پاسخ سولانا به «کتاب درسی» به بهره برداری

در شب 2 آگوست، آستین فدرا با دوستانش در حال شام بود که اعلان‌ها از طریق برنامه پیام‌رسانی Slack شروع به سرازیر شدن کردند. 

"من مثل "اوه، نه - من باید بروم" بودم. فدراسیونرئیس ارتباطات بنیاد سولانا در مصاحبه اخیر خود یادآور شد. 

خبر دومین هک بزرگ کریپتو در دو روز اخیر منتشر شده بود و فدرا در خط مقدم قرار داشت. دقیقاً 24 ساعت پس از افشای پروتکل 200 میلیون دلاری Nomad در یک "غارت جمعیت"، هزاران نفر - که اکثریت قریب به اتفاق آنها کاربران سولانا بودند - کیف پول هایشان را در یک هک خالی کردند که باعث وحشت در کل صنعت کریپتو شد. سولانا، ارز دیجیتال شماره 9 با ارزش بازار 15.6 میلیارد دلار، نسل جدیدی از بلاک چین های پرسرعت را رهبری می کند که اتریوم را به چالش می کشد.

چهار مهاجم

با انتشار اخبار و اقداماتی که کاربران برای محافظت از دارایی های خود انجام دادند، زمین دزدی متوقف شد. کارشناسان معتقدند چهار مهاجم وجود داشته اند که از یک آسیب پذیری در کیف پول های رمزنگاری Slope Finance سوء استفاده کرده و با 4 میلیون دلار برآورد شده است، تغییر جیب بر اساس استانداردهای صنعت.

با این وجود، ترس از به خطر افتادن سولانا یا شبکه شرکای آن - نظریه هایی که به سرعت رد شدند - فدرا و همتایانش را به سمت یک دوره مدیریت بحران سوق داد. 

این تمرینی است که با افزایش تعداد اکسپلویت ها و یکپارچگی پروتکل ها به طور فزاینده ای مورد حمله قرار می گیرد، اهمیت پیدا می کند. هارمونی، یک بلاک چین لایه 1 دیگر، تلاش کرده است برای رسیدگی به تأثیر هک 100 میلیون دلاری در ماه ژوئن. پل‌های زنجیره‌ای مانند Nomad - پروتکل‌هایی که به کاربران اجازه می‌دهند توکن‌هایی را بین زنجیره‌های بلوکی ارسال کنند - به شدت در برابر حملات آسیب‌پذیر هستند. بر اساس گزارش ها، بیش از 2 میلیارد دلار در 13 سوء استفاده به سرقت رفته است که بیشتر آنها در سال جاری است گزارش Chainalysis

حمله عظیم زنجیره تامین

فدرا با اشاره به اینکه یکی از اولین گزارش‌هایی که شنیده بود در مورد یکی از همکارانش بود که کیف پول‌های Solana و Ethereum خود را تخلیه کرده بود، گفت: «در ساعات اولیه این اتفاق، به نظر می‌رسید که این یک حمله بالقوه بسیار گسترده در زنجیره تأمین بود. . 

او ادامه داد: «در آن مرحله، فرآیند کاهش و بررسی از چیزی فراتر از چیزی که مهندسین بنیاد Solana و آزمایشگاه‌های Solana با ارائه‌دهندگان کیف پول در شبکه Solana کار می‌کنند، حرکت می‌کند، و در عوض به چیزی تبدیل می‌شود که باید زنگ خطر را به صدا درآورید و مردم را به سمت خود بکشید. از MetaMask در، مردمی از Coinbase در. 

طبق گزارش The Defiant، سولانا این سوء استفاده را با یک لمس ماهرانه مدیریت کرد. 

اولین پاسخ رسمی سولانا بعد از ساعت 10 شب 2 اوت بود. 

مهندسان اکوسیستم های متعدد با کمک چندین شرکت امنیتی در حال بررسی کیف پول های تخلیه شده در سولانا هستند. هیچ مدرکی وجود ندارد که کیف پول های سخت افزاری تحت تاثیر قرار گرفته اند. "این موضوع با در دسترس قرار گرفتن اطلاعات جدید به روز خواهد شد." 

اریک برنشتاین، رئیس مدیریت بحران برنشتاین، گفت که جنبه‌های واکنش سولانا کتاب درسی بود. بیانیه ای را منتشر کرد که در آن اذعان داشت مشکلی وجود دارد. او گفت که برای آنها زمان برای کار کردن برنامه ای برای پاسخ دادن به آن ها خرید. 

در اوج خود، «اتاق جنگ» دیجیتالی که بنیاد سولانا راه‌اندازی کرد، نزدیک به 130 نفر داشت. آنها می دانستند که مشکل در سطح پروتکل نیست، زیرا کیف پول های سخت افزاری در امان مانده بودند. فدرا گفت، اما آنها هنوز سوالات بزرگی برای پاسخ دادن داشتند. 

کیف پول های تحت تأثیر

او با اشاره به تعداد کیف پول های آسیب دیده که از آن زمان تاکنون افزایش به بیش از 9,000. و سوال اساساً این بود که آیا این مجموعه آسیب‌پذیری عظیم و زنجیره‌ای بود و هنوز مورد سوء استفاده قرار نگرفته بود و مهاجمان فقط بد بودند؟ 

همانطور که محققان در تلاش بودند تا بفهمند چه اتفاقی افتاده است، به‌روزرسانی‌هایی از حساب‌های مختلف در توییتر منتشر شد، برخی به ظاهر «رسمی»، برخی دیگر نه: ​​از Federa. از شیب؛ از Phantom، یک کیف پول رقیب که کاربران آن نیز تحت تأثیر قرار گرفته بودند. از بنیانگذار سولانا، آناتولی یاکوونکو؛ از محققان امنیتی در "اتاق جنگ" فوق الذکر؛ از کارگزاران رمزنگاری تصادفی. 

از کاربران آسیب‌دیده خواسته شد تا یک نظرسنجی آنلاین را تکمیل کنند که به محققان کمک می‌کند آسیب‌پذیری را پیدا کرده و آن را اصلاح کنند. بقیه تشویق شدند تا دارایی های خود را به کیف پول سخت افزاری منتقل کنند.  

برنشتاین سازمان‌های مربوطه را به خاطر استفاده از توییتر برای آگاه نگه‌داشتن مخاطبان «محبوب فناوری، بسیار دیجیتالی» تحسین کرد. اما گروه صداها "چیزی نیست که ما هرگز به مشتری توصیه کنیم که انجام دهد." 

لحظه گوچا

برنشتاین گفت: "من به شما می گویم، اگر بتوانید این کار را انجام دهید عالی است زیرا همه افراد بسیار منسجم به نظر می رسند، و واقعاً باعث می شود به نظر برسید که دارید تا حد امکان اطلاعات را به اشتراک می گذارید." "اما این به من اضطراب می دهد. ... فرصت‌های زیادی برای مردم وجود دارد که آن‌چه را که فکر می‌کنند یک لحظه تلخ است داشته باشند، زیرا یک نفر چیزی را متفاوت از دیگری طراحی کرده است یا به طور معصومانه مرتکب اشتباه شده است.»

فدرا گفت که غریزه هدایت تمام ارتباطات از طریق یک سخنگوی واحد، «رویکرد شرکت Web2» است. 

سولانا یک شرکت نیست. این یک پروژه نرم‌افزاری غیرمتمرکز، منبع باز و مدیریت جامعه است. بنابراین هیچ قدرت دیگری که آناتولی یا من یا یکی از موسسات حسابرسی نسبت به دیگران داشته باشیم، وجود ندارد. اطلاعات زیادی از سایر محققان امنیتی در توییتر وجود دارد که گروه با دیدن آنها در توییتر به دست آورده است. و اگر فرهنگ عدم ​​به اشتراک گذاشتن آن و انتظار برای ... پاسخ رسمی وجود داشت، در واقع کارها را بسیار کندتر می کرد و تشخیص دامنه محدود آسیب پذیری واقعی را به طور بالقوه سخت تر می کرد. 

بدون آسیب پذیری

اگرچه چندین ارائه دهنده کیف پول Solana تحت تأثیر قرار گرفتند، کارشناسان اکنون معتقدند که این مشکل از Slope شروع شده است. فانتوم در بیانیه‌ای این هفته گفت که تحقیقات «هیچ آسیب‌پذیری‌ای که بتواند این سوءاستفاده کاربر را توضیح دهد، پیدا نکرده است».

سولانا در یک خبر روز دوشنبه گفت: «مواد کلید خصوصی از این کاربران Slope به طور ناخواسته توسط برنامه Slope به یک سرویس نظارت بر برنامه مخابره شد، اما دقیقاً چگونه هکر این اطلاعات را به دست آورده یا رهگیری کرده است هنوز در دست بررسی است.»

فعالیت روی زنجیره

در همین حال، Slope روز دوشنبه گفت که در حال نزدیک شدن به پایان «تحقیقات حسابرسی داخلی» است. و آزمایشگاه TRM، که توسط Slope برای ردیابی فعالیت‌های زنجیره‌ای مهاجمان استخدام شده بود، "به دنبال چندین سرنخ" بود. سرانجام، این شرکت در ارتباط روزانه با مجریان قانون فدرال ایالات متحده بود. 

اسلوپ گفت: "بر اساس این بحث ها، ما امیدواریم."

فدراسیون گفت هر بحرانی متفاوت است. با این وجود، او سعی می کند از یک کتاب بازی ساده پیروی کند. 

او گفت: «نکته اصلی این است که چیزی را که نمی‌دانید درست است، اعلام نکنید و مردم را به‌روز نگه دارید. «حتی اگر یک به‌روزرسانی باشد، «ما چیزی برای اشتراک‌گذاری نداریم – هنوز».

اصلاح: به تاریخ صحیح در پاراگراف اول تا 2 اوت از 7 اوت به روز شد.