رفع بی‌سروصدای باگ خطرناک در سولانا
طبق اعلام بنیاد سولانا، باگ خطرناک موجود در بلاکچین SOL که به هکرها اجازه می‌داد توکن جعلی بسازند و بدزدند، رفع شده است.
به‌دلیل باگ امنیتی خطرناک در بلاکچین سولانا، هکرها می‌توانستند اطلاعات جعلی را به‌گونه‌ای جلوه دهند که حتی ولیدیتورها هم آن را واقعی ببینند. این یعنی ساخت توکن‌های تقلبی یا برداشت غیرمجاز از حساب‌های دیگر، بدون هیچ مجوزی ممکن بود. خوشبختانه ضعف امنیتی یادشده حالا شناسایی و برطرف شده است.
باگ امنیتی سولانا قبل‌از سوءاستفاده رفع شد
بنیاد سولانا اعلام کرده است که مشکلی امنیتی در سیستم توکن خصوصی خود پیدا کرده است که ممکن بود به هکرها اجازه دهد با ساختن اثبات‌های جعلی از نوع «دانش صفر» (Zero-Knowledge Proofs) توکن‌های تقلبی بسازند یا بدون اجازه برداشت کنند.
این آسیب‌پذیری برای اولین بار در ۱۶ آوریل ازطریق گزارش امنیتی گیت‌هاب آنزا (Anza) اعلام شد و نمونه‌ای عملیاتی نیز همراهش بود. مهندسان تیم‌های توسعه سولانا ازجمله آنزا و فایردنسر (Firedancer) و جیتو (Jito)، این مشکل را تأیید و بلافاصله کار برای رفع آن را شروع کردند.
داستان باگ امنیتی سولانا چیست؟
مشکل امنیتی سولانا مربوط به برنامه‌ای به نام ZK ElGamal Proof بود. این برنامه برای بررسی درستی اثبات‌های دانش صفر (ZKP) و در تراکنش‌های محرمانه توکن‌های Token-22 در شبکه سولانا استفاده می‌شود. این نوع توکن‌ها با استفاده از تکنیک‌های رمزنگاری، امکان پنهان‌سازی موجودی و جزئیات انتقال را فراهم می‌کنند و برای تأیید صحت آن‌ها از اثبات‌های رمزنگاری‌شده استفاده می‌شود.
ZKP چیست؟ اثبات مالکیت اطلاعات بدون لو دادن آن
اثبات دانش صفر (ZKPs) نوعی تکنیک رمزنگاری است که به افراد اجازه می‌دهد تا بدون اینکه اطلاعات اصلی مانند رمزعبور یا سن خود را فاش کنند، ثابت کنند که آن را دارند.
در دنیای رمزنگاری، این روش می‌تواند برای اثبات معتبربودن تراکنش‌ها استفاده شود، بدون اینکه اطلاعات حساس نظیر مقادیر یا آدرس‌ها نمایش داده شود؛ اطلاعاتی که ممکن است برای هکرها مفید باشد.
کوین‌دسک می‌نویسد که در یکی از این اثبات‌ها مشکلی پیش آمد؛ چون هنگام تبدیل روش تعاملی به غیرتعاملی (یعنی تبدیل به مدلی که فقط یک بار اثبات می‌فرستد)، برخی بخش‌های مهم ریاضی حذف شده بودند. در نتیجه، هکر حرفه‌ای می‌توانست اثبات‌های تقلبی بسازد که سیستم آن‌ها را واقعی در نظر می‌گرفت.
این مشکل ممکن بود باعث شود تا فرد بدون اجازه بتواند به‌طور نامحدود توکن ایجاد کند یا از حساب‌های دیگر برداشت انجام دهد. ناگفته نماند که این باگ به توکن‌های استاندارد SPL یا بخش اصلی برنامه Token-2022 آسیبی نرساند.
از ۱۷ آوریل، اصلاحیه‌های امنیتی به‌صورت خصوصی برای ولیدیتورها فرستاده و وصله امنیتی دوم هم همان شب برای برطرف‌کردن مشکل دیگری منتشر شد. سه شرکت امنیتی مستقل به نام‌های Asymmetric Research و Neodyme و OtterSec این وصله‌ها را بررسی کردند. تا ۱۸ آوریل، بیشتر ولیدیتورها آن‌ها را نصب کرده بودند. طبق بررسی نهایی، شواهدی از سوءاستفاده از این باگ پیدا نشد و همه دارایی‌ها کاملاً در امان ماندند.
