,3 milioni e SOL 10,4 milioni. DefiLlama classifica il caso come controllo degli accessi, con tecnica «Proxy Upgrade Hijack». Secondo Cointelegraph del 20 ottobre, DefiLlama lo colloca al terzo posto tra gli hack più grandi del 2026.

Il piano di recupero di Drift: DFX, Tether e un centesimo per dollaro

Il 16 aprile Drift ha annunciato un sostegno di Tether fino a 127,5 milioni di dollari, più 20 milioni da altri partner. Il pacchetto comprendeva una linea di credito da 100 milioni legata ai ricavi, un contributo per l’ecosistema e prestiti ai market maker; l’exchange rilanciato avrebbe regolato in USDT invece che in USDC.

Il piano di recupero di Drift del 5 maggio ha fissato le regole: un token di recupero per ogni dollaro di perdita verificata, saldi valutati alle 16:06:00 UTC del 1° aprile, poco prima dell’attacco, e posizioni spot convertite in USDT. Elencava circa 3,8 milioni di dollari di asset rimasti nel protocollo e una taglia del 10% sui fondi recuperati, gestita con Bybit e altri, con ZeroShadow e Mandiant sulle indagini forensi.

Come funziona il token di recupero DFX

Il post di Drift sul DFX del 1° ottobre descrive un token Solana standard con offerta fissa di 299.500.810,998 unità, una per ogni USDT di perdita verificata. Il riscatto brucia i DFX e paga in USDT con un’unica transazione definitiva. L’importo per token è il saldo del pool diviso per i DFX in circolazione. Un versamento lo alza; un riscatto lo lascia invariato, ma ogni token bruciato fa sì che i versamenti successivi si dividano tra meno detentori.

Il pool viene rifornito ogni giorno alle 00:00 UTC. Velocity destina il 15% delle commissioni nette di trading al fondo assicurativo e il 15% al capitale del proprio AMM; del restante 70%, il pool riceve il 60% dei primi 30.000 USDT al giorno, il 70% tra 30.000 e 100.000 USDT e il 90% oltre questa soglia. I fino a 127,5 milioni di USDT di Tether, i 20 milioni dei partner e gli eventuali fondi recuperati confluiscono nello stesso pool.

Le richieste si chiudono alle 00:00 UTC del 1° gennaio 2028 e i DFX non reclamati vengono poi bruciati. I DFX si possono vendere su Raydium invece di riscattarli. Sono distinti da DRIFT e, secondo il piano di maggio, non vengono accettati come garanzia.

Le promesse non sono pagamenti

Al lancio il pool conteneva circa 3,1 milioni di USDT, ed è per questo che un DFX si riscattava per circa 0,0104 USDT: una perdita di 1.000 USDT tornava indietro come circa 10,40 USDT. The Block ha riportato il 2 ottobre che 216.480 DFX erano stati riscattati per circa 2.250 USDT, che i ricavi di Velocity avevano aggiunto 31 USDT dopo il primo giorno e che sul cruscotto non compariva alcuna somma di Tether o dei partner.

Secondo il piano del 5 maggio, il denaro di Tether viene impiegato in base ai ricavi dell’exchange nel trimestre precedente. È un impegno che dipende dall’attività di Velocity, non liquidità già presente nel pool. Quanti DFX siano stati richiesti da allora e a quanto si riscatti oggi un token non si poteva leggere dal cruscotto il 21 ottobre.

Fondi congelati e il voto sulla DIP-10

Secondo The Block, l’aggiornamento della Fondazione del 30 settembre stimava i fondi congelati in circa 9,2 milioni di dollari, da aggiungere al pool quando le autorità li rilasceranno. Quali asset siano e chi li abbia congelati non è stato pubblicato. Due trasferimenti su Wormhole, 59,37 WBTC e 557,90 WETH, erano stati trattenuti fino a fine luglio e la loro sorte non è pubblica.

I primi fondi del pool sono venuti dagli stessi depositanti. La DIP-10, pubblicata sul forum di governance il 12 maggio, proponeva di convertire in stablecoin tutti gli asset rimasti nel pool di prestito per costituire la riserva di recupero. Gli utenti con saldi intatti hanno obiettato sul forum che i loro depositi residui venivano messi in comune con le perdite di tutti. L’esito finale del voto non compare nelle fonti che abbiamo letto; un primo pool di circa 3,1 milioni di USDT è coerente con una conversione andata a buon fine.

Aggiornamento sull’hack di Drift: i depositi su Tornado Cash di luglio e ottobre

All’inizio di maggio l’attaccante deteneva circa 130.259 ETH su quattro wallet Ethereum, secondo Drift. Il 23 e 24 luglio il wallet etichettato Exploiter 4 ha inviato 23.095,1 ETH, circa 44,4 milioni di dollari all’epoca, a Tornado Cash e 0,85 ETH a indirizzi di deposito di Bybit, come segnalato da PeckShield. The Block ha riportato il 2 ottobre che tre wallet dell’attaccante contenevano ancora 107.165 ETH.

Nel round di ottobre, Cryptoslate ha contato 258 depositi da Exploiter 5 tra le 07:08 e le 09:21 UTC del 20 ottobre, per un totale di 25.710 ETH. Il 21 ottobre FinanceFeeds, citando il tracker Onchain Lens, e Crypto Briefing hanno riportato altri 18.800 ETH, circa 46 milioni di dollari, per un totale di 44.510 ETH in due giorni, circa 109 milioni di dollari. Coindaro non ha verificato il secondo giorno su un elenco di transazioni. Includendo luglio, FinanceFeeds stima in circa 67.605 ETH il totale riportato passato dal mixer. Entro la sera del 21 ottobre non era comparsa alcuna dichiarazione di Drift, Velocity o della Fondazione sui movimenti di ottobre.

Un deposito su Tornado Cash nasconde dove andranno i fondi, ma non prova una vendita. FinanceFeeds osserva che i trasferimenti non dimostrano che gli ETH siano stati venduti o messi fuori dalla portata degli investigatori, e Cryptoslate definisce irrisolta la quota che tornerà nel pool DFX.

Negli Stati Uniti il mixer è di nuovo fuori dalla lista delle sanzioni: l’OFAC ha rimosso Tornado Cash e i suoi indirizzi Ethereum il 21 marzo 2025, mentre il cofondatore Roman Semenov resta nella lista. Un altro cofondatore, Roman Storm, è stato condannato nell’agosto 2025 per cospirazione finalizzata a gestire un’attività di trasferimento di denaro senza licenza; la giuria si è divisa sui capi di riciclaggio e di sanzioni, e Decrypt riporta un nuovo processo fissato per il 26 aprile 2027.

Velocity: cosa è cambiato nell’exchange ricostruito

Drift ha legato il rilancio a due verifiche esterne, OtterSec per il codice e Asymmetric Research per la sicurezza operativa. Il 17 settembre 2026 Velocity ha pubblicato il rapporto di OtterSec e il codice sorgente su GitHub. Secondo la documentazione di Velocity, l’audit è durato dal 19 giugno al 20 luglio 2026 e ha individuato 154 problemi: nessuno critico, 41 alti, 109 medi, uno basso e tre informativi. Velocity afferma che ogni problema alto è stato risolto nel codice distribuito. La revisione STRIDE della Solana Foundation era ancora in corso.

Il cambiamento principale riguarda l’amministrazione. I poteri sono divisi in livelli, ciascuno con il proprio multisig: un cold admin per gli aggiornamenti del programma, con società di sicurezza esterne tra i firmatari, un warm admin per i parametri, un pause admin che può solo aggiungere pause e hot wallet per i bot. I firmatari usano dispositivi dedicati, i multisig critici hanno un timelock, ogni proposta e approvazione genera un avviso e dei limiti dentro il programma frenano le azioni amministrative più delicate. L’aggiornamento di aprile di Drift aggiungeva che i durable nonce sarebbero stati disattivati per tutti i firmatari.

Velocity ha inoltre abbandonato il trading spot; gli swap restano e i mercati spot servono ancora come garanzia e per i prestiti. Il fondo assicurativo è descritto come interamente di proprietà dei suoi staker. Nel post di Velocity del 17 settembre, il responsabile del protocollo Noah Prince ha detto che ogni modifica destinata agli utenti verrà sottoposta ad audit da una società esterna prima di arrivare sul mainnet.

Resta un’incongruenza: il 21 ottobre la pagina iniziale della documentazione diceva ancora che il programma «non è ancora open source», mentre il codice era su GitHub sotto velocity-exchange.

Un nuovo team al comando

Lo stesso post diceva che la beta sarebbe stata aperta a tutti «nei prossimi giorni»; Cryptoticker riferisce che la whitelist è stata tolta il 21 settembre. Il 29 settembre Cindy Leow ha scritto su X di farsi da parte. Secondo Solana Compass, il cofondatore David Lu mantiene con la Fondazione il lavoro di recupero dei fondi e di collaborazione con le autorità, mentre Noah Prince, ex responsabile dell’ingegneria di protocollo di Helium e in Drift da giugno, guida il protocollo. I responsabili di prodotto, partnership e crescita sono indicati solo con l’handle di X.

Il token DRIFT dopo il cambio di nome

DRIFT è un token Solana con offerta massima di 1 miliardo, lanciato con un airdrop le cui richieste sono state aperte il 16 maggio 2024. L’aggiornamento della tokenomics di Drift del 18 novembre 2025 indicava un’offerta in circolazione di 555.713.264 unità (55,6%), con un tetto di circolazione di 750 milioni e un calendario di emissione di cinque anni.

Quell’aggiornamento ripartiva l’offerta tra ecosistema e trading (43%), airdrop di lancio (10%), sviluppo del protocollo (25%, metà già sbloccata all’epoca) e partecipanti strategici (22%). Le quote del team prevedevano un blocco di 18 mesi seguito da 18 mesi di vesting. Se qualcosa sia cambiato dopo l’exploit non è stato pubblicato.

A cosa serva oggi DRIFT non è chiaro. Il sito e la documentazione di Velocity non lo menzionavano il 21 ottobre, e decentralised.news riportava a luglio che il fork aveva eliminato gli sconti sulle commissioni per chi fa staking del token. La governance passa ancora da drift.foundation e dal suo forum, e il 16 aprile Drift elencava circa 8,74 milioni di DRIFT tra gli asset rimasti al protocollo.

Finanziamenti e audit

Drift dichiara di aver raccolto 52,5 milioni di dollari. DefiLlama riporta un round seed da 3,8 milioni il 26 ottobre 2021 con Alameda Research, Jump Capital, Multicoin Capital, Not3Lau Capital e QCP Capital; le pagine di Drift non li nominano. Polychain Capital ha guidato una Serie A da 23,5 milioni il 22 maggio 2023, con i cofondatori di Solana Anatoly Yakovenko e Raj Gokal, Ethereal Ventures e Folius Ventures. Multicoin Capital ha guidato una Serie B da 25 milioni il 19 settembre 2024 con Blockchain Capital, Primitive Ventures e Folius. Il pacchetto di Tether di aprile è un accordo di recupero, non un round azionario.

Trail of Bits ha esaminato Drift v2 dal 7 novembre al 2 dicembre 2022 e non ha segnalato falle di gravità alta; il rapporto di Neodyme sullo stesso codice è datato 10 maggio 2024. Entrambi riguardavano solo il codice, non l’impostazione amministrativa che ha ceduto nell’aprile 2026. Il rapporto di OtterSec del settembre 2026 è il primo sul codice di Velocity dopo il fork.

La storia di Drift Protocol dal 2021 al 2026

• 2021: nasce Drift; round seed il 26 ottobre; mainnet su Solana a fine anno.
• 11 maggio 2022: durante il crollo di LUNA, DefiLlama registra su Drift v1 un incidente da 14,5 milioni di dollari per «abuso dei parametri di rischio», con fondi indicati come restituiti.
• 19 dicembre 2022: Drift v2 apre sulla mainnet a tutti gli utenti.
• 22 maggio 2023: Serie A da 23,5 milioni di dollari guidata da Polychain Capital.
• 16 maggio 2024: DRIFT debutta con un airdrop.
• 19 settembre 2024: Serie B da 25 milioni di dollari guidata da Multicoin Capital.
• 10 ottobre 2025: il valore totale bloccato tocca il massimo di 1,11 miliardi di dollari su DefiLlama.
• 4 dicembre 2025: debutta Drift v3, solo su invito.
• 1° aprile 2026: presa di controllo dei poteri di amministrazione e prelievo di circa 285-295 milioni di dollari.
• 16 aprile 2026: Tether e partner annunciano fino a 147,5 milioni di dollari di sostegno.
• 1° luglio 2026: l’exchange diventa Velocity.
• 23 e 24 luglio 2026: primi depositi su Tornado Cash da un wallet dell’attaccante.
• 17 settembre 2026: pubblicati il rapporto di OtterSec e il codice sorgente.
• 29 settembre 2026: Cindy Leow si fa da parte.
• 1° ottobre 2026: si aprono richieste e riscatti dei DFX.
• 20 e 21 ottobre 2026: secondo round di depositi su Tornado Cash.

I rischi di Drift Protocol: perché Coindaro lo valuta 5 su 5

Coindaro assegna al progetto 5 su 5 per il rischio. Gli utenti hanno perso circa 285-295 milioni di dollari e avevano recuperato circa un centesimo per dollaro quando sono partiti i riscatti. La causa è stata operativa: un multisig 2 su 5, nessun timelock e firmatari ingannati fino a pre-firmare. I livelli di chiavi e i timelock di Velocity puntano a questo, ma nessun audit può dimostrare che nessuno cadrà più in trappola.

Il codice è un fork di Drift v2 le cui parti nuove sono state sottoposte ad audit una sola volta, e la revisione STRIDE era ancora in corso il 21 ottobre. Con un open interest intorno ai 95.000 dollari, gli ordini grandi possono muovere i prezzi più che su una piattaforma affollata. Un nuovo team guida l’exchange, gran parte del denaro del recupero dipende da Tether e dai ricavi futuri di Velocity, e l’attaccante controlla ancora decine di migliaia di ETH.

Chi cerca una piattaforma on-chain di perpetui più grande può confrontare Hyperliquid, che funziona su una blockchain propria; Coindaro non esprime alcun parere su quale scegliere.

Cosa tenere d’occhio

Il primo banco di prova è se il denaro di Tether o dei partner comparirà nel pool DFX, dato che i ricavi attuali di Velocity spostano appena l’importo del riscatto. Il secondo sono gli ETH rimasti: Etherscan mostrava 56.568 ETH su Exploiter 3 il 21 ottobre. Poi vengono la conclusione della revisione STRIDE, i perpetui su azioni indicati come «Coming Soon» e il libro degli ordini con il Prop AMM a cui, secondo Solana Compass, lavora il nuovo team. Il nuovo processo a Roman Storm è fissato per il 26 aprile 2027 e la finestra per i DFX si chiude il 1° gennaio 2028.