أعلنت مؤسسة سولانا يوم الاثنين عن مجموعة من مبادرات أمنية، بعد خمسة أيام فقط من تعرض منصة التمويل اللامركزي (DeFi) Drift Protocol لاستغلال بقيمة 270 مليون دولار نفذته مجموعة مرتبطة بدولة شمال كوريا، وذلك عقب حملة هندسة اجتماعية استمرت ستة أشهر.
يتمثل المحور الرئيسي في Stride، وهو برنامج تقييم منظم تقوده Asymmetric Research، سيقيّم بروتوكولات سولانا للتمويل اللامركزي مقابل ثمانية ركائز أمنية، وينشر نتائجه علنًا. كما قدمت المؤسسة أيضًا شبكة الاستجابة للحوادث في سولانا (SIRN)، وهي مجموعة قائمة على العضوية من شركات أمن وباحثين تركز على الاستجابة للأزمات في الوقت الحقيقي.
تعالج هذه المبادرات جزءًا من المشكلة التي كشفها Drift، لكنها لا تعالج الآليات التي تسببت فعليًا في الخسارة. لم تُخترق العقود الذكية الخاصة بـ Drift، واجتاز كودها عمليات التدقيق. كانت الثغرة بشرية: قضى المهاجمون ستة أشهر في بناء علاقات مع مساهمي Drift، ثم تمكنوا من اختراق أجهزتهم عبر مستودع كود خبيث وتطبيق TestFlight مزيف.
ضمن Stride، ستتلقى البروتوكولات التي يتجاوز فيها إجمالي القيمة المقفلة (TVL) 10 ملايين دولار والتي تجتاز التقييم أمنًا تشغيليًا مستمرًا ومراقبة تهديدات نشطة ممولة بمنح من مؤسسة سولانا، مع ضبط مستوى التغطية وفقًا لملف المخاطر الخاص بكل بروتوكول.
بالنسبة للبروتوكولات التي يتجاوز فيها TVL 100 مليون دولار، ستقوم المؤسسة أيضًا بتمويل التحقق الرسمي، وهو أسلوب رياضي يتحقق من كل مسار تنفيذ ممكن في عقد ذكي لضمان صحة التنفيذ.
إضافة إلى Asymmetric Research، يضم الأعضاء المؤسسون OtterSec وNeodyme وSquads وZeroShadow. تكون الشبكة متاحة لجميع بروتوكولات سولانا لكن يتم إعطاء الأولوية بناءً على TVL.
ومع ذلك، فإن التحقق الرسمي الخاص بـ Stride لم يكن ليكشف هجوم كوريا الشمالية، الذي استخدم الأجهزة المخترقة للحصول على موافقات multisig، ثم تم قفلها في معاملات nonce متينة وتنفيذها بعد أسابيع.
كما أن المراقبة على مدار الساعة طوال أيام الأسبوع للنشاط على السلسلة لم تكن لتساعد، لأن المعاملات كانت صحيحة حسب التصميم ومطابقة وغير مميزة عن الإجراءات الإدارية الشرعية حتى تم استخدامها لتفريغ الخزائن. استغل الهجوم الفجوة بين صحة الإجراءات على السلسلة والثقة البشرية خارج السلسلة، وهي فجوة لا يستطيع أي تدقيق لعقود ذكية أو أداة مراقبة تغطيتها.
لكن SIRN، كان يمكن أن يساعد في الاستجابة. انتقد ZachXBT، خبير أمن على السلسلة، مُصدر العملة المستقرة Circle Internet (CRCL) لفشله في تجميد أكثر من 230 مليون دولار من USDC المسروق والمربوط بالدولار، خلال نافذة مدتها ست ساعات بعد بدء الهجوم.
قد تكون شبكة استجابة حوادث مخصصة، مع علاقات راسخة لربط مشغلي البوابات والبورصات ومصدري العملات المستقرة، قد اختصرت وقت الاستجابة. وما إذا كان ذلك كافيًا لمنع جسر Wormhole والتعتيم عبر Tornado Cash يبقى سؤالًا مفتوحًا.
حرصت المؤسسة على التنويه بأن البرامج «لا تنقل المسؤولية الأساسية بعيدًا عن البروتوكولات نفسها»، وهي عبارة تبدو مختلفة بعد أن كشف تقرير ما بعد الحادثة الخاص بـ Drift أن أجهزة كل مساهم كانت نقطة الدخول لهجوم على مستوى دولة.
تستضيف سولانا بالفعل عدة أدوات أمنية مجانية للمطورين، بما في ذلك Hypernative لاكتشاف التهديدات، وRange Security للمراقبة في الوقت الحقيقي، وRiverguard من Neodyme لمحاكاة الهجمات.
مقالات ذات صلة
تم تسجيل تدفقات صافية داخلة إيجابية لصناديق الاستثمار المتداولة لكل من Bitcoin وEthereum وSolana في 15 أبريل
تقوم Circle بصك 750 مليون USDC على سولانا خلال آخر 24 ساعة
مرشح رئيس مجلس الاحتياطي الفيدرالي كيفن وورش يكشف عن استثمارات في سولانا وأوبتيميزم وكمباوند
انطلقت بوابة "الجمعة المجنونة" في يوم الأربعاء بحماس كبير، أكمل المهام واربح XRP وGlenfiddich ويسكي، لخيارات الاستثمار في USDT احصل على عائد سنوي يصل إلى 100%، ولـ BTC/ETH/SOL مع الزراعة (التفويض) احصل على عائد سنوي في التعدين يصل إلى 16%.
تتعاون مؤسسة سولانا مع Triton One لإعادة تصميم طبقة البيانات على السلسلة بينما يرتفع SOL بنسبة 3%