Inside Solana's 'Textbook'-reactie op Exploit

In de nacht van 2 augustus was Austin Federa aan het dineren met vrienden toen meldingen binnenstroomden via de Slack-berichtenapp. 

"Ik had zoiets van 'Oh, nee - ik moet gaan'" Kussensloop, herinnerde de communicatiechef van de Solana Foundation zich in een recent interview. 

Het nieuws over de tweede grote crypto-hack in twee dagen was net uitgekomen en Federa stond in de frontlinie. Precies 24 uur nadat het $ 200 miljoen Nomad-protocol was uitgekleed in een "crowd-plundering", hadden duizenden mensen - de overgrote meerderheid van hen Solana-gebruikers - hun portemonnee leeggemaakt in een hack die paniek veroorzaakte in de hele crypto-industrie. Solana, een cryptocurrency nr. 9 met een marktkapitalisatie van $ 15.6 miljard, leidt een nieuwe generatie high-speed blockchains die Ethereum uitdagen.

Vier aanvallers

Toen het nieuws zich verspreidde en gebruikers maatregelen namen om hun bezittingen te beschermen, kwam het stelen tot stilstand. Experts denken dat er vier aanvallers waren die een kwetsbaarheid in de cryptowallets van Slope Finance uitbuitten en er vandoor gingen met een geschatte $ 4M, zakgeld volgens industriestandaarden.

Desalniettemin dreef de angst dat Solana of zijn netwerk van partners was gecompromitteerd - theorieën die snel werden ontkracht - Federa en zijn collega's aan tot een episode van crisisbeheersing. 

Het is een oefening die steeds belangrijker wordt naarmate het aantal exploits toeneemt en de integriteit van protocollen steeds meer onder vuur komt te liggen. Harmony, nog een Layer 1-blockchain, heeft moeite om de impact van een hack van $ 100 miljoen in juni aan te pakken. Cross-chain bridges zoals Nomad - protocollen waarmee gebruikers tokens tussen blockchains kunnen verzenden - zijn acuut kwetsbaar voor aanvallen. Meer dan $ 2 miljard is gestolen in 13 exploits, de meeste dit jaar, volgens een Chainalysis-rapport.

Enorme aanval op de toeleveringsketen

"In de vroege uren hiervan leek het erop dat het mogelijk een behoorlijk massale supply chain-aanval was", zei Federa, en merkte op dat een van de eerste rapporten die hij had gehoord, was van een collega die hun Solana- en Ethereum-portefeuilles had leeggemaakt . 

"Op dat moment gaat het mitigatie- en onderzoeksproces verder dan iets waar de technici van Solana Foundation en Solana Labs samenwerken met portemonnee-aanbieders op het Solana-netwerk," vervolgde hij, "en in plaats daarvan moet je alarm slaan en mensen weghalen van MetaMask binnen, mensen van Coinbase binnen.” 

Volgens berichtgeving door The Defiant heeft Solana de exploit met een behendige aanraking afgehandeld. 

De eerste officiële reactie van Solana kwam op 10 augustus om 2 uur. 

“Ingenieurs uit meerdere ecosystemen onderzoeken, met de hulp van verschillende beveiligingsfirma’s, lege portemonnees op Solana. Er is geen bewijs dat hardware-wallets worden beïnvloed”, tweette het Solana Status Twitter-account. "Deze thread zal worden bijgewerkt zodra er nieuwe informatie beschikbaar komt." 

Erik Bernstein, president van Bernstein Crisis Management, zei dat aspecten van Solana's reactie uit het boekje waren. Het bracht een holdingverklaring uit waarin werd erkend dat er een probleem was. Hij zei dat ze daarmee tijd hadden om een ​​plan uit te werken om te reageren. 

Op het hoogtepunt had de digitale 'oorlogskamer' die de Solana Foundation had opgezet bijna 130 mensen. Ze wisten dat het probleem niet op protocolniveau lag, aangezien hardwareportefeuilles waren gespaard. Maar ze hadden nog steeds grote vragen te beantwoorden, zei Federa. 

Getroffen portemonnees

"Achtduizend was zowel een groot aantal als een zeer klein aantal gebruikers", zei hij, verwijzend naar het aantal getroffen portefeuilles, dat sindsdien is meer tot meer dan 9,000. "En de vraag was eigenlijk: was deze kwetsbaarheid enorm en ketenoverschrijdend en was er nog geen misbruik van gemaakt en waren de aanvallers gewoon slecht?" 

Terwijl onderzoekers probeerden uit te vinden wat er was gebeurd, kwamen er updates van verschillende accounts op Twitter, sommige schijnbaar 'officieel', andere niet: van Federa; vanaf Helling; van Phantom, een concurrerende portemonnee waarvan de gebruikers ook waren getroffen; van de medeoprichter van Solana, Anatoly Yakovenko; van beveiligingsonderzoekers in de eerder genoemde “war room”; van willekeurige crypto-speurders. 

Getroffen gebruikers werd gevraagd een online-enquête in te vullen die onderzoekers zou helpen de kwetsbaarheid te vinden en te verhelpen. Alle anderen werden aangemoedigd om hun activa naar een hardware-portemonnee te verplaatsen.  

Bernstein prees de relevante organisaties voor het gebruik van Twitter om hun "tech-savvy, very digital-native" publiek op de hoogte te houden. Maar het koor van stemmen "is niet iets dat we een klant ooit adviseren te doen." 

Gotcha-moment

"Ik zeg je, het is geweldig als je het voor elkaar krijgt, want iedereen ziet er erg samenhangend uit, en je ziet er echt uit alsof je zoveel mogelijk informatie deelt," zei Bernstein. “Maar ik krijg er angst van. … Er zijn veel kansen voor mensen om te hebben wat zij denken dat een gotcha-moment is, omdat de ene persoon iets anders heeft ingelijst dan de ander of onschuldig een fout heeft gemaakt.”

Federa zei dat het instinct om alle communicatie via een enkele woordvoerder te leiden een "Web2-bedrijfsbenadering" was. 

“Solana is geen bedrijf. Het is een gedecentraliseerd, open source, door de gemeenschap gerund softwareproject. Er is dus geen autoriteit meer die Anatoly of ik of een van de auditkantoren had vergeleken met iemand anders,” zei hij. “Er is veel informatie van andere beveiligingsonderzoekers op Twitter die de groep heeft geleerd door ze op Twitter te zien. En als er een soort van cultuur was om dat niet te delen en te wachten op … een officieel antwoord, zou het de zaken veel langzamer hebben gemaakt en zou het mogelijk moeilijker hebben gemaakt om de echte beperkte omvang van kwetsbaarheid vast te stellen. 

Geen kwetsbaarheden

Hoewel verschillende aanbieders van Solana-portemonnee werden getroffen, denken experts nu dat het probleem met Slope is begonnen. In een verklaring deze week zei Phantom dat een onderzoek "geen kwetsbaarheden had gevonden die deze gebruikersexploitatie zouden kunnen verklaren".

"Privésleutelmateriaal van deze Slope-gebruikers is per ongeluk door de Slope-app naar een applicatiebewakingsdienst verzonden", zei Solana maandag in een persbericht, "maar hoe de hacker deze informatie precies heeft verkregen of onderschept, wordt nog onderzocht."

Activiteit in de keten

Ondertussen zei Slope maandag dat het het einde van zijn "interne audit-onderzoeken" naderde. En TRM Lab, ingehuurd door Slope om de activiteiten van de aanvallers in de keten te volgen, was "het nastreven van meerdere leads". Ten slotte stond het bedrijf dagelijks in contact met de Amerikaanse federale politie. 

"Op basis van deze discussies", zei Slope, "blijven we hoopvol."

Federa zei dat elke crisis anders is. Toch probeert hij een eenvoudig draaiboek te volgen. 

"Het belangrijkste is om niet te communiceren waarvan je niet weet dat het waar is en om mensen op de hoogte te houden", zei hij. "Zelfs als een update is: 'We hebben nog niets om te delen.'"

correctie: Bijgewerkt om de datum in de eerste alinea te corrigeren naar 2 aug. vanaf 7 aug.