La Fondation Solana corrige un bogue «zéro-jour» qui a donné aux attaquants des capacités de frappe de jeton illimitées

La Fondation Solana a confirmé la fixation d'un bogue «zéro-jour» qui a donné aux attaquants des capacités de frappe de jetons illimitées et la possibilité de retirer les jetons des comptes d'utilisateurs.

Solana Foundation has confirmed fixing a “zero-day” bug that gave attackers unlimited token minting capabilities and the ability to withdraw tokens from user accounts. The issue, discovered on April 16, was resolved within two days after validators rapidly deployed two critical patches across the network.

La Fondation Solana a confirmé la correction d'un bogue «zéro-jour» qui a donné aux attaquants des capacités de frappe de jetons illimitées et la possibilité de retirer les jetons des comptes d'utilisateurs. Le problème, découvert le 16 avril, a été résolu dans les deux jours après que les validateurs ont rapidement déployé deux correctifs critiques sur le réseau.

According to the Foundation’s May 3 post-mortem report, the bug affected the ZK ElGamal Proof program, which is used to validate zero-knowledge proofs linked to confidential transfers in Token-2022, now called Token-22. The flaw emerged from missing alegbraic components in the Fiat-Shamir Transformation, which is used for cryptographic randomness, making it possible to craft forged proofs.

Selon le rapport post mortem de la Fondation le 3 mai, le bogue a affecté le programme ZK Elgamal Proof, qui est utilisé pour valider les preuves de connaissances zéro liées à des transferts confidentiels dans le jeton-2022, maintenant appelé jeton-22. La faille a émergé des composants alégbraques manquants dans la transformation Fiat-Shamir, qui est utilisé pour le hasard cryptographique, ce qui permet de fabriquer des preuves forgées.

Despite the seriousness of the vulnerability, Solana Foundation said that there were no known exploits or loss of funds. The patches were implemented by a group of development teams, including Anza, Firedancer, and Jito, with support from security researchers at OtterSec, Asymmetric Research, and Neodyme.

Malgré la gravité de la vulnérabilité, la Fondation Solana a déclaré qu'il n'y avait pas d'exploits ou de pertes de fonds connus. Les correctifs ont été mis en œuvre par un groupe d'équipes de développement, notamment ANZA, Firedancer et Jito, avec le soutien de chercheurs en sécurité à Ottersec, AsyMetric Research et Neodyme.

Solana Validators Privately Coordinated to Deploy Fix

Solana Validators coordonnés privés pour déployer Fix

Before disclosing the vulnerability, Solana Foundation contacted validators to coordinate the fixing process privately. Through this method, validators were able to deploy the solution quickly. However, this move sparked renewed concerns about decentralization and transparency.

Avant de divulguer la vulnérabilité, la Fondation Solana a contacté les validateurs pour coordonner le processus de fixation en privé. Grâce à cette méthode, les validateurs ont pu déployer la solution rapidement. Cependant, cette décision a suscité des préoccupations renouvelées concernant la décentralisation et la transparence.

Solana co-founder Anatoly Yakovenko responded to the criticism on X, saying that similar coordination happens on Ethereum too. According to him, major Ethereum validators, including Binance, Coinbase, Kraken, and Lido, could quickly agree to implement urgent security patches whenever needed.

Le co-fondateur de Solana, Anatoly Yakovenko, a répondu aux critiques de X, affirmant qu'une coordination similaire se produit également sur Ethereum. Selon lui, les principaux validateurs Ethereum, dont Binance, Coinbase, Kraken et Lido, pourraient rapidement accepter de mettre en œuvre des correctifs de sécurité urgents chaque fois que cela est nécessaire.

“Bro, it’s the same people to get to 70% on ethereum. All the lido validators (chorus one, p2p, etc..) binance, coinbase, and kraken. If geth needs to push a patch, I’ll be happy to coordinate for them.”

"Bro, ce sont les mêmes personnes pour atteindre 70% sur Ethereum. Tous les validateurs Lido (Chorus One, P2P, etc.) Binance, Coinbase et Kraken. Si Geth a besoin de pousser un patch, je serai heureux de coordonner pour eux."

However, critics questioned how the Solana Foundation contacted all validators in the network. Moreover, users expressed concerns about censorship or rollback through off-chain coordination, referencing prior similar responses to undisclosed bugs.

Cependant, les critiques se sont demandé comment la Fondation Solana a contacté tous les validateurs du réseau. De plus, les utilisateurs ont exprimé leurs préoccupations concernant la censure ou le retour en arrière grâce à la coordination hors chaîne, faisant référence à des réponses similaires antérieures aux bogues non divulgués.

Confidential Transfer Feature Had Limited Adoption

La fonction de transfert confidentielle a eu une adoption limitée

Technically, the identified vulnerability posed a threat to token forgery and theft, but its practical impact remained limited. The affected feature, known as confidential transfer, was minimally implemented throughout the network by third parties.

Techniquement, la vulnérabilité identifiée constituait une menace pour la contrefaçon et le vol des jetons, mais son impact pratique est resté limité. La fonctionnalité affectée, connue sous le nom de transfert confidentiel, a été minimement implémentée dans tout le réseau par des tiers.

Despite speculations about its involvement, Paxos said that it’s not operating the confidential transfer system. A spokesperson stated that the service is currently not live on any Paxos-issued stablecoins.

Malgré les spéculations sur son implication, Paxos a déclaré qu'il ne fonctionnait pas dans le système de transfert confidentiel. Un porte-parole a déclaré que le service n'était actuellement en direct sur aucune stablecoins émis par Paxos.

Related: How Browser Wallet Permissions Were Exploited in the Latest LinkedIn Job Offer Scam

CONNEXES: Comment les autorisations de portefeuille Browser ont été exploitées dans la dernière arnaque de l'offre d'emploi LinkedIn

Meanwhile, Ethereum community member Ryan Berckmans argued that Solana remains vulnerable due to its reliance on a single production-ready client, Agave. In contrast, he highlighted Ethereum’s client diversity, with the leading client, Geth, holding 41% market share, fostering protocol resilience.

Pendant ce temps, Ryan Berckmans, membre de la communauté d'Ethereum, a fait valoir que Solana reste vulnérable en raison de sa dépendance à l'égard d'un seul client prêt pour la production, Agave. En revanche, il a souligné la diversité des clients d'Ethereum, avec le principal client, Geth, détenant 41% de part de marché, favorisant la résilience du protocole.

Solana plans to launch its new network client, Firedancer, in the upcoming months to solve this problem. According to the Foundation, coordinated emergency patches are a requirement for network security and do not indicate centralization.

Solana prévoit de lancer son nouveau client réseau, Firedancer, dans les prochains mois pour résoudre ce problème. Selon la Fondation, les correctifs d'urgence coordonnés sont une exigence de sécurité du réseau et n'indiquent pas la centralisation.