Shaw pubblica una ricostruzione byte-identica di Daos.fun e rivendica una vulnerabilità critica

Lo sviluppatore Shaw, noto su X come @shawmakesmagic, ha pubblicato il 24 ottobre quella che secondo lui è una ricostruzione byte-identica del programma Solana a codice chiuso di daos.fun, sostenendo di aver individuato una vulnerabilità critica nel suo codice mainnet.

Il suo repository pubblico contiene il sorgente Rust ricostruito, una copia acquisita del binario del programma, le istruzioni di build e un registro di confronto che riporta hash SHA-256 identici per i file acquisiti e ricompilati. Un'esecuzione di GitHub Actions per "Rebuild exact source" risulta completata con successo. Questa configurazione segue la pratica delle build riproducibili: quando il sorgente ricompilato produce lo stesso digest SHA-256 di un binario distribuito, chiunque può rieseguire la build e confrontare gli hash invece di fidarsi della parola dell'autore.

Cosa la ricostruzione dimostra e cosa no

La revisione di sicurezza del repository copre un eseguibile acquisito, non una certificazione dello stato attuale del programma sul mainnet. Il documento indica che i test locali non dimostrano il verificarsi di un attacco nel mondo reale. Resta non confermato quali posizioni utente attive, se presenti, siano state interessate.

Loading post from X…

La ricostruzione non è necessariamente nemmeno il testo sorgente originale dell'autore. Il README nota che i commenti e gli identificativi storici non possono essere recuperati in modo univoco da un binario; l'affermazione è che il codice ricostruito compila nello stesso eseguibile acquisito.

Su Solana, il bytecode distribuito di un programma è pubblicamente recuperabile tramite explorer come Solscan anche quando il sorgente resta chiuso, quindi l'etichetta closed-source nasconde il codice leggibile dagli umani, non il binario on-chain. È in questo contesto che il co-fondatore di Solana Anatoly Yakovenko ha amplificato il post di Shaw, citando "There is no security by obscurity anymore" e aggiungendo tre emoji a forma di bersaglio. Il suo post non ha fornito una verifica separata della rivendicazione della vulnerabilità.

I token esistenti dopo lo shutdown

Daos.fun, una launchpad per fondi di investimento, consentiva alle community di mettere in comune $SOL in fondi i cui creatori potevano negoziare gli asset. La documentazione per i creatori descrive il trasferimento degli $SOL raccolti in un wallet DAO e il lancio di un token DAO scambiabile. Le funzioni documentate del programma ricostruito includono l'esecuzione della tesoreria e i riscatti in $SOL e token.

Il sito web di daos.fun indica ora che la piattaforma non è più mantenuta e che la creazione di nuovi DAO e token non è più supportata. Secondo il sito, le bonding curve e i pool esistenti si trovano su Meteora e i token possono ancora essere scambiati tramite client compatibili. Il sito indirizza inoltre i creatori alla gestione dei token esistenti e al ritiro delle feen

Domande aperte

La pagina del programma su Solscan lo indica come aggiornabile, e il suo ultimo slot di distribuzione corrisponde alla distribuzione acquisita identificata nell'audit del repository. L'aggiornabilità significa che il codice on-chain può cambiare successivamente, il che rende gli hash acquisiti nel repository un punto di riferimento fisso: qualsiasi futura ridistribuzione potrà essere confrontata con la build audita.

Dai materiali pubblici esaminati non è stato possibile stabilire se daos.fun abbia ricevuto una divulgazione privata o abbia preso atto della rivendicazione di Shaw.

Il repository pubblica il materiale di audit e gli script di test locali invece di trattenere i dettagli tecnici. La sua politica di sicurezza indica che la ricostruzione conserva intenzionalmente le vulnerabilità segnalate e non fornisce alcuna soluzione correttiva distribuita.