Inside Solanas "Textbook" Response to Exploit

Natten den 2 augusti var Austin Federa på middag med vänner när aviseringar började strömma in genom meddelandeappen Slack. 

"Jag var som 'Åh, nej - jag måste gå'" Örngott, erinrade Solana Foundations kommunikationschef i en nyligen intervju. 

Nyheten om det andra stora kryptohacket på två dagar hade precis spruckit och Federa var i frontlinjen. Exakt 24 timmar efter att Nomad-protokollet på 200 miljoner dollar avskalades i en "publikplundring", fick tusentals människor – de allra flesta av dem Solana-användare – sina plånböcker tömda i ett hack som väckte panik i hela kryptoindustrin. Solana, en kryptovaluta nr 9 med ett börsvärde på $15.6 miljarder, leder en ny generation av höghastighetsblockkedjor som utmanar Ethereum.

Fyra angripare

Allt eftersom ryktet spreds och användarna vidtog åtgärder för att skydda sina tillgångar, stannade snatterierna. Experter tror att det fanns fyra angripare som utnyttjade en sårbarhet i Slope Finances kryptoplånböcker och tog sig av med en uppskattningsvis 4 miljoner dollar, fickbyte enligt industristandarder.

Ändå, rädsla för att Solana eller dess nätverk av partners hade äventyrats – teorier som snabbt avfärdades – sporrade Federa och hans motsvarigheter till en episod av krishantering. 

Det är en övning som blir viktig när antalet exploateringar ökar och protokollens integritet blir alltmer attackerad. Harmony, en annan Layer 1 blockchain, har kämpat för att ta itu med effekterna av ett hack på 100 miljoner dollar i juni. Kedjebryggor som Nomad – protokoll som låter användare skicka tokens mellan blockkedjor – är akut sårbara för attacker. Mer än $2B har stulits i 13 bedrifter, de flesta i år, enligt en kedjeanalysrapport.

Massiv Supply Chain Attack

"Under de tidiga timmarna av detta såg det ut som att det potentiellt var en ganska massiv supply chain-attack", sa Federa och noterade att en av de första rapporterna han hade hört var om en kollega som hade fått sina Solana- och Ethereum-plånböcker tömda. . 

"Vid den punkten flyttar begränsnings- och utredningsprocessen bortom något där Solana Foundation och Solana Labs ingenjörer arbetar med plånboksleverantörer på Solana-nätverket," fortsatte han, "och blir istället något där du måste slå larm och dra folk. från MetaMask in, folk från Coinbase in.” 

Enligt rapporter från The Defiant hanterade Solana exploateringen med en skicklig touch. 

Det första officiella svaret från Solana kom efter klockan 10. 2 augusti. 

”Ingenjörer från flera ekosystem, med hjälp av flera säkerhetsföretag, undersöker tömda plånböcker på Solana. Det finns inga bevis för att hårdvaruplånböcker har påverkats", twittrade Solana Status Twitter-kontot. "Den här tråden kommer att uppdateras när ny information blir tillgänglig." 

Erik Bernstein, president på Bernstein Crisis Management, sa att aspekter av Solanas svar var en lärobok. Den lade ut ett förvaringsuttalande som erkände att det fanns ett problem. Han sa att det gav dem tid att utarbeta en plan för att svara. 

När det var som mest hade det digitala "krigsrummet" som Solana Foundation inrättat nästan 130 personer. De visste att problemet inte var på protokollnivå, eftersom hårdvaruplånböcker hade besparats. Men de hade fortfarande enorma frågor att svara på, sa Federa. 

Berörda plånböcker

"Åtta tusen var både ett stort antal och ett mycket litet antal användare," sa han och syftade på antalet drabbade plånböcker, som sedan ökat till mer än 9,000 XNUMX. "Och frågan var i grund och botten, var den här sårbarhetsuppsättningen massiv och tvärkedjad och hade den inte utnyttjats ännu och angriparna var bara dåliga?" 

När forskare arbetade för att ta reda på vad som hade hänt kom uppdateringar från en mängd olika konton på Twitter, några till synes "officiella", andra inte: från Federa; från Slope; från Phantom, en konkurrerande plånbok vars användare också hade drabbats; från Solanas medgrundare Anatoly Yakovenko; från säkerhetsforskare i det tidigare nämnda ”krigsrummet”; från slumpmässiga kryptospårare. 

Berörda användare ombads att fylla i en onlineundersökning som skulle hjälpa forskare att hitta och korrigera sårbarheten. Alla andra uppmuntrades att flytta sina tillgångar till en hårdvaruplånbok.  

Bernstein applåderade de relevanta organisationerna för att de använde Twitter för att hålla sin "teknikkunniga, mycket digitalt inhemska" publik informerad. Men kören av röster "är inget vi någonsin råder en klient att göra." 

Gotcha Moment

"Jag säger dig, det är bra om du kan klara av det eftersom alla ser väldigt sammanhållna ut, och det får dig verkligen att se ut som att du delar så mycket information som möjligt," sa Bernstein. "Men det ger mig ångest. ... Det finns många möjligheter för människor att få vad de tror är ett gotcha-ögonblick eftersom en person har ramat in något annorlunda än en annan eller oskyldigt gjort ett misstag."

Federa sa att instinkten att dirigera all kommunikation genom en enda talesperson var en "Web2-företagsstrategi." 

”Solana är inte ett företag. Det är ett decentraliserat, öppen källkod, community-drivet mjukvaruprojekt. Så det finns ingen mer auktoritet som Anatoly eller jag själv eller någon av revisionsbyråerna hade jämfört med någon annan, sa han. "Det finns mycket information från andra säkerhetsforskare på Twitter som gruppen lärde sig genom att se dem på Twitter. Och om det funnits en kultur av att inte dela det och vänta på … ett officiellt svar, skulle det faktiskt ha gjort saker mycket långsammare och det skulle ha gjort det potentiellt svårare att fastställa den verkliga begränsade sårbarheten.” 

Inga sårbarheter

Även om flera Solana-plånboksleverantörer påverkades, tror experter nu att problemet började med Slope. I ett uttalande denna vecka sa Phantom att en utredning inte hade hittat några sårbarheter som kunde förklara denna användarmissbruk.

"Privat nyckelmaterial från dessa Slope-användare överfördes oavsiktligt av Slope-appen till en applikationsövervakningstjänst," sa Solana i ett pressmeddelande på måndagen, "men exakt hur hackaren fick eller avlyssnade denna information är fortfarande under utredning."

Aktivitet i kedjan

Slope sa på måndagen att det närmade sig slutet av sina "interna revisionsutredningar". Och TRM Lab, som anlitats av Slope för att spåra angriparnas aktivitet i kedjan, "sökte flera potentiella kunder". Slutligen var företaget i daglig kommunikation med amerikanska federala brottsbekämpande myndigheter. 

"Baserat på dessa diskussioner," sa Slope, "förblir vi hoppfulla."

Federa sa att varje kris är annorlunda. Ändå försöker han följa en enkel lekbok. 

"Det viktigaste är att inte kommunicera det du inte vet är sant och att hålla folk uppdaterade", sa han. "Även om en uppdatering är, 'Vi har inget att dela - ännu'."

Rättelse: Uppdaterad till korrekt datum i första stycket till 2 augusti från 7 augusti.