Solana стала одной из самых быстрорастущих сетей блокчейнов со смарт-контрактами с момента ее первого официального запуска в марте 2020 года.

Согласно данным DefiLlama, общая заблокированная стоимость (TVL) протоколов децентрализованного финансирования (DeFi) в сети выросла с почти 152 миллионов долларов в марте 2021 года до 8,08 миллиардов долларов на момент написания.

В то же время сеть также была подвержена нескольким сетевым проблемам и перебоям. Совсем недавно, 3 февраля, мост токенов Wormhole пострадал от эксплойта безопасности, кульминацией которого стала потеря 120 000 обернутых токенов Ether (wETH) на сумму более 375 миллионов долларов по текущей цене Ether (ETH).

Этот эксплуататор был самым большим до сих пор в 2022 году, и вторым по величине взломом Defi когда-либо после взлома Poly Network, где было сокращено более 600 миллионов долларов, когда было снижено трех разных сетей блокчан, когда мост Ethereum был скомпрометирован.

Wormhole — это протокол токен-моста, который соединяет несколько сетей блокчейнов, таких как Ethereum, Solana, Terra, BNB Smart Chain, Polygon, Avalanche и Oasis. Это позволяет пользователям отправлять и получать токены между этими сетями без необходимости централизованного обмена или утомительных процессов преобразования. В то время как завернутый эфир был единственным активом, затронутым этим эксплойтом, Certik, аудиторская фирма по смарт-контрактам, упомянула, что мост червоточины к сети блокчейна Terra может быть затронут той же уязвимостью, что и мост Solana.

Протокол токен-мост выпустил подробный отчет об инциденте, в котором отслеживается хронология взлома и все связанные с ним аспекты, включая аудиты безопасности, награды за ошибки и дорожную карту безопасности. Cointelegraph обсудил этот взлом с Максом Галкой, генеральным директором компании Elementus, занимающейся аналитикой данных блокчейна. Он сказал:

«Примерно за три часа до того, как эфир был взят из Wormhole, в кошелек, в котором в настоящее время хранятся украденные средства, была вложена меньшая транзакция из Tornado Cash — миксера, который анонимизирует транзакции. украденные средства».

Галка также упомянул, что, хотя очевидно, почему хакер в первую очередь экспериментировал с Tornado Cash, менее ясно, почему они использовали миксер для внесения средств точно в тот же кошелек перед выполнением крупного эксплойта.

Вскоре после этого 12 февраля Wormhole вместе с Immunefi запустила программу вознаграждения за обнаружение ошибок с вознаграждением в размере 10 миллионов долларов, которое охватывает смарт-контракты, веб-интерфейс пользователя (UI), узлы-хранители и интеграцию Wormhole. Это делает ее крупнейшей программой вознаграждения за обнаружение ошибок в криптовселенной, наравне с программой вознаграждения за обнаружение ошибок Maker DAO.

Jump Crypto, крипто-инвестиционное подразделение торговой фирмы Jump Trading и один из ведущих инвесторов, поддерживающих Wormhole, вмешался, чтобы «сделать членов сообщества единым целым». Венчурная компания заменила 120 000 ETH и заявила в своем посте в Твиттере в тот же день взлома, что фирма верит в многоцепочечное будущее и что Wormhole является важной инфраструктурой для этого будущего.

Проблемы безопасности с межцепочечной активностью

Виталик Бутерин, соучредитель Ethereum, написал на сессии Reddit AMA вместе с исследовательской группой Ethereum Foundation, где он сказал, что будущее технологии блокчейна — это мультичейн, а не кроссчейн. Бутерин объяснил это соображениями безопасности мостов и неродных токенов, уделив особое внимание вероятности атак 51%. Он сказал: «Всегда безопаснее хранить собственные активы Ethereum в Ethereum или собственные активы Solana в Solana, чем хранить собственные активы Ethereum в Solana или собственные активы Solana в Ethereum».

Мой аргумент в пользу того, почему будущее будет *многочейновым*, но не будет *межсетевым*: существуют фундаментальные ограничения безопасности мостов, которые пересекают несколько «зон суверенитета». Из https://t.co/3g1GUvuA3A: pic.Twitter.com/tEYz8vb59b

— vitalik.eth (@VitalikButerin) 7 января 2022 г.

Джагдип Сидху, главный технический директор Syscoin, сети блокчейнов с доказательством работы (PoW), которая «объединяется» с биткойнами, рассказал Cointelegraph далее об этом повествовании. Он сказал: «Он просто имеет в виду, что там, где есть блокчейн, в этой цепочке есть зона суверенитета, которая имеет свободную волю в отношении безопасности этого блокчейна. Например, в любое время блоки откатываются, все системы зависят от безопасность этой цепочки также откатывается.Поэтому при создании мостов между цепочками вы должны либо принять новую систему консенсуса, которая будет следить за откатами и реагировать на них, либо осторожно ждать возможности отката, в зависимости от значения перевод."

Сидху также сказал, что взлом червоточины выявил сложности создания межцепочечного обмена и моста, поскольку атака была разрешена только из-за внешнего фактора со стороны команды Соланы, которая отобразила определенную операцию в наследии кода консенсуса. Эта операция открыла лазейку в логике Wormhole, которой воспользовался хакер.

Несмотря на то, что этот конкретный взлом затронул кроссчейн-мост, примечательно, что технически это был эксплойт смарт-контракта, который существовал с тех пор, как существовала концепция смарт-контрактов. Галка заявила:

«История смарт-контрактов включает в себя довольно постоянный поток уязвимостей и взломов, начиная с самых первых дней существования Ethereum, когда The DAO подверглась атаке в 2016 году. В целом межсетевые бридж-контракты имеют большие балансы, что делает их главными целями. Исторически взлом смарт-контрактов был всегда. Я ожидаю, что это продолжится».

Коинтелеграф также обсудил этот аспект взлома с Антоном Буковым, соучредителем 1inch Network, агрегатора DEX, который упомянул, что причиной этого взлома была низкоуровневая ошибка смарт-контракта. Это было связано с механизмом, который Солана использовал для предварительно скомпилированных вызовов смарт-контрактов. Он отметил, что исправление ошибки было общедоступно в репозитории протокола взаимодействия на GitHub более чем за две недели до взлома.

Публично доступное исправление могло послужить сигналом для злоумышленника идентифицировать взлом. Буков также согласился с опасениями Бутерина по поводу межсетевых операций и заявил, что «межсетевые операции гораздо более опасны и уязвимы, чем любые другие операции с блокчейном».

С середины 2021 года было взломано не менее 5 мостов, злоумышленники смогли украсть более 1 миллиарда долларов. Никогда не недооценивайте важность аудита безопасности. Три взлома назад @VitalikButerin предупредил нас об опасностях кроссчейна: https://t.co/jvmLOIEQlE pic.twitter.com/bQoht0FNve

— Антон Буков ⚖️ (@k06a) 3 февраля 2022 г.

Сводные данные с нулевым разглашением

Несмотря на быстрый рост Solana за короткое время с момента ее запуска, сеть становится все более восприимчивой к проблемам по мере того, как все больше пользователей начинают присоединяться к ней. У сети было плохое начало года, когда в январе она столкнулась с шестью сбоями в работе сети, что вызвало большое разочарование у ее сообщества.

Сидху указал, что Solana, как и все другие альтернативные сети смарт-контрактов, использует монолитную архитектуру, которая не обеспечивает эффекта масштаба. В связи с этим, по мере того, как в сеть входит больше пользователей, плата и ресурсы для поддержания стабильности, безопасности и децентрализации сети будут увеличиваться.

Предлагая альтернативу этой возникающей проблеме, он сказал: «Лучший известный нам способ масштабирования — это модульная архитектура. Это то, к чему переходят Ethereum и некоторые другие блокчейны, такие как Syscoin, благодаря созданию отличных решений для масштабирования, таких как и накопительные пакеты на основе доказательства с нулевым разглашением».

Доказывая подробное решение этой проблемы, Сидху упомянул, что лучшим решением для перекрестных цепочек активов является использование доказательств с нулевым разглашением (ZK) в качестве лучшей альтернативы тому, чтобы пул денег опирался на внешний консенсус, такой как многосторонний протокол, который требует честного большинства внешних валидаторов. Такое использование ZK-доказательств заменит внешний консенсус доказательствами математической достоверности.

Тем не менее, он также добавил, что ни одно из решений не является таким безопасным, как использование надежного уровня 1. Он добавил: «Мост ZK — это многообещающее усовершенствование межсетевого моста, но я не думаю, что его следует использовать в качестве общего перекрестного соединения. -цепная экосистема DeFi, поскольку по определению она не может обеспечить такую ​​​​же безопасность, как простое использование безопасного уровня 1».

Буков отметил, что этот взлом может быть воспроизведен с помощью мостов и в других блокчейн-сетях:

«Исторически говоря, были случаи, когда одна сторона использовала код, а затем подражатели использовали этот первоначальный эксплойт. В 2017 году был взломан основной код ряда кошельков Ethereum с мультиподписью. В этом случае было совершено несколько последующих взломов другими участниками. используя ту же уязвимость».

Этот взлом может быть знаком для основных разработчиков интероперабельных мостовых протоколов и других сетей блокчейна смарт-контрактов, чтобы они с осторожностью относились к межсетевым смарт-контрактам и активам и работали над регулярными обновлениями, аудитами, наградами за ошибки и т. д., чтобы закрыть дорогостоящие лазейки, такие как эти в своей деятельности.

Источник