Solana steht nach einem privaten Patch eines schwerwiegenden kryptografischen Fehlers unter Beobachtung

Die Solana Foundation hat die Behebung einer potenziellen Sicherheitslücke im Netzwerk angekündigt, die es Angreifern ermöglicht hätte, Token-2022-Münzen unbegrenzt zu prägen und abzuheben. Die Stiftung bestätigte heute, dass das Problem bereits im April behoben wurde.

Laut der Ankündigung erhielt der Solana-Softwareentwickler Anza am 16. April erstmals einen Bericht über die Sicherheitslücke und arbeitete umgehend mit anderen wichtigen Entwicklern im Netzwerk, Jito und Firedancer, zusammen, um den Sicherheitsbericht zu bewerten.

Nach Bestätigung, dass es sich um ein echtes Problem handelte, arbeiteten die Teams an einem Patch zur Behebung der Lücke. Der Bericht fügte hinzu, dass Blockchain-Sicherheitsfirmen wie Ottersec, Asymmetric Research und Neodyme ebenfalls Unterstützung leisteten und den Patch vor dessen Einsatz überprüften.

Interessanterweise entdeckte das Team bei der Behebung des ursprünglichen Problems einen ähnlichen Fehler in einem anderen Teil der Codebasis und musste daher einen weiteren Patch entwickeln, um auch diesen zu beheben.

Trotz der Verzögerung wandten sich die Solana Foundation und das Anza-Team bis zum 17. April an Validatoren und verteilten das Patch, damit diese ein Upgrade durchführen konnten. Bis 20:00 Uhr UTC am 18. April hatte eine Supermajorität des Stakes das Patch übernommen, sodass die Stiftung es öffentlich auf Discord bekanntgeben konnte.

Was ist die Sicherheitslücke?

Der diskrete Ansatz zur Behebung der Sicherheitslücke wirft Fragen hinsichtlich ihrer potenziellen Schwere für das Netzwerk auf. Laut der Stiftung ermöglicht der Fehler jedem mit entsprechender technischer Expertise, beliebige Beweise zu erstellen, die das ZK-EIGamal-Beweisprogramm als gültig akzeptiert.

Dieses Programm spielt eine Schlüsselrolle bei der Ausführung des vertraulichen Transfers von Token-2022, da es überprüft, ob die Zero-Knowledge-Beweise, die die Gültigkeit verschlüsselter Guthaben in Transaktionen und Konten zertifizieren, korrekt sind.

Es heißt:

„Ein fortgeschrittener Angreifer könnte diese nicht gehashten Komponenten nutzen, um einen gefälschten Beweis für eine unbefugte Aktion zu entwickeln, der die Verifizierung besteht.“

Die Sicherheitslücke betrifft jedoch ausschließlich Token-22-Vertraulichkeitstoken, einen Token-Standard, der auf Solana nicht weit verbreitet ist. Laut Coingecko beträgt die Marktkapitalisierung von Token-2022-Münzen auf Solana lediglich 16,5 Millionen US-Dollar. Dennoch hätte der Fehler einem Angreifer ermöglicht, unbegrenzt Token-2022-Münzen zu prägen oder beliebige Münzen dieses Typs von jedem Konto abzuheben. Zum Glück gibt es keine Berichte über einen erfolgreichen Missbrauch dieser Sicherheitslücke.

Krypto-Nutzer kritisieren Solanas diskrete Reparatur

In der Zwischenzeit hat die Entscheidung der Solana Foundation, das Problem stillschweigend zu beheben, bevor es öffentlich bekannt gegeben wurde, eine Debatte darüber ausgelöst, wie dezentral Solana tatsächlich ist. Der pseudonyme Gründer von ETH Strategy, Cloutedmind, äußerte Bestürzung über den Vorfall und erklärte:

„Habe ich das richtig gehört? Es gab ein Zero-Day-Problem im Solana-Mainnet, und über 70 % der Validatoren haben sich heimlich darauf geeinigt, das kritische Problem zu patchen, bevor es überhaupt öffentlich bekannt wurde.“

Einige andere Nutzer scheinen eine ähnliche Ansicht zu vertreten; ein X-Account namens einer X-Konto sagte sogar, es sei möglich, dass Validatoren Vermögenswerte der Nutzer ohne deren Wissen an sich nehmen.

Viele Solana-Stakeholder und Krypto-Nutzer haben diese Meinung jedoch kritisiert und darauf hingewiesen, dass dies so funktioniert, wie alle dezentralen Netzwerke operieren. Der CEO von Helius Labs, Mert Mumtaz, bezeichnete die Überraschung als absurd.

Solana-Mitbegründer Anatoly Yakovenko fügte hinzu, dass auch Validatoren auf Ethereum demselben Prozess folgen, auch wenn dies auf Ethereum möglicherweise länger dauert.

Er sagte:

„Bro, es sind dieselben Akteure, die auch bei Ethereum auf 70 % kommen. Alle Lido-Validatoren (Chorus One, P2P usw.), Binance, Coinbase und Kraken. Wenn Geth ein Patch einspielen muss, bin ich gerne bereit, dafür zu koordinieren.“

Interessanterweise haben andere in der Krypto-Community die Proaktivität der Solana Foundation gelobt, das Problem sofort nach seiner Entdeckung behoben zu haben, während ein Nutzer einen Link zu einer Nachricht über Bitcoin-Entwickler teilte, die heimlich einen Fehler behoben haben.