ソラナ財団が、$270 millionのドリフトエクスプロイトから数日後にセキュリティ刷新を発表

ソラナ財団は月曜日、分散型金融（DeFi）プラットフォームのDrift Protocolが、6か月にわたるソーシャルエンジニアリングキャンペーンの末に、北朝鮮の国家に関連する組織によって実行された2億7000万ドル規模のエクスプロイト被害を受けてからわずか5日後に、一連のセキュリティイニシアチブを発表した。

中核となるのはStrideで、Asymmetric Researchが主導する構造化された評価プログラムだ。SolanaのDeFiプロトコルを8つのセキュリティの柱に照らして評価し、その結果を公に公表する。さらに財団は、リアルタイムの危機対応に注力する、会員制のセキュリティ企業・研究者グループであるSolana Incident Response Network（SIRN）も導入した。

これらのイニシアチブは、Driftが露呈した問題の一部には対処するものの、実際に損失をもたらした仕組みには踏み込めていない。Driftのスマートコントラクトは侵害されておらず、コードは監査に合格していた。脆弱性は人間に起因していた。攻撃者は6か月をかけてDriftの貢献者との関係を構築し、悪意のあるコードリポジトリと偽のTestFlightアプリを通じてそれらの端末を侵害した。

Strideの下では、総ロック価値（TVL）が1000万ドルを超え、評価に合格したプロトコルは、Solana財団の助成金によって資金を賄う継続的な運用上のセキュリティとアクティブな脅威監視を受けられる。カバー範囲は、それぞれのプロトコルのリスクプロファイルに合わせて調整される。

TVLが1億ドルを超えるプロトコルに対しては、財団はさらに、形式的検証にも資金提供する。形式的検証とは、スマートコントラクトのあらゆる可能な実行経路をチェックして正しさを保証する、数学的手法だ。

Asymmetric Researchに加えて、創設メンバーにはOtterSec、Neodyme、Squads、そしてZeroShadowが含まれる。このネットワークはすべてのSolanaプロトコルで利用できるが、TVLによって優先順位が付けられる。

ただし、Strideの形式的検証は北朝鮮による攻撃を見抜けなかった。この攻撃では、侵害された端末を使ってmultisigの承認を取得し、その後、それをdurable nonce transactions（耐久性のあるノンス取引）に固定して、数週間後に実行した。

同様に、オンチェーン活動の24/7監視でも防げなかった。取引は設計上正当で、正規の管理アクションと見分けがつかなかったため、攻撃者がそれを使ってvaults（金庫）から資金を抜き取るまで気づけなかったのだ。この攻撃は、オンチェーン上の正しさとオフチェーンの人間の信頼との間にあるギャップを突いた。スマートコントラクトの監査も、監視ツールも、そのギャップをカバーするように作られていない。

しかしSIRNなら、対応に役立った可能性がある。オンチェーンのセキュリティ専門家のZachXBTは、ステーブルコイン発行者のCircle Internet（CRCL）が、攻撃開始後の6時間の間に、盗まれたドル連動型USDCのうち2億3000万ドル超を凍結できなかったとして批判した。

運用者、取引所、ステーブルコイン発行者へ橋渡しできる確立された関係を備えた専用のインシデント対応ネットワークがあれば、対応時間が短縮できたかもしれない。Wormholeのブリッジングと、Tornado Cashによる難読化（オブスケーション）を防ぐのに、それが十分に速かったかどうかは、未解決の問題だ。

財団は、「これらのプログラムは、基盤となる責任をプロトコル自身から移転するものではない」と、慎重に明記した。この一文は、Driftの事後検証（ポストモーテム）で、国家による攻撃の入口が個々の貢献者の端末だったことが明らかになった後では、受け止め方が変わる。

ソラナはすでに、ビルダー向けの無料セキュリティツールをいくつか提供している。脅威検知のHypernative、リアルタイム監視のRange Security、攻撃シミュレーションのNeodymeのRiverguardなどだ。