La Fondation Solana dévoile une refonte de la sécurité quelques jours après l'exploit Drift de 270 millions de dollars
La Fondation Solana a annoncé lundi une série d'initiatives de sécurité, cinq jours seulement après que la plateforme de finance décentralisée (DeFi) Drift Protocol ait subi un exploit de 270 millions de dollars réalisé par un groupe affilié à l'État nord-coréen à la suite d'une campagne d'ingénierie sociale de six mois.
La pièce maîtresse est Stride, un programme d'évaluation structuré dirigé par Assymétrique Research qui évaluera les protocoles Solana DeFi par rapport à huit piliers de sécurité et publiera ses résultats publiquement. La fondation a également lancé le Solana Incident Response Network (SIRN), un groupe composé d'entreprises de sécurité et de chercheurs axés sur la réponse aux crises en temps réel.
Les initiatives abordent une partie du problème exposé par Drift, mais pas les mécanismes qui ont réellement causé la perte. Les contrats intelligents de Drift n'ont pas été compromis et son code a passé les audits. La vulnérabilité était humaine : les attaquants ont passé six mois à établir des relations avec les contributeurs de Drift et ont compromis leurs appareils via un référentiel de codes malveillants et une fausse application TestFlight.
Dans le cadre de Stride, les protocoles d'une valeur totale verrouillée (TVL) de plus de 10 millions de dollars qui réussissent l'évaluation bénéficieront d'une sécurité opérationnelle continue et d'une surveillance active des menaces financées par les subventions de la Fondation Solana, avec une couverture calibrée en fonction du profil de risque de chaque protocole.
Pour les protocoles avec plus de 100 millions de dollars en TVL, la fondation financera également la vérification formelle, une méthode mathématique qui vérifie chaque chemin d'exécution possible dans un contrat intelligent pour garantir l'exactitude.
Outre Ametric Research, les membres fondateurs comprennent OtterSec, Neodyme, Squads et ZeroShadow. Le réseau est disponible pour tous les protocoles Solana mais priorisé par TVL.
La vérification formelle de Stride n'aurait cependant pas permis de détecter l'attaque nord-coréenne, qui a utilisé les appareils compromis pour obtenir des approbations multisig qui ont ensuite été verrouillées dans des transactions temporaires durables et exécutées des semaines plus tard.
La surveillance 24 heures sur 24 et 7 jours sur 7 de l'activité en chaîne ne le serait pas non plus, car les transactions étaient valides par conception et impossibles à distinguer des actions administratives légitimes jusqu'à ce qu'elles soient utilisées pour vider les coffres. L’attaque a exploité l’écart entre l’exactitude en chaîne et la confiance humaine hors chaîne, un écart qu’aucun outil d’audit ou de surveillance des contrats intelligents n’est conçu pour combler.
SIRN, cependant, aurait pu contribuer à la réponse. ZachXBT, un expert en sécurité onchain, a critiqué l'émetteur de pièces stables Circle Internet (CRCL) pour ne pas avoir gelé plus de 230 millions de dollars de son USDC volé, indexé sur le dollar, pendant une fenêtre de six heures après le début de l'attaque.
Un réseau dédié de réponse aux incidents avec des relations établies avec les opérateurs de ponts, les bourses et les émetteurs de stablecoins aurait pu réduire le temps de réponse. La question reste ouverte de savoir si cela aurait été assez rapide pour empêcher le pontage et l'obscurcissement du trou de ver via Tornado Cash.
La fondation a pris soin de noter que les programmes « ne transfèrent pas la responsabilité sous-jacente des protocoles eux-mêmes », une ligne qui se lit différemment après que l'autopsie de Drift a révélé que les appareils des contributeurs individuels étaient le point d'entrée d'une attaque d'un État-nation.
Solana héberge déjà plusieurs outils de sécurité gratuits pour les constructeurs, notamment Hypernative pour la détection des menaces, Range Security pour la surveillance en temps réel et Neodyme's Riverguard pour la simulation d'attaques.