Фонд Solana оголошує про масштабне оновлення безпеки за кілька днів після експлуатування Drift на суму $270 мільйонів

Фонд Solana оголосив у понеділок про комплекс ініціатив з безпеки, всього через п’ять днів після того, як децентралізована фінансова (DeFi) платформа Drift Protocol зазнала експлуатації на суму 270 мільйонів доларів проведено північнокорейською стороною група, пов’язана з державою, після шестимісячної кампанії соціальної інженерії.

Головним елементом є Stride — структурована програма оцінки, яку очолює Asymmetric Research, і яка оцінюватиме протоколи Solana DeFi за восьми показниками безпеки та публічно оприлюднюватиме свої висновки. Фонд також представив Мережу реагування на інциденти Solana (SIRN) — групу на основі членства, до якої входять компанії з кібербезпеки та дослідники, що зосереджені на реагуванні на кризи в режимі реального часу.

Ініціативи вирішують частину проблеми, виявленої Drift, але не механіку, яка насправді спричинила втрату. Смарт-контракти Drift не були скомпрометовані, а їхній код пройшов аудити. Уразливість була людською: зловмисники протягом шести місяців налагоджували відносини з учасниками Drift і скомпрометували їхні пристрої через шкідливий репозиторій коду та фальшивий додаток TestFlight.

У рамках програми Stride протоколи із загальною вартістю заблокованих активів (TVL) понад 10 мільйонів доларів, які проходять оцінку, отримають постійну операційну безпеку та активний моніторинг загроз, фінансовані грантами Фундації Solana, із покриттям, налаштованим відповідно до профілю ризику кожного протоколу.

Для протоколів з TVL понад 100 мільйонів доларів, фонд також фінансуватиме формальну верифікацію — математичний метод, який перевіряє кожен можливий шлях виконання в смарт-контракті для гарантування його коректності.

Окрім Asymmetric Research, до числа засновників входять OtterSec, Neodyme, Squads та ZeroShadow. Мережа доступна для всіх протоколів Solana, проте пріоритет надається за обсягом залучених активів (TVL).

Читати далі: Як шестимісячна секретна програма шпигунства Північної Кореї змушує криптоспільноту переосмислити питання безпеки

Однак формальна верифікація Stride не змогла б виявити атаку Північної Кореї, яка використовувала скомпрометовані пристрої для отримання мультипідписних підтверджень, які потім були зафіксовані у транзакціях із довговічними nonce і виконані через кілька тижнів.

Також не допоможе цілодобовий моніторинг активності в ланцюзі, оскільки транзакції за своєю суттю були дійсними і не відрізнялися від легітимних адміністративних дій, поки їх не використали для виведення коштів із сховищ. Атака скористалася розривом між коректністю в ланцюзі та довірою людей поза ланцюгом — розривом, який жоден аудит смарт-контрактів або інструмент моніторингу не призначений покрити.

SIRN, однак, міг би допомогти з реагуванням. ZachXBT, експерт з безпеки ланцюжка блоків, розкритикував емітента стейблкоїна Circle Internet (CRCL) за нездатність заморозити понад 230 мільйонів доларів США USDC, прив’язаних до долара, вкрадених під час шестигодинного вікна після початку атаки.

Спеціалізована мережа реагування на інциденти, яка має встановлені відносини з операторами містків, біржами та емітентами стейблкоїнів, могла б скоротити час реагування. Чи було б це достатньо швидко, щоб запобігти використанню містка Wormhole та обфускації через Tornado Cash, — відкрите питання.

Фонд уважно зазначив, що програми «не знімають основну відповідальність з самих протоколів», фраза, яка набирає іншого звучання після того, як розбір інциденту Drift виявив, що пристрої окремих учасників стали точкою входу для державної кібератаки.

Solana вже пропонує кілька безкоштовних інструментів безпеки для розробників, зокрема Hypernative для виявлення загроз, Range Security для моніторингу в режимі реального часу та Riverguard від Neodyme для моделювання атак.