coindesk.com
Die Solana Foundation kündigte am Montag eine Reihe von Sicherheitsinitiativen an, nur fünf Tage nachdem die dezentrale Finanzplattform (DeFi) Drift Protocol einem Exploit in Höhe von 270 Millionen US-Dollar zum Opfer gefallen war. durchgeführt von einem nordkoreanischen staatlich affiliierte Gruppe im Anschluss an eine sechmonatige Social-Engineering-Kampagne.
Im Mittelpunkt steht Stride, ein strukturiertes Bewertungsprogramm unter der Leitung von Asymmetric Research, das Solana DeFi-Protokolle anhand von acht Sicherheitsgrundsätzen bewertet und die Ergebnisse öffentlich veröffentlicht. Die Stiftung stellte außerdem das Solana Incident Response Network (SIRN) vor, eine mitgliederbasierte Gruppe von Sicherheitsfirmen und Forschern, die sich auf die Echtzeit-Krisenreaktion spezialisiert hat.
Die Initiativen adressieren einen Teil des von Drift aufgedeckten Problems, jedoch nicht die Mechanismen, die tatsächlich zum Verlust geführt haben. Die Smart Contracts von Drift wurden nicht kompromittiert, und ihr Code hat die Prüfungen bestanden. Die Schwachstelle war menschlicher Natur: Die Angreifer verbrachten sechs Monate damit, Beziehungen zu Drift-Mitwirkenden aufzubauen und kompromittierten deren Geräte durch ein bösartiges Code-Repository und eine gefälschte TestFlight-App.
Unter Stride erhalten Protokolle mit mehr als 10 Millionen US-Dollar an gesamtem gesperrtem Wert (TVL), die die Bewertung bestehen, eine fortlaufende operationelle Sicherheit und aktive Bedrohungsüberwachung, finanziert durch Zuschüsse der Solana Foundation, wobei die Abdeckung an das Risikoprofil jedes Protokolls angepasst wird.
Für Protokolle mit einem TVL von über 100 Millionen US-Dollar wird die Stiftung außerdem die formale Verifikation finanzieren, eine mathematische Methode, die jeden möglichen Ausführungspfad in einem Smart Contract überprüft, um die Korrektheit zu gewährleisten.
Neben Asymmetric Research gehören zu den Gründungsmitgliedern OtterSec, Neodyme, Squads und ZeroShadow. Das Netzwerk steht allen Solana-Protokollen zur Verfügung, wird jedoch nach TVL priorisiert.
Die formale Verifikation von Stride hätte jedoch den nordkoreanischen Angriff nicht erkannt, bei dem die kompromittierten Geräte verwendet wurden, um Multisig-Freigaben zu erhalten, die anschließend in langlebige Nonce-Transaktionen eingebunden und Wochen später ausgeführt wurden.
Auch eine 24/7-Überwachung der Onchain-Aktivitäten hätte nicht geholfen, da die Transaktionen von vornherein gültig und bis zu dem Zeitpunkt, an dem sie zum Leeren der Tresore genutzt wurden, nicht von legitimen administrativen Maßnahmen zu unterscheiden waren. Der Angriff nutzte die Lücke zwischen der Onchain-Korrektheit und dem Offchain-Vertrauen der Menschen aus – eine Lücke, die kein Smart-Contract-Audit oder Überwachungstool abdecken kann.
SIRN hätte jedoch bei der Reaktion helfen können. ZachXBT, ein Experte für Onchain-Sicherheit, kritisierte den Stablecoin-Emittenten Circle Internet (CRCL dafür, dass er es versäumt hat, über 230 Millionen US-Dollar seiner gestohlenen, an den Dollar gebundenen USDC während eines sechsstündigen Zeitfensters nach Beginn des Angriffs einzufrieren.
Ein dediziertes Incident-Response-Netzwerk mit etablierten Beziehungen zu Bridge-Betreibern, Börsen und Stablecoin-Emittenten hätte die Reaktionszeit möglicherweise verkürzen können. Ob es schnell genug gewesen wäre, um die Wormhole-Bridge und die Verschleierung über Tornado Cash zu verhindern, bleibt eine offene Frage.
Die Stiftung war darum bedacht zu betonen, dass die Programme „die zugrunde liegende Verantwortung nicht von den Protokollen selbst wegverlagern“, eine Formulierung, die nach dem Postmortem von Drift, das enthüllte, dass einzelne Contributor-Geräte der Einstiegspunkt für einen Angriff durch einen staatlichen Akteur waren, anders klingt.
Solana bietet bereits mehrere kostenlose Sicherheitstools für Entwickler an, darunter Hypernative zur Bedrohungserkennung, Range Security für die Echtzeitüberwachung und Neodyme's Riverguard zur Angriffssimulation.