本文回顾了Solana生态系统中近期发生的多起黑客攻击事件，分析了这些攻击的共同特征和造成的损失，并提出了相应的预防措施。文章重点强调了缺失帐户验证导致的损失，以及如何通过实时威胁监测和安全审计技术来保护智能合约的安全。
自一年前以来，Solana 生态系统经历了超级快速的增长，同时目睹了多个黑客攻击（涉及 Wormhole、CashioApp、CremaFinance、Nirvana 和 Slope Wallet），这些攻击共造成了近 4 亿美元的损失。
重要的是，这些攻击（除了 Slope Wallet）大多数是由于智能合约漏洞，即链上协议中的编码缺陷：
在本文中，我们回顾这些攻击的本质，并旨在找到有效的解决方案，以防止未来发生此类攻击。
这些黑客攻击有什么共同点？
1. 几乎所有攻击（除了 Slope Wallet）都创建了一个或多个假账户
2. 所有攻击都涉及多个交易
- Wormhole：整个攻击完成需要 六笔交易 ： 第一笔交易(创建 第一个假 sysvar 账户), 最后一笔交易 (调用 complete_wrapped)
- CashioApp — 整个攻击需要 超过十笔交易 从创建所有 假账户 到发送 最终攻击交易
- CremaFinance — 每次攻击至少需要 三笔交易：创建一个 假tick账户，部署 闪电贷程序，并启动 偷取费用的攻击；此外，黑客 重复发起了10多笔闪电贷交易 以从不同的代币池中盗取
- Nirvana — 攻击至少需要 两笔交易：部署 一个构造的闪电贷接收程序，并调用 Solend 闪电贷
- Slope Wallet — 整个攻击导致超过 9,000 个钱包被掏空，涉及 超过 9,000 条 SOL 或 SPL 代币转账交易
3. 所有攻击持续了至少几分钟（或甚至几小时）
4. 最大损失源于缺少账户验证
前三次攻击（Wormhole、CashioApp 和 CremaFinance）都根源于缺少适当的账户验证。
巧合或者不是，这些攻击也导致了最大的经济损失。
5. 闪电贷涉及两次攻击
CremaFinance 和 Nirvana 的攻击都涉及直接的闪电贷交易，并且都是通过 Solend。
在 CremaFinance 中，闪电贷用于引导存款流动性。
在 Nirvana 中，其内部价格预言机被闪电贷操控。
如何防止未来类似攻击？
基于以上总结的这些攻击的特点，我们建议以下安全实践：
1. 部署前：验证所有输入账户到智能合约
在编写 Solana 智能合约时，始终牢记，所有输入都可以被攻击者伪造，包括所有账户和外部程序（即用户钱包账户、PDA 账户和其他智能合约）。
Solana 的 编程模型将代码和数据解耦，因此程序中使用的所有账户必须作为数据输入传递。
在几乎所有情况下，你应该验证：
- 账户所有权
- 账户签名者
- 账户之间的关系（或逻辑约束）
根据协议逻辑，你还应该检查：
- 是否有任何内部价格预言机可以被闪电贷操控（大额转账），并添加约束以防止不一致
- 是否有任何异常状态（例如费用或奖励）可以被计算，并添加约束以防止不一致
2. 部署后：主动使用实时威胁监控
由于所有这些攻击都涉及多个交易，持续时间至少为几分钟或几小时，因此可以主动早期检测可疑交易，并在其中期减缓攻击。
这是 Solana 的独特属性，允许链上威胁监控技术帮助 有效防止和停止安全攻击 作为防御解决方案（而不是仅仅被动观察不可恢复的攻击）：
原则上，威胁监控解决方案可以帮助：
- 监测大型 SOL 或 SPL 代币转账
- 监测针对你的智能合约的闪电贷交易
- 监测通过升级依赖程序的潜在 rug pulls
- 监测异常状态（例如，计算的费用）
- 监测往返交易（例如，在单笔交易中存款-索赔-提款）
- 监测来自同一签名者的重复交易
- … 针对协议特定属性的任何自定义监测
如果任何监测到的交易导致假账户或在后续攻击中使用的异常状态，早期检测将有助于阻止该攻击。
3. sec3 Pro：端到端的预部署和后部署安全
sec3 Pro ( https://pro.sec3.dev) 提供一站式、端到端的解决方案，以保护 Solana 项目。
预部署：sec3 X-ray 自动审计可以实时检查 50 多种 Solana 智能合约漏洞，由一个推理引擎驱动，能够推断账户关系并精准识别任何缺失的账户验证。它还包括针对闪电贷漏洞和异常状态的高级检查功能。
后部署：sec3 WatchTower 提供了一个 Solana 智能合约的就地安全监控服务。它可以实时检测可疑交易，并防止和停止安全攻击。更多细节可见于 宣布 sec3 WatchTower：智能合约的智能监控.
关于 sec3（前称 Soteria）
sec3 是一家安全研究公司，为数百万用户的 Solana 项目做好准备。sec3 的 Launch Audit 是一个严格的、由研究人员主导的代码检查，研究并认证主网级智能合约；sec3 的持续审计软件平台 X-ray 与 GitHub 集成，逐步扫描拉取请求，以帮助项目在部署前加固代码；sec3 的后部署安全解决方案 WatchTower 确保资金安全。sec3 旨在为 Web3 项目构建基于技术的可扩展解决方案，以确保协议在扩展过程中的安全。
想了解更多关于 sec3 的信息，请访问 https://www.sec3.dev
