Купили машину, а она оказалась в залоге - что делать

Классика, к сожалению. Перед покупкой надо смотреть https://www.reestr-zalogov.ru, это занимает минуту. Если залог был внесён в реестр до покупки, у банка сильная позиция, покупатель по логике закона мог и должен был проверить. Если записи в реестре на момент сделки не было, шансы у друга гораздо выше.
Пусть первым делом найдёт, есть ли там запись и с какой даты.

Согласен с Тимуром. Если запись в реестре была на дату сделки, добросовестным приобретателем признать сложно, тогда остаётся требовать деньги с продавца, по ДКП он гарантировал, что машина свободна от прав третьих лиц. Если записи не было, можно защищаться в суде как добросовестный покупатель. В любом случае лучше сразу показать документы юристу, тут много деталей, которые меняют картину.