La Fondation Solana dévoile une refonte de la sécurité quelques jours après l’exploit de Drift de 270 millions de dollars

La Fondation Solana a annoncé, lundi, une série d’initiatives de sécurité, seulement cinq jours après que la plateforme de finance décentralisée (DeFi) Drift Protocol a subi un exploit de 270 millions de dollars mené par un groupe affilié à l’État nord-coréen à la suite d’une campagne d’ingénierie sociale de six mois.

L’élément central est Stride, un programme d’évaluation structuré mené par Asymmetric Research, qui évaluera les protocoles DeFi de Solana selon huit piliers de sécurité et publiera ses conclusions publiquement. La fondation a également introduit le Solana Incident Response Network (SIRN), un groupe fondé sur l’adhésion réunissant des sociétés de sécurité et des chercheurs, axé sur la réponse aux crises en temps réel.

Ces initiatives traitent une partie du problème mis en évidence par Drift, mais pas les mécanismes qui ont réellement causé la perte. Les contrats intelligents de Drift n’ont pas été compromis, et son code a passé des audits. La vulnérabilité était humaine : les attaquants ont passé six mois à nouer des relations avec des contributeurs de Drift et ont compromis leurs appareils via un dépôt de code malveillant et une fausse application TestFlight.

Dans le cadre de Stride, les protocoles dont la valeur totale immobilisée (TVL) dépasse 10 millions de dollars et qui passeront l’évaluation bénéficieront d’une sécurité opérationnelle continue et d’une surveillance active des menaces financées par des subventions de la Fondation Solana, avec une couverture ajustée au profil de risque de chaque protocole.

Pour les protocoles dont la TVL dépasse 100 millions de dollars, la fondation financera également la vérification formelle, une méthode mathématique qui vérifie chaque chemin d’exécution possible dans un contrat intelligent afin de garantir sa conformité.

En plus d’Asymmetric Research, les membres fondateurs incluent OtterSec, Neodyme, Squads et ZeroShadow. Le réseau est disponible pour tous les protocoles Solana, mais il est priorisé selon la TVL.

La vérification formelle de Stride, toutefois, n’aurait pas permis de détecter l’attaque nord-coréenne, qui a utilisé les appareils compromis pour obtenir des approbations multisig, lesquelles ont ensuite été verrouillées dans des transactions à nonce durables et exécutées plusieurs semaines plus tard.

Une surveillance 24/7 de l’activité onchain n’aurait pas non plus suffi, car les transactions étaient valides par conception et indiscernables des actions administratives légitimes jusqu’à ce qu’elles soient utilisées pour vider les coffres. L’attaque a exploité l’écart entre la correction onchain et la confiance humaine offchain : un écart qu’aucun audit de contrat intelligent ni aucun outil de monitoring n’est conçu pour couvrir.

Le SIRN, en revanche, aurait pu aider pour la réponse. ZachXBT, un expert de la sécurité onchain, a critiqué l’émetteur de stablecoins Circle Internet (CRCL) pour n’avoir pas gelé plus de 230 millions de dollars de son USDC adossé au dollar volé pendant une fenêtre de six heures après le début de l’attaque.

Un réseau dédié de réponse aux incidents, avec des relations établies pour relier les opérateurs, les bourses et les émetteurs de stablecoins, aurait peut-être réduit le temps de réponse. La question de savoir s’il aurait été assez rapide pour empêcher le bridging de Wormhole et l’obfuscation via Tornado Cash reste ouverte.

La fondation a pris soin de noter que les programmes « ne transfèrent pas la responsabilité sous-jacente hors des protocoles eux-mêmes », une formulation qui prend une autre tournure après que le postmortem de Drift a révélé que les appareils des contributeurs individuels étaient le point d’entrée d’une attaque menée par un État-nation.

Solana héberge déjà plusieurs outils de sécurité gratuits pour les développeurs, notamment Hypernative pour la détection des menaces, Range Security pour la surveillance en temps réel, et Riverguard de Neodyme pour la simulation d’attaques.