Shaw veröffentlicht byteidentische Rekonstruktion von Daos.fun und meldet kritische Schwachstelle

Der Entwickler Shaw, auf X als @shawmakesmagic bekannt, veröffentlichte am 24. Oktober seiner Aussage nach eine byteidentische Rekonstruktion des Closed-Source-Solana-Programms von daos.fun und gab an, eine kritische Schwachstelle in seinem Mainnet-Code gefunden zu haben.

Sein öffentliches Repository enthält rekonstruierten Rust-Quellcode, eine erfasste Kopie der Programm-Binärdatei, Build-Anleitungen und einen Vergleichsbericht mit identischen SHA-256-Hashes für die erfassten und neu erstellten Dateien. Ein GitHub-Actions-Lauf für „Rebuild exact source“ ist als erfolgreich markiert. Dieses Vorgehen folgt der Praxis reproduzierbarer Builds: Wenn neu kompilierter Quellcode denselben SHA-256-Digest wie eine bereitgestellte Binärdatei erzeugt, kann jeder den Build erneut ausführen und die Hashes vergleichen, anstatt sich auf die Aussage des Veröffentlichers zu verlassen.

Was die Rekonstruktion beweist – und was nicht

Die Sicherheitsüberprüfung des Repositorys betrifft eine erfasste ausführbare Datei, keine Bestätigung des aktuellen Mainnet-Zustands des Programms. Darin heißt es, dass die lokalen Tests nicht belegen, dass ein realer Angriff stattgefunden hat. Welche aktiven Nutzerpositionen, wenn überhaupt, betroffen sind, bleibt unbestätigt.

Loading post from X…

Die Rekonstruktion ist zudem nicht zwangsläufig der ursprüngliche Quelltext des Autors. Das README weist darauf hin, dass historische Kommentare und Bezeichner aus einer Binärdatei nicht eindeutig wiederhergestellt werden können; die Behauptung lautet, dass der rekonstruierte Code zu derselben erfassten ausführbaren Datei kompiliert.

Auf Solana ist der bereitgestellte Bytecode eines Programms über Explorer wie Solscan öffentlich abrufbar, selbst wenn der Quellcode geschlossen bleibt – ein Closed-Source-Label verbirgt also den lesbaren Code, nicht die On-Chain-Binärdatei. Vor diesem Hintergrund verstärkte Solana-Mitgründer Anatoly Yakovenko Shaws Beitrag und zitierte „There is no security by obscurity anymore“ mit drei Zielscheiben-Emojis. Sein Beitrag enthielt keine separate Überprüfung der Schwachstellen-Behauptung.

Bestehende Tokens nach der Einstellung

Daos.fun, ein Launchpad für Investmentfonds, ermöglichte Communities, $SOL in Fonds zu bündeln, deren Ersteller die Assets handeln konnten. Die Ersteller-Dokumentation beschreibt die Übertragung des eingesammelten $SOL in eine DAO-Wallet und die Einführung eines handelbaren DAO-Tokens. Zu den dokumentierten Funktionen des rekonstruierten Programms gehören Treasury-Ausführungen sowie $SOL- und Token-Rückzahlungen.

Die daos.fun-Website weist inzwischen darauf hin, dass die Plattform nicht mehr gepflegt wird und das Erstellen neuer DAOs und Tokens nicht mehr unterstützt wird. Laut der Website befinden sich bestehende Bonding Curves und Pools auf Meteora, und Tokens sind weiterhin über kompatible Clients handelbar. Die Website verweist Ersteller zudem darauf, bestehende Tokens zu verwalten und Gebühren abzuheben.

Offene Fragen

Die Programmseite von Solscan führt das Programm als upgradebar, und ihr letzter Deployment-Slot stimmt mit der im Audit des Repositorys identifizierten erfassten Bereitstellung überein. Upgradebarkeit bedeutet, dass der On-Chain-Code sich nachträglich ändern kann, was die erfassten Hashes des Repositorys zu einem festen Referenzpunkt macht: Jede künftige erneute Bereitstellung kann mit dem geprüften Build verglichen werden.

Ob daos.fun eine private Offenlegung erhielt oder Shaws Behauptung anerkannte, konnte aus den überprüften öffentlichen Materialien nicht festgestellt werden.

Das Repository veröffentlicht sein Audit-Material und lokale Testskripte, anstatt technische Details zurückzuhalten. Seine Sicherheitsrichtlinie besagt, dass die Rekonstruktion die gemeldeten Schwachstellen absichtlich beibehält und keine bereitgestellte Behebung enthält.