Shaw publica una reconstrucción byte a byte de Daos.fun y afirma haber hallado una falla crítica

El desarrollador Shaw, conocido en X como @shawmakesmagic, publicó el 24 de octubre lo que, según él, es una reconstrucción byte a byte del programa de código cerrado de daos.fun en Solana, y afirmó haber encontrado una vulnerabilidad crítica en su código de mainnet.

Su repositorio público contiene el código fuente Rust reconstruido, una copia capturada del binario del programa, instrucciones de compilación y un registro comparativo que reporta hashes SHA-256 idénticos para los archivos capturados y reconstruidos. Una ejecución de GitHub Actions para "Rebuild exact source" aparece marcada como exitosa. Esta configuración sigue la práctica de compilaciones reproducibles: cuando el código fuente recompilado produce el mismo digest SHA-256 que un binario desplegado, cualquiera puede volver a ejecutar la compilación y comparar los hashes en lugar de fiarse de la palabra del autor.

Lo que la reconstrucción prueba y lo que no

La revisión de seguridad del repositorio cubre un ejecutable capturado, no una certificación del estado actual del programa en mainnet. Señala que sus pruebas locales no establecen que haya ocurrido un ataque real. Qué posiciones de usuarios activas, si las hay, están afectadas sigue sin confirmarse.

Loading post from X…

La reconstrucción tampoco es necesariamente el texto fuente original del autor. El README señala que los comentarios e identificadores históricos no pueden recuperarse de manera unívoca a partir de un binario; la afirmación es que el código reconstruido compila el mismo ejecutable capturado.

En Solana, el bytecode desplegado de un programa puede obtenerse públicamente a través de exploradores como Solscan incluso cuando su código fuente permanece cerrado, por lo que la etiqueta de código cerrado oculta el código legible por humanos, no el binario on-chain. Ese es el contexto en el que el cofundador de Solana, Anatoly Yakovenko, amplificó la publicación de Shaw, citando "There is no security by obscurity anymore" y añadiendo tres emojis de diana. Su publicación no aportó una verificación independiente de la afirmación sobre la vulnerabilidad.

Tokens existentes tras el cierre

Daos.fun, una plataforma de lanzamiento de fondos de inversión, permitía a las comunidades agrupar $SOL en fondos cuyos creadores podían negociar los activos. Su documentación para creadores describe cómo transferir el $SOL recaudado a una wallet DAO y lanzar un token DAO negociable. Las funciones documentadas del programa reconstruido incluyen la ejecución del tesoro y los reembolsos de $SOL y tokens.

El sitio web de daos.fun indica ahora que la plataforma ya no recibe mantenimiento y que ya no se admite la creación de nuevos DAO ni tokens. Según el sitio, las bonding curves y pools existentes están en Meteora, y los tokens aún pueden negociarse mediante clientes compatibles. También dirige a los creadores a gestionar sus tokens existentes y reclamar comisiones.

Preguntas abiertas

La página del programa en Solscan lo lista como actualizable, y su último slot de despliegue coincide con el despliegue capturado identificado en la auditoría del repositorio. La actualizabilidad implica que el código on-chain puede cambiar posteriori, lo que convierte los hashes capturados del repositorio en un punto de referencia fijo: cualquier redespliegue futuro puede compararse con la compilación auditada.

No pudo establecerse, a partir de los materiales públicos revisados, si daos.fun recibió una divulgación privada o si reconoció la afirmación de Shaw.

El repositorio publica su material de auditoría y sus scripts de pruebas locales en lugar de reservarse los detalles técnicos. Su política de seguridad indica que la reconstrucción conserva intencionalmente las vulnerabilidades reportadas y que no se ha implementado ninguna corrección.