Solana基金会周一宣布了一系列安全举措，而就在五天前，去中心化金融 (DeFi) 平台 Drift Protocol 遭受了朝鲜国家关联组织长达六个月的社会工程攻击，导致其损失高达 2.7 亿美元。
核心项目是Stride，这是一个由Asymmetric Research主导的结构化评估项目，它将根据八大安全支柱对Solana DeFi协议进行评估，并公开评估结果。该基金会还推出了Solana事件响应网络（SIRN），这是一个由安全公司和研究人员组成的会员制组织，专注于实时危机响应。
这些举措解决了 Drift 暴露出的部分问题，但并未触及造成损失的根本机制。Drift 的智能合约并未遭到破坏，其代码也通过了审计。漏洞在于人为因素：攻击者花了六个月时间与 Drift 的贡献者建立联系，并通过恶意代码库和伪造的 TestFlight 应用入侵了他们的设备。
根据 Stride 计划，总锁定价值 (TVL) 超过 1000 万美元且通过评估的协议将获得由Solana基金会拨款资助的持续运营安全和主动威胁监控，覆盖范围根据每个协议的风险状况进行调整。
对于 TVL 超过 1 亿美元的协议，该基金会还将资助形式化验证，这是一种数学方法，用于检查智能合约中每一种可能的执行路径，以保证其正确性。
除了 Asymmetric Research 之外，创始成员还包括 OtterSec、Neodyme、Squads 和 ZeroShadow。该网络对所有Solana协议开放，但优先级由 TVL 决定。
然而，Stride 的正式验证却无法发现朝鲜的攻击，朝鲜利用被入侵的设备获取多重签名批准，然后将这些批准锁定到持久 nonce 交易中，并在数周后执行。
即使全天候监控链上活动也无济于事，因为这些交易本身是合法的，并且在被用于盗空金库之前，与合法的管理操作并无二致。此次攻击利用了链上正确性与链下用户信任之间的鸿沟，而任何智能合约审计或监控工具都无法弥补这一鸿沟。
然而，SIRN本可以协助应对此次攻击。链上安全专家ZachXBT批评稳定币发行商Circle Internet (CRCL)在攻击发生后的六个小时内未能冻结超过2.3亿美元的被盗USDC （与美元挂钩）。
建立专门的事件响应网络，并与桥接运营商、交易所和稳定币发行方建立稳固的合作关系，或许可以缩短响应时间。但这种响应速度是否足以阻止“虫洞”桥接和通过“龙卷风现金”进行的混淆操作，目前尚无定论。
该基金会谨慎地指出，这些程序“并没有将根本责任从协议本身转移出去”，但在 Drift 事件的调查显示个人贡献者设备是国家级攻击的入口点之后，这句话的含义就有所不同了。
Solana已经为开发者提供了几个免费的安全工具，包括用于威胁检测的 Hypernative、用于实时监控的 Range Security 以及用于攻击模拟的 Neodyme 的 Riverguard。
