Compass Investments

– Insinyur Solana telah memperbaiki bug yang memengaruhi token Token-22 rahasia.

Dengan bug tersebut, penyerang dapat mencetak token dalam jumlah tak terbatas dan menariknya dari akun.

Bug tersebut diperbaiki secara diam-diam sebelum diumumkan secara publik, memicu diskusi di media sosial.

Validator Solana nyaris menghindari bencana dengan merilis tambalan yang memperbaiki bug dalam perangkat lunak yang memungkinkan penyerang mencetak token tertentu dalam jumlah tak terbatas – atau menariknya dari akun mana pun.

Kerentanan yang hanya dapat memengaruhi token Token-22 rahasia ditemukan di ZK ElGamal Proof, sebuah program yang mengotentikasi saldo mata uang kripto dan memverifikasi keakuratan bukti zero-knowledge.

Dalam program ZK ElGamal Proof di blockchain, beberapa komponen aljabar tidak disertakan dalam hash yang digunakan untuk menghasilkan dekripsi transformasi Fiat-Shamir, kata Solana Foundation dalam laporan otopsi. Seorang penyerang yang canggih dapat menggunakan komponen-komponen yang tidak di-hash ini untuk membuat bukti palsu atas tindakan yang tidak sah yang dapat lolos dari pemeriksaan.

Dengan kata lain, penyerang dapat menggunakan bukti palsu untuk menambang token Token-22 rahasia dalam jumlah tak terbatas atau menariknya dari akun.

Kerentanan potensial pertama kali dilaporkan ke Penasihat Keamanan Anza Github pada 16 April, dan keesokan harinya, setelah insinyur Anza, Firedancer, dan Jito menilai dan mengonfirmasi kerentanan tersebut, tambalan diposting langsung untuk para validator.

Anza adalah perusahaan pengembangan Solana yang terdiri dari mantan karyawan Solana Labs, dan Jito adalah perusahaan infrastruktur terkenal di ekosistem. Firedancer adalah klien validator Solana yang sedang dikembangkan oleh Jump Crypto.

Asymmetric Research, Neodyme, dan OtterSec juga dilibatkan untuk mendukung dan memvalidasi patch tersebut.

Pada tengah hari tanggal 18 April, sebagian besar operator validator telah menerima tambalan tersebut, yang mencakup tambalan kedua yang digunakan untuk memperbaiki masalah serupa di bagian lain dari basis kode. Tidak ada aset yang berisiko setelah patch dipasang, dan tidak ada eksploitasi yang diketahui dari kerentanan yang terdeteksi.

Perusahaan investasi Kanada SOL Strategies mengumpulkan obligasi konversi senilai $ 500 juta untuk membeli Solana, kata perusahaan itu pada hari Rabu, yang mencerminkan minat yang meningkat pada cryptocurrency yang telah populer di kalangan pengembang meme-coin dan pengguna lain yang menyukai kecepatannya dibandingkan dengan saingannya. Perusahaan yang diperdagangkan di Bursa Efek Kanada dengan ticker HODL ini menyebut perjanjian dengan perusahaan investasi yang berbasis di New York, ATW Partners, sebagai yang terbesar dan pertama dalam ekosistem Solana. { Ini…

Terlepas dari kenyataan bahwa patch tersebut segera dipasang dan tidak ada dana yang diketahui telah digunakan, Solana Foundation menghadapi kritik di media sosial. Beberapa pengguna menarik perhatian pada pembaruan di balik layar dua minggu sebelum yayasan tersebut secara terbuka membahasnya melalui postmortem.

Apakah saya memahami hal ini dengan benar? Solana mainnet mengalami zero day dan >70% validator berkolusi secara pribadi untuk memperbarui dan memperbaiki bug kritis bahkan sebelum dipublikasikan, tulis salah satu pengembang ekosistem Ethereum anonim di X (sebelumnya Twitter).