Ressort Presse

• von Birgit Kremer
• 31.10.2023

Mit einer neuen Analysemethode identifizierte ein Forschungsteam von paluno – The Ruhr Institute for Software Technology an der UDE mehrere Schwachstellen im Solana-Netzwerk.

Solana ist eine schnell wachsende Blockchain, die es ermöglicht, dezentrale Apps (DApps) zu entwickeln und auf den Markt zu bringen. Sie zeichnet sich durch Skalierbarkeit und Schnelligkeit aus, birgt aber auch spezielle Sicherheitsrisiken, für die es bislang nur wenige Abwehrmechanismen gibt. Tatsächlich haben bereits Angriffe auf Solana beträchtliche Schäden verursacht. So z.B. der berühmte Wormhole-Hack im Februar 2022, der zu Vermögensverlusten in Höhe von 320 Millionen US-Dollar führte.

Um die Solana-Blockchain sicherer zu machen, haben die paluno-Teams von Prof. Dr. Lucas Davi und Prof. Dr. Klaus Pohl gemeinsam mit Prof. Dr. Ghassan Karame von der Ruhr-Universität Bochum eine Lösung entwickelt, mit der sich Sicherheitslücken in der Solana-Blockchain aufdecken lassen. Ihr Ansatz basiert auf Fuzz-Testing: Die Smart Contracts, die im Hintergrund der DApps laufen, werden hierbei mit einer großen Anzahl von Eingaben konfrontiert, um Rückschlüsse auf die Struktur der Codes zu ziehen. „Als bislang einzige Lösung für Solana arbeiten unsere Analysetechniken direkt mit dem Binärcode der Smart Contracts und können Solana-spezifische Programmierfehler aufspüren“, erklärt Prof. Dr. Lucas Davi. „Wir benötigen also keinen Quellcode, auf den man bei Solana meist keinen Zugriff hat.“

Mit Hilfe ihrer Testmethode haben die Forschenden die bislang umfangreichste Sicherheitsanalyse im Hauptnetzwerk von Solana durchgeführt. Sie untersuchten 6049 Smart Contracts und fanden in 52 Programmen Fehler. 14 Bugs wurden als schwerwiegend eingestuft und könnten potenziell von Hackern ausgenutzt werden. Die Solana Foundation wurde über diese Schwachstellen informiert.

Publikation: https://arxiv.org/abs/2309.03006
Mehr: https://paluno.uni-due.de/aktuelles/news-insights/artikel/sicherheitsluecken-im-solana-netzwerk-aufgedeckt