Solana enfrenta escrutinio tras el parche privado de una importante vulnerabilidad criptográfica

La Fundación Solana ha anunciado la corrección de una posible vulnerabilidad en la red que podría haber permitido la acuñación y retirada ilimitadas de monedas Token-2022 en la red. La fundación confirmó hoy que solucionó el problema en abril.

Según el anuncio, el desarrollador de software de Solana, Anza, recibió por primera vez un informe sobre la vulnerabilidad el 16 de abril y colaboró inmediatamente con otros desarrolladores importantes de la red, Jito y Firedancer, para evaluar el informe de vulnerabilidad.

Tras confirmar que era un problema real, los equipos trabajaron en un parche para abordar la cuestión. El informe añadió que firmas de seguridad blockchain, como Ottersec, Asymmetric Research y Neodyme, también proporcionaron apoyo y revisaron el parche antes de su implementación.

Curiosamente, el equipo descubrió un error similar en otra parte de la base de código mientras intentaba abordar el problema inicial y tuvo que desarrollar otro parche para solucionarlo también.

A pesar del retraso, la Fundación Solana y el equipo de Anza comenzaron a contactar a los validadores el 17 de abril y a distribuir el parche para que pudieran actualizar. Para las 20:00 UTC del 18 de abril, una supermayoría de la participación había adoptado el parche, lo que permitió a la Fundación anunciarlo públicamente en Discord.

¿Cuál es la vulnerabilidad?

El enfoque sigiloso para solucionar la vulnerabilidad ha planteado preguntas sobre su posible gravedad para la red. Según la fundación, el error permite a cualquier persona con la experiencia técnica crear pruebas arbitrarias que el programa ZK EIGamal Proof aceptará como válidas.

Este programa desempeña un papel clave en la ejecución de la transferencia confidencial Token-2022, ya que verifica si las pruebas de conocimiento cero que certifican la validez de los saldos encriptados en transacciones y cuentas son correctas.

Dijo:

"Un atacante sofisticado podría utilizar estos componentes no hash para desarrollar una prueba falsificada de una acción no autorizada que pase la verificación."

Sin embargo, la vulnerabilidad solo afecta a los tokens confidenciales Token-22, que es un estándar de token que no es común en Solana. Según Coingecko, la capitalización de mercado de las monedas Token-2022 en Solana es de solo 16,5 millones de dólares. Aun así, el error habría permitido a un atacante acuñar monedas Token-2022 ilimitadas o retirar cualquier moneda de este tipo de cualquier cuenta. Afortunadamente, no hay informes de explotación del error.

Los usuarios de criptomonedas critican la solución sigilosa de Solana

Mientras tanto, la decisión de la Fundación Solana de solucionar silenciosamente el problema antes de anunciarlo públicamente ha generado un debate sobre qué tan descentralizada es Solana. El fundador seudónimo de ETH Strategy, Cloutedmind, expresó su consternación por el incidente, afirmando:

"¿Estoy escuchando bien? Hubo un día cero en la mainnet de Solana y más del 70% de los validadores colaboraron en privado para actualizar y parchear el error crítico antes de que se hiciera público."

Algunos otros usuarios también parecen compartir una opinión similar, con una cuenta de X que incluso dijo que es posible que los validadores tomen los activos de los usuarios sin su conocimiento.

Sin embargo, muchos stakeholders de Solana y usuarios de criptomonedas han criticado esta opinión, señalando que así es como operan todas las redes descentralizadas. El CEO de Helius Labs, Mert Mumtaz, describió la sorpresa como absurda.

El copropietario de Solana, Anatoly Yakovenko, también añadió que los validadores de Ethereum también siguen el mismo proceso, aunque podría llevar más tiempo en Ethereum.

Dijo:

"Hermano, son las mismas personas para llegar al 70% en Ethereum. Todos los validadores de Lido (Chorus One, P2P, etc.), Binance, Coinbase y Kraken. Si Geth necesita implementar un parche, estaré encantado de coordinarlo para ellos."

Curiosamente, otros en la comunidad de criptomonedas han elogiado la proactividad de la Fundación Solana al solucionar el problema inmediatamente después de descubrirlo, mientras que un usuario compartió un enlace a noticias sobre desarrolladores de Bitcoin que solucionaron silenciosamente un error.