Shaw publie une reconstruction identique au niveau des octets de Daos.fun et affirme avoir découvert une faille critique

Le développeur Shaw, connu sur X sous le pseudo @shawmakesmagic, a publié le 24 octobre ce qu'il présente comme une reconstruction identique au niveau des octets du programme Solana à source fermée de daos.fun, et affirme avoir découvert une vulnérabilité critique dans son code mainnet.

Son dépôt public contient le code source Rust reconstruit, une copie capturée du binaire du programme, des instructions de compilation et un rapport comparatif indiquant des hachages SHA-256 identiques pour les fichiers capturés et recompilés. Une exécution GitHub Actions pour « Rebuild exact source » est marquée comme réussie. Cette approche suit la pratique des builds reproductibles : lorsque le code source recompilé produit le même digest SHA-256 qu'un binaire déployé, chacun peut relancer la compilation et comparer les hachages au lieu de devoir se fier à la parole de l'éditeur.

Ce que la reconstruction prouve et ne prouve pas

La revue de sécurité du dépôt porte sur un exécutable capturé, et non sur une certification de l'état actuel du programme sur le mainnet. Elle précise que ses tests locaux ne démontrent pas qu'une attaque réelle s'est produite. Quelles positions d'utilisateurs en activité, le cas échéant, sont concernées reste non confirmé.

Loading post from X…

La reconstruction ne correspond pas nécessairement au code source original de l'auteur. Le README note que les commentaires et identifiants historiques ne peuvent pas être récupérés de manière unique à partir d'un binaire ; l'affirmation est que le code reconstruit compile en le même exécutable que celui capturé.

Sur Solana, le bytecode déployé d'un programme est publiquement récupérable via des explorateurs tels que Solscan, même lorsque son source reste fermé : ainsi, l'étiquette « closed source » masque le code lisible par l'humain, et non le binaire on-chain. C'est dans ce contexte que le cofondateur de Solana, Anatoly Yakovenko, a relayé la publication de Shaw, citant « There is no security by obscurity anymore » et ajoutant trois émojis cible. Sa publication n'apportait pas de vérification indépendante de l'affirmation de vulnérabilité.

Les tokens existants après l'arrêt

Daos.fun, une launchpad de fonds d'investissement, permettait aux communautés de mettre en commun des $SOL dans des fonds dont les créateurs pouvaient trader les actifs. Sa documentation pour créateurs décrit le transfert des $SOL collectés dans un portefeuille DAO et le lancement d'un token DAO échangeable. Les fonctions documentées du programme reconstruit incluent l'exécution du trésorier ainsi que lesachats en $SOL et en tokens.

Le site de daos.fun indique désormais que la plateforme n'est plus maintenue et que la création de nouveaux DAO et tokens n'est plus prise en charge. Selon le site, les bonding curves et pools existants se trouvent sur Meteora, et les tokens restent échangeables via des clients compatibles. Le site invite également les créateurs à gérer leurs tokens existants et à réclamer les frais.

Questions en suspens

La page du programme sur Solscan l'indique comme actualisable, et son dernier slot de déploiement correspond au déploiement capturé identifié dans l'audit du dépôt. L'actualisabilité signifie que le code on-chain peut être modifié après coup, ce qui fait des hachages capturés du dépôt un point de référence fixe : tout redéploiement futur pourra être comparé au build audité.

On n'a pas pu établir, à partir des documents publics examinés, si daos.fun avait reçu une divulgation privée ou avait reconnu l'affirmation de Shaw.

Le dépôt publie ses documents d'audit et ses scripts de tests locaux plutôt que de retenir les détails techniques. Sa politique de sécurité indique que la reconstruction conserve intentionnellement les vulnérabilités signalées et qu'aucune mesure correctrice n'a été déployée.