Solana sotto scrutinio dopo la patch privata di una grave vulnerabilità crittografica

La Solana Foundation ha annunciato la risoluzione di una potenziale vulnerabilità sulla rete che avrebbe potuto consentire la coniazione e il prelievo illimitati di monete Token-2022. La fondazione ha confermato oggi di aver risolto il problema ad aprile.

Secondo l'annuncio, lo sviluppatore di software Solana Anza ha ricevuto per la prima volta un rapporto sulla vulnerabilità il 16 aprile e ha immediatamente collaborato con altri principali sviluppatori sulla rete, Jito e Firedancer, per valutare il rapporto sulla vulnerabilità.

Dopo aver confermato che si trattava di un problema reale, i team hanno lavorato a una patch per risolverlo. Il rapporto ha aggiunto che società di sicurezza blockchain, come Ottersec, Asymmetric Research e Neodyme, hanno fornito supporto e revisionato la patch prima del suo deploy.

Curiosamente, il team ha scoperto un bug simile in un'altra parte del codebase mentre cercava di risolvere il problema iniziale e ha dovuto sviluppare un'altra patch per correggerlo.

Nonostante il ritardo, la Solana Foundation e il team di Anza hanno iniziato a contattare i validatori il 17 aprile e a distribuire la patch a loro in modo che potessero effettuare l'aggiornamento. Alle 20:00 UTC del 18 aprile, una supermaggioranza dello stake aveva adottato la patch, permettendo alla Foundation di annunciarla pubblicamente su Discord.

Cos'è la vulnerabilità?

L'approccio stealth nella risoluzione della vulnerabilità ha sollevato domande sulla sua potenziale gravità per la rete. Secondo la fondazione, il bug consente a chiunque abbia le competenze tecniche di creare prove arbitrarie che il programma ZK EIGamal Proof accetterà come valide.

Questo programma svolge un ruolo chiave nell'esecuzione del trasferimento confidenziale Token-2022, verificando se le prove a conoscenza zero che certificano la validità dei saldi crittografati nelle transazioni e nei conti sono corrette.

Ha dichiarato:

“Un attaccante sofisticato potrebbe utilizzare questi componenti non hashati per sviluppare una prova falsificata di un'azione non autorizzata che supera la verifica.”

Tuttavia, la vulnerabilità colpisce solo i token confidenziali Token-22, che è uno standard di token non comune su Solana. Secondo Coingecko, la capitalizzazione di mercato delle monete Token-2022 su Solana è di soli 16,5 milioni di dollari. Tuttavia, il bug avrebbe permesso a un attaccante di coniare monete Token-2022 illimitate o prelevare qualsiasi moneta di questo tipo da qualsiasi account. Fortunatamente, non ci sono rapporti di sfruttamento del bug.

Gli utenti crypto criticano la risoluzione stealth di Solana

Nel frattempo, la decisione della Solana Foundation di risolvere silenziosamente il problema prima di annunciarlo pubblicamente ha innescato un dibattito su quanto sia decentralizzata Solana. Il fondatore pseudonimo di ETH Strategy, Cloutedmind, ha espresso costernazione per l'incidente, affermando:

“Sto sentendo bene? C'era un zero-day su Solana mainnet e >70% dei validatori ha collaborato privatamente per aggiornare e applicare la patch al bug critico prima che venisse reso pubblico.”

Alcuni altri utenti sembrano condividere una visione simile, con un account X che dice persino che è possibile per i validatori prendere gli asset degli utenti senza la loro conoscenza.

Tuttavia, molti stakeholder di Solana e utenti cripto hanno criticato questa opinione, notando che questo è il modo in cui operano tutte le reti decentralizzate. Il CEO di Helius Labs, Mert Mumtaz, ha descritto la sorpresa come assurda.

Il co-fondatore di Solana, Anatoly Yakovenko, ha anche aggiunto che i validatori su Ethereum seguono lo stesso processo, anche se potrebbe richiedere più tempo su Ethereum.

Ha dichiarato:

“Fratello, sono le stesse persone che raggiungono il 70% su Ethereum. Tutti i validatori di Lido (Chorus One, P2P, ecc.), Binance, Coinbase e Kraken. Se Geth deve spingere una patch, sarò felice di coordinarmi per loro.”

Curiosamente, altri membri della comunità crypto hanno elogiato la proattività della Solana Foundation nel risolvere il problema immediatamente dopo averlo scoperto, mentre un utente ha condiviso un link a una notizia secondo cui gli sviluppatori di Bitcoin avrebbero risolto segretamente un bug.