Vom dezentralen Finanzen (DeFI) bis hin zu Marktplätzen für digitale Kunst – dezentrale Applikationen, kurz DApps, haben ein breites Anwendungsspektrum. Sie gewinnen zunehmend an Bedeutung, weil immer mehr Nutzer*innen unabhängig von einzelnen Anbietern sein wollen. Mit DApps werden wichtige Daten und Code dezentral in einem Netzwerk ausgeführt. Dies wird mithilfe von Smart Contracts realisiert, die im Hintergrund von DApps laufen. Diese programmierten Verträge regeln beispielsweise den Kauf digitaler Kunstwerke, indem sie das Ergebnis einer Transaktion automatisch in unveränderlichen Blöcken auf einer Blockchain ohne Eingriff Dritter verschlüsseln.
Eine der bekanntesten öffentlichen Blockchains für Smart Contracts ist Ethereum. Doch auch Solana gewinnt zunehmend an Popularität. Im Vergleich zu Ethereum zeichnet sich diese Blockchain durch ihre „zustandslose“ Architektur aus, die sie sehr schnell, skalierbar und kostengünstig macht. Allerdings hat diese Technologie auch ihre Schattenseiten: Sie eröffnet neue, spezifische Angriffsmöglichkeiten auf Solana, für die es bislang nur wenige Abwehrmechanismen gibt. Tatsächlich haben bereits Angriffe auf Smart Contracts in Solana beträchtliche Verluste von Vermögenswerten verursacht. So beispielsweise beim berühmten Wormhole-Hack im Februar 2022, bei dem 320 Millionen US-Dollar verloren gingen.
Neue Analysetechnik benötigt keinen Quellcode
Um die Solana-Blockchain sicherer zu machen, haben die CASA-Principal Investigator Prof. Dr. Lucas Davi (UDE) und Prof. Dr. Ghassan Karame (RUB) mit ihren Kollegen dazu beigetragen, eine Lösung zur Erkennung von Sicherheitslücken in der Solana-Blockchain zu entwickeln. Ihr Ansatz basiert auf Fuzz-Testing, bei dem sie die Smart Contracts mit einer großen Anzahl von Eingaben konfrontieren, um Rückschlüsse auf die Struktur der Codes zu ziehen. „Als bislang einzige Lösung für Solana arbeiten unsere Analysetechniken direkt mit dem Binärcode der Smart Contracts und können Solana-spezifische Programmierfehler aufspüren“, erklärt Prof. Dr. Lucas Davi. „Wir benötigen also keinen Quellcode, auf den man bei Solana meist keinen Zugriff hat.“
Mit Hilfe ihrer Testmethode haben die Forschenden die bislang umfangreichste Sicherheitsanalyse im Hauptnetzwerk von Solana durchgeführt. Sie untersuchten 6049 Smart Contracts und fanden in 52 Programmen Fehler. 14 Bugs wurden als schwerwiegend eingestuft und könnten potenziell von Hackern ausgenutzt werden. Die Solana Foundation wurde über diese Schwachstellen informiert. Im November 2023 stellen die Forscher ihre Lösung auf der Conference on Computer and Communications Security, kurz CCS, vor, die vom 26. bis 30. November 2023 in Kopenhagen stattfindet.
Originalveröffentlichung
Smolka, Sven; Giesen, Jens-Rene; Winkler, Pascal; Draissi, Oussama; Davi, Lucas; Karame, Ghassan; Pohl, Klaus: Fuzz on the Beach: Fuzzing Solana Smart Contracts. In: Proceedings of the 2023 ACM SIGSAC conference on Computer & communications security. Kopenhagen, Denmark 2023.
Allgemeiner Hinweis: Mit einer möglichen Nennung von geschlechtszuweisenden Attributen implizieren wir alle, die sich diesem Geschlecht zugehörig fühlen, unabhängig vom biologischen Geschlecht.
