Solana подвергается проверке после обнаружения частной уязвимости в криптографическом алгоритме

Фонд Solana объявил об устранении потенциальной уязвимости в сети, которая могла позволить неограниченное создание и вывод монет Token-2022 в сети. Фонд подтвердил сегодня, что исправил проблему в апреле.

Согласно объявлению, разработчик программного обеспечения Solana компания Anza впервые получила сообщение об уязвимости 16 апреля и немедленно сотрудничала с другими крупными разработчиками в сети, Jito и Firedancer, для оценки отчета об уязвимости.

После подтверждения того, что это была реальная проблема, команды работали над патчем для устранения проблемы. В отчете добавлено, что компании по безопасности блокчейна, такие как Ottersec, Asymmetric Research и Neodyme, также оказали поддержку и проверили патч перед его развертыванием.

Интересно, что команда обнаружила аналогичную ошибку в другой части кодовой базы при попытке устранить первоначальную проблему и ей пришлось разработать еще один патч для ее исправления.

Несмотря на задержку, Фонд Solana и команда Anza начали связываться с валидаторами к 17 апреля и распространять среди них патч для обновления. К 20:00 UTC 18 апреля большинство стейка приняло патч, что позволило Фонду публично объявить об этом в Discord.

Что такое уязвимость?

Скрытый подход к устранению уязвимости вызвал вопросы о ее потенциальной серьезности для сети. Согласно фонду, ошибка позволяет любому, обладающему техническими знаниями, создавать произвольные доказательства, которые программа ZK EIGamal Proof примет за действительные.

Эта программа играет ключевую роль в выполнении конфиденциальных переводов Token-2022, так как она проверяет, правильны ли нулевые доказательства, удостоверяющие действительность зашифрованных балансов в транзакциях и счетах.

Они сказали:

«Продвинутый злоумышленник мог бы использовать эти нехешированные компоненты для создания поддельного доказательства несанкционированного действия, которое пройдет проверку».

Однако уязвимость затрагивает только конфиденциальные токены Token-22, стандарт токенов, который не является распространенным в Solana. Согласно Coingecko, рыночная капитализация монет Token-2022 в Solana составляет всего 16,5 млн долларов. Тем не менее, ошибка позволила бы злоумышленнику создавать неограниченное количество монет Token-2022 или выводить любые монеты этого типа с любого счета. К счастью, сообщений об эксплуатации этой ошибки нет.

Криптопользователи критикуют скрытое исправление в Solana

Тем временем решение Фонда Solana тихо исправить проблему до ее публичного объявления вызвало дебаты о том, насколько децентрализована Solana. Псевдонимный основатель ETH Strategy, Cloutedmind, выразил возмущение инцидентом, заявив:

«Правильно ли я слышу? В сети Solana mainnet была нулевая уязвимость, и более 70% валидаторов тайно сговорились обновить и исправить критическую ошибку, прежде чем она стала публичной».

Некоторые другие пользователи, похоже, разделяют аналогичное мнение, причем один аккаунт в X даже заявил, что валидаторы могут забирать активы пользователей без их ведома.

Однако многие стейкхолдеры Solana и криптопользователи раскритиковали это мнение, отметив, что так работают все децентрализованные сети. Генеральный директор Helius Labs Mert Mumtaz назвал эту неожиданность абсурдной.

Сооснователь Solana Анатолий Яковенко также добавил, что валидаторы в Ethereum также следуют тому же процессу, даже если в Ethereum это может занять больше времени.

Он сказал:

«Братан, это те же самые люди, которые достигают 70% в Ethereum. Все валидаторы Lido (Chorus One, P2P и т.д.), Binance, Coinbase и Kraken. Если geth нужно выпустить патч, я буду рад координировать их действия».

Интересно, что другие в крипто-сообществе похвалили проактивность Фонда Solana в немедленном исправлении проблемы после ее обнаружения, а один пользователь поделился ссылкой на новости о том, как разработчики Bitcoin тайно исправили ошибку.