Solana网络验证者险些遭遇灾难，推出补丁修复漏洞
Solana网络的验证者险些遭遇灾难，推出了一项补丁，修复了一个程序中的漏洞，该漏洞可能使攻击者能够以无限数量铸造某些代币或从任何账户中提取它们。
该漏洞仅会影响Token-22机密代币，发现于ZK ElGamal Proof程序中，该程序用于验证加密余额并核实零知识证明的准确性。
“在链上的ZK ElGamal Proof程序中，一些代数组件未包含在用于生成Fiat-Shamir转换的哈希中，”Solana基金会的事后报告中写道。“一个复杂的攻击者可以利用这些未哈希的组件开发出一个伪造的未授权操作证明，从而通过验证。”
换句话说，攻击者可以利用伪造的证明铸造无限数量的Token-22机密代币或从账户中提取它们。
该潜在漏洞于4月16日首次报告给Anza Github安全顾问，经过评估和Anza、Firedancer和Jito的工程师确认漏洞后，第二天直接向验证者推出了补丁。
Anza是一个由前Solana Labs员工组成的Solana开发团队，而Jito是生态系统中知名的基础设施公司。Firedancer是Jump Crypto正在开发的Solana验证者客户端。
安全公司Asymmetric Research、Neodyme和OtterSec也被引入提供支持和审查补丁。
到4月18日下午，超过70%的验证者运营商采用了该修复，其中包括用于解决代码库另一部分类似问题的第二个补丁。由于现在已采用补丁，资金没有风险，且尚未发现漏洞的已知利用。
尽管补丁已迅速处理且没有已知资金被利用，但Solana基金会在社交媒体上遭遇了一些批评。一些用户指出，这一幕后升级发生在基金会通过事后报告公开处理之前的两周。
“我听得对吗？在Solana主网上发生了一个零日漏洞，超过70%的验证者私下勾结以升级并修补这个关键漏洞，甚至在它被公开之前，”一位匿名以太坊生态开发者在X（前Twitter）上发布。
这一帖子引起了著名Solana开发者和Solana联合创始人Anatoly Yakovenko的反对。甚至长期的以太坊开发者Hudson Jameson也参与其中，表示这种做法是典型且必要的，以解决问题。
“这完全没有问题，”Jameson在X上说。“比特币、Zcash和以太坊都有核心开发者需要私下计划秘密修复漏洞的情况。一个良好的链文化意味着拥有成熟的开发者能够实现隐秘修复。”
“在公开发布之前，我参与了向验证者分发这个补丁，”Solana基金会的验证者关系负责人Tim Garcia说。“我很乐意听取更好流程的建议。不幸的是，在足够采用之前公开分发是行不通的。”
这并不是Solana首次面临集中化的批评；值得注意的是，去年十月，著名举报人爱德华·斯诺登曾指责这一层-1区块链的集中化。Solana生态系统领导者进行了反击，Yakovenko表示：“像往常一样，Solana仅在客观可衡量的指标上是去中心化的，在所有其他指标上则是中心化的。”
根据其网站，Solana目前拥有1279个验证者。
编辑：Andrew Hayward