У Solana виправили потенційну вразливість

Команди Solana Foundation і Jito спільно з валідаторами оперативно усунули критичну уразливість, яку виявили фахівці з безпеки Anza. Проблема зачіпала механізм доказів ZK ElGamal, що використовується в контексті конфіденційних токенів у рамках програми Token-2022.

Як пояснюють розробники, баг полягав у тому, що частина алгебраїчних компонентів не потрапляла до хешу під час трансформації Фіата–Шаміра. Це відкривало можливість для створення фальшивих криптографічних доказів, що потенційно дозволяло зловмиснику необмежено випускати токени або знімати кошти з будь-яких рахунків.

Фахівці Anza повідомили про помилку 16 квітня, і вже наступного дня почалося розгортання патчу. Для виправлення ще одного пов’язаного фрагмента коду знадобилось друге оновлення. До вечора 18 квітня більшість нод-операторів встановили обидва оновлення.

В Solana Foundation наголосили, що вразливість була локалізована в системі ZK ElGamal Proof — програму Token-2022 оновлювати не довелося. Жодних підтверджених зломів чи втрати коштів не зафіксовано.

Втім, у спільноті звернули увагу на те, що проблема вирішувалась без публічного розголосу — через прямий контакт із понад 70% валідаторів. Це викликало занепокоєння щодо можливості «атаки нульового дня» в мережі.

«Це ті ж самі валідатори, які формують 70% консенсусу в Ethereum — Lido, Binance, Coinbase, Kraken. Якщо Geth знадобиться патч, я з радістю координуватиму їхні дії», — відповів на критику співзасновник Solana Анатолій Яковенко, підтримавши обраний підхід.

У квітні Solana Foundation також анонсувала додаткові ініціативи щодо посилення децентралізації мережі. За даними Blockworks, наразі в Solana працює 1218 активних валідаторів. Для порівняння: рівень виконання Ethereum обслуговують 17 126 нод, понад 11 000 із яких працюють через Geth.

Участь у стейкінгу SOL становить 65% від загальної емісії, тоді як в Ethereum цей показник — близько 28%.

Нагадаємо, раніше аналітики Fidelity назвали Solana одним із головних конкурентів Ethereum. Також на переваги проєкту вказували в JPMorgan.