Solana enfrenta escrutínio após patch privado de falha criptográfica importante

A Fundação Solana anunciou a correção de uma vulnerabilidade potencial na rede que poderia ter permitido a cunhagem e retirada ilimitadas de moedas Token-2022 na rede. A fundação confirmou hoje que corrigiu o problema em abril.

De acordo com o anúncio, o desenvolvedor de software da Solana, Anza, recebeu pela primeira vez um relatório da vulnerabilidade em 16 de abril e colaborou imediatamente com outros desenvolvedores principais da rede, Jito e Firedancer, para avaliar o relatório de vulnerabilidade.

Após a confirmação de que era um problema real, as equipes trabalharam em um patch para resolver a questão. O relatório acrescentou que empresas de segurança blockchain, como Ottersec, Asymmetric Research e Neodyme, também forneceram suporte e revisaram o patch antes de sua implantação.

Curiosamente, a equipe descobriu um bug semelhante em outra parte da base de código ao tentar resolver o problema inicial e precisou desenvolver outro patch para corrigi-lo também.

Apesar do atraso, a Fundação Solana e a equipe da Anza começaram a entrar em contato com validadores até 17 de abril e a distribuir o patch para que eles possam atualizar. Até 20h00 UTC em 18 de abril, uma supermaioria da participação havia adotado o patch, permitindo que a Fundação anunciasse publicamente no Discord.

Qual é a vulnerabilidade?

A abordagem discreta para corrigir a vulnerabilidade levantou questões sobre sua potencial gravidade para a rede. De acordo com a fundação, o bug permite que qualquer pessoa com a expertise técnica crie provas arbitrárias que o programa ZK EIGamal Proof aceitará como válidas.

Este programa desempenha um papel fundamental na execução da transferência confidencial Token-2022, pois verifica se as provas de conhecimento zero que certificam a validade dos saldos criptografados em transações e contas estão corretas.

Ela disse:

“Um atacante sofisticado poderia usar esses componentes não hash para desenvolver uma prova forjada de uma ação não autorizada que passe pela verificação.”

No entanto, a vulnerabilidade afeta apenas os tokens confidenciais Token-22, que é um padrão de token que não é comum na Solana. De acordo com a Coingecko, a capitalização de mercado das moedas Token-2022 na Solana é de apenas US$ 16,5 milhões. Ainda assim, o bug teria permitido que um atacante cunhasse moedas Token-2022 ilimitadas ou retirasse qualquer moeda desse tipo de qualquer conta. Felizmente, não há relatos de exploração do bug.

Usuários de criptomoedas criticam a correção discreta da Solana

Enquanto isso, a decisão da Fundação Solana de corrigir silenciosamente o problema antes de anunciá-lo publicamente provocou um debate sobre o quão descentralizada é a Solana. O fundador pseudônimo da ETH Strategy, Cloutedmind, expressou consternação com o incidente, afirmando:

“Estou ouvindo isso direito? Havia uma vulnerabilidade zero-day na mainnet da Solana e mais de 70% dos validadores coludiram privatamente para atualizar e corrigir o bug crítico antes mesmo de ser tornado público.”

Alguns outros usuários também parecem compartilhar uma visão semelhante, com uma conta no X dizendo até mesmo que é possível que os validadores tomem os ativos dos usuários sem o seu conhecimento.

No entanto, muitos stakeholders da Solana e usuários de criptomoedas criticaram essa opinião, observando que é assim que todas as redes descentralizadas operam. O CEO da Helius Labs, Mert Mumtaz, descreveu a surpresa como absurda.

O co-fundador da Solana, Anatoly Yakovenko, também acrescentou que os validadores na Ethereum também seguem o mesmo processo, mesmo que possa demorar mais na Ethereum.

Ele disse:

“Cara, são as mesmas pessoas que chegam a 70% no Ethereum. Todos os validadores da Lido (Chorus One, P2P, etc.), Binance, Coinbase e Kraken. Se a Geth precisar lançar um patch, ficarei feliz em coordenar para eles.”

Curiosamente, outros na comunidade de criptomoedas elogiaram a proatividade da Fundação Solana em corrigir o problema imediatamente após descobri-lo, enquanto um usuário compartilhou um link para notícias de desenvolvedores do Bitcoin corrigindo secretamente um bug.