Solana、主要な暗号学的欠陥の秘密修正により審査を受ける

Solana Foundationは、ネットワーク上で無制限のToken-2022コインのミントと引き出しを可能にする可能性のある潜在的な脆弱性の修正を発表した。Foundationは本日、4月にこの問題を修正したことを確認した。

announcementによると、Solanaのソフトウェア開発者であるAnzaは4月16日にまず脆弱性の報告を受け、直ちにネットワーク上の他の主要な開発者であるJitoおよびFiredancerと協力して、脆弱性報告を評価した。

それが実際の問題であることを確認した後、チームは問題に対処するためのパッチの開発に取り組んだ。報告書によると、Ottersec、Asymmetric Research、Neodymeなどのブロックチェーンセキュリティ企業もサポートを提供し、展開前にパッチをレビューした。

興味深いことに、チームは最初の問題に対処しようとしている際に、コードベースの別の部分で同様のバグを発見し、それを修正するための別のパッチを開発しなければならなかった。

遅延にもかかわらず、Solana FoundationとAnzaチームは4月17日までにバリデーターに連絡を開始し、アップグレードできるようにパッチを配布した。4月18日20:00 UTCまでに、ステークの過半数がパッチを採用し、FoundationがDiscord上で公に発表できるようになった。

脆弱性とは何か？

脆弱性を修正するための隠密なアプローチは、ネットワークに対するその潜在的な深刻さについて疑問を投げかけている。Foundationによると、このバグにより、技術的な専門知識を持つ誰でも、ZK EIGamal Proofプログラムが有効と受け入れる任意の証明を作成できる。

このプログラムは、Token-2022の機密転送を実行する際に重要な役割を果たし、トランザクションやアカウント内の暗号化された残高の有効性を証明するゼロ知識証明が正しいかどうかを検証する。

同社は次のように述べています：

「洗練された攻撃者は、これらのハッシュされていないコンポーネントを使用して、検証を通過する不正な行為の偽造証明を開発できる。」

しかし、この脆弱性はToken-22の機密トークンにのみ影響を与える。Token-22はSolanaでは一般的ではないトークン標準である。Coingeckoによると、Solana上のToken-2022コインの時価総額はわずか1,650万ドルである。それでも、このバグにより攻撃者は無制限のToken-2022コインをミントしたり、任意のアカウントからこのタイプのコインを引き出したりすることが可能だった。幸い、このバグの悪用に関する報告はない。

暗号通貨ユーザー、Solanaの隠密な修正を批判

一方、Solana Foundationが公に発表する前に問題を静かに修正した決定は、Solanaがどれほど分散型であるかについて議論を巻き起こした。ETH Strategyの匿名創設者であるCloutedmindは、この出来事に対して懸念を表明し、次のように述べている：

「これは正しいのか？Solanaメインネットにゼロデイ脆弱性があり、>70%のバリデーターが、それが公になる前に秘密裏に協力して重要なバグをアップグレードおよび修正した。」

他の一部のユーザーも同様の見解を持っているようで、あるXアカウントでは、バリデーターがユーザーの知識なしに資産を没収する可能性があるとも言われている。

しかし、多くのSolanaステークホルダーや暗号通貨ユーザーはこの意見に批判的で、これがすべての分散型ネットワークの運用方法であると指摘した。Helius LabsのCEOであるMert Mumtazは、この驚きを不合理だと表現した。

Solanaの共同創設者であるAnatoly Yakovenkoも、Ethereumのバリデーターも同じプロセスに従っており、Ethereumでは時間がかかるかもしれないが、と付け加えた。

彼は次のように述べています：

「兄さん、Ethereumで70%に達するのは同じ人々だ。すべてのLidoバリデーター（Chorus One、P2Pなど）、Binance、Coinbase、Kraken。Gethがパッチをプッシュする必要がある場合、彼らのために調整するのは喜んでやるよ。」

興味深いことに、暗号通貨コミュニティの他の人々は、問題を発見した直後に即座に修正したSolana Foundationの積極性を称賛し、あるユーザーはビットコインの開発者がバグを密かに修正したニュースへのリンクを共有した。