Compass Investments

– 552025 Se descubrió un fallo crítico en el programa de prueba de concepto de ZK ElGamal para la blockchain Solana, que es la columna vertebral del procesamiento seguro de transferencias sensibles Token-2022. Gracias a los esfuerzos concertados de ingenieros y especialistas en seguridad, se solucionó rápidamente, evitando que los fondos se vieran comprometidos.

El 16 de abril de 2025, un investigador atento informó de la vulnerabilidad a Anza Github Security Advisory, adjuntando una prueba de concepto. El fallo, relacionado con el programa ZK ElGamal Proof, permitía a un atacante generar pruebas falsas, lo que podía dar lugar a actividades no autorizadas, como minar un número ilimitado de tokens o robar fondos de cuentas con tokens confidenciales de Token-2022.

El problema radicaba en un error de implementación en la transformada Fiat-Shamir utilizada para generar pruebas no interactivas de divulgación cero. A la función hash de la clave le faltaban ciertos componentes algebraicos, lo que comprometía la integridad de la comprobación de la prueba. Afortunadamente, no se utilizó ningún exploit, y los ingenieros de Anza, Firedancer y Jito comenzaron rápidamente a evaluar la vulnerabilidad. El análisis confirmó la posibilidad de crear pruebas no válidas que el sistema confundía con pruebas válidas.

El 17 de abril a las 18:00 UTC, los equipos de la Fundación Solana y Jito empezaron a contactar directamente con los operadores de validadores para distribuir un parche cuidadosamente elaborado. Sin embargo, en la noche del mismo día, alrededor de las 23:00 UTC, se descubrió una segunda vulnerabilidad en una sección relacionada de la base de código que requería un parche adicional. Ambos parches fueron probados exhaustivamente por empresas de seguridad líderes como Asymmetric Research, Neodyme y OtterSec, que confirmaron su fiabilidad. A las 20:00 UTC del 18 de abril, la gran mayoría de la red había aplicado las correcciones, y a las 21:01 UTC se anunció públicamente la solución a través de Discord. El clúster Solana ya está operativo con versiones totalmente parcheadas, incluyendo Agave (v2.1.21 y superiores, v2.2.11 y superiores), Jito-Solana (v2.1.21-jito y superiores, v2.2.11-jito y superiores) y Firedancer (v0.411.20121 y superiores).