Validator Solana menambal bug zero-day yang bisa menyebabkan pencetakan tak terbatas dari token tertentu

Kerentanan "zero-day" baru-baru ini yang mempengaruhi token tertentu di blockchain Solana telah diperbaiki setelah Yayasan Solana, yang mengelola jaringan, secara pribadi mengorganisir validator untuk menerapkan perbaikan kritis.

Menurut laporan pasca-mortem Yayasan, kerentanan tersebut pertama kali diidentifikasi pada 16 April, dan sepenuhnya diperbaiki dua hari kemudian setelah dua perbaikan diterapkan ke jaringan oleh mayoritas validator Solana. Validator tersebut diorganisir secara pribadi oleh Yayasan Solana, yang tidak berusaha mempublikasikan kerentanan sebelum perbaikan dapat dilakukan. 

Kerentanan parah ini mempengaruhi program ZK ElGamal Proof, sistem yang memverifikasi bukti tanpa pengetahuan yang mendukung transfer rahasia dari token tertentu yang mengikuti standar Token-2022 Solana. Seorang penyerang secara teoritis dapat mencetak sejumlah token tanpa batas atau mencuri token dari akun pengguna mana pun menggunakan bukti palsu yang canggih.

Meskipun fitur transfer rahasia telah didukung di Solana sejak Oktober 2023, fitur ini belum banyak diadopsi. Meskipun beberapa laporan menunjukkan stablecoin USDP Paxos memanfaatkan fitur ini, Paxos membantah laporan tersebut dalam pernyataan kepada The Block. "Transfer rahasia saat ini tidak aktif pada stablecoin yang diterbitkan Paxos," kata seorang juru bicara. "Oleh karena itu, patch Solana ini tidak berdampak pada Paxos maupun produknya."

"Semua dana aman, dan tidak ada eksploitasi yang diketahui dari potensi kerentanan," kata laporan Yayasan. Saat ini tidak jelas siapa yang awalnya menandai kerentanan tersebut dan apakah mereka akan berhak atas hadiah bug; Yayasan Solana tidak dapat segera dihubungi untuk komentar. 

Co-founder Solana Anatoly Yakovenko membela upaya Yayasan untuk mengoordinasikan peningkatan dari kritik di X. "Ini adalah orang yang sama untuk mencapai 70% [konsensus] di ethereum," kata Yakovenko. "Semua validator lido (chorus one, p2p, dll..) binance, coinbase, dan kraken."