A Fundação Solana anunciou uma série de iniciativas de segurança na segunda-feira, apenas cinco dias depois de a plataforma de finanças descentralizadas (DeFi) Drift Protocol ter sofrido um exploit de 270 milhões de dólares, levado a cabo por um grupo afiliado ao Estado norte-coreano na sequência de uma campanha de engenharia social com a duração de seis meses.
O elemento central é a Stride, um programa de avaliação estruturada liderado pela Asymmetric Research que vai avaliar os protocolos DeFi da Solana em função de oito pilares de segurança e publicar os seus resultados publicamente. A fundação também apresentou a Solana Incident Response Network (SIRN), um grupo baseado em adesão de empresas de segurança e investigadores focado na resposta a crises em tempo real.
As iniciativas abordam parte do problema exposto pelo Drift, mas não os mecanismos que, de facto, causaram a perda. Os contratos inteligentes da Drift não foram comprometidos e o seu código passou auditorias. A vulnerabilidade foi humana: os atacantes passaram seis meses a construir relações com colaboradores da Drift e comprometeram os seus dispositivos através de um repositório de código malicioso e de uma aplicação falsa TestFlight.
Sob a Stride, os protocolos com mais de 10 milhões de dólares em valor total bloqueado (TVL) que passem na avaliação receberão segurança operacional contínua e monitorização ativa de ameaças, financiadas por subsídios da Fundação Solana, com cobertura calibrada ao perfil de risco de cada protocolo.
Para protocolos com mais de 100 milhões de dólares em TVL, a fundação irá também financiar verificação formal, um método matemático que verifica cada possível caminho de execução num contrato inteligente para garantir a correção.
Além da Asymmetric Research, os membros fundadores incluem OtterSec, Neodyme, Squads e ZeroShadow. A rede está disponível para todos os protocolos da Solana, mas é priorizada pelo TVL.
A verificação formal da Stride, porém, não teria detetado o ataque norte-coreano, que usou os dispositivos comprometidos para obter aprovações de multisig que, depois, foram bloqueadas em transações de nonce duráveis e executadas semanas mais tarde.
Nem a monitorização 24/7 da atividade onchain, porque as transações eram válidas por desenho e indistinguíveis de ações administrativas legítimas até serem usadas para esvaziar os cofres. O ataque explorou a lacuna entre a correção onchain e a confiança humana offchain, uma lacuna que nenhuma auditoria a contratos inteligentes ou ferramenta de monitorização está construída para cobrir.
A SIRN, no entanto, poderia ter ajudado na resposta. ZachXBT, um especialista em segurança onchain, criticou a entidade emissora de stablecoins Circle Internet (CRCL) por não ter congelado mais de 230 milhões de dólares do seu USDC roubado, indexado ao dólar, durante uma janela de seis horas após o início do ataque.
Uma rede dedicada de resposta a incidentes, com relações estabelecidas para ligar operadores, bolsas e entidades emissoras de stablecoins, poderia ter encurtado o tempo de resposta. A questão de saber se teria sido suficientemente rápido para impedir a ponte Wormhole e a ofuscação através do Tornado Cash continua em aberto.
A fundação cuidou de assinalar que os programas “não transferem a responsabilidade subjacente para além dos próprios protocolos”, uma frase que passa a soar diferente depois de o pós-mortem do Drift revelar que os dispositivos individuais dos colaboradores foram o ponto de entrada para um ataque de um Estado-nação.
A Solana já aloja várias ferramentas gratuitas de segurança para criadores, incluindo Hypernative para deteção de ameaças, Range Security para monitorização em tempo real e Riverguard, da Neodyme, para simulação de ataques.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
