Shaw氏、Daos.funのバイト同一の再構築コードを公開、重大な脆弱性を主張

X上で@shawmakesmagicとして知られる開発者のShaw氏は10月24日、daos.funのクローズドソースであるSolanaプログラムのバイト同一の再構築コードだと自身が主張するものを公開し、そのメインネットコードに重大な脆弱性を発見したと主張しました。

同氏の公開リポジトリには、再構築されたRustソース、取得済みのプログラムバイナリのコピー、ビルド手順、取得済みファイルと再ビルドされたファイルのSHA-256ハッシュが同一であることを示す比較記録が含まれています。「Rebuild exact source」のGitHub Actionsの実行は成功とマークされています。この構成は再現性のあるビルドの手法に沿ったものです。再コンパイルされたソースがデプロイ済みバイナリと同じSHA-256ダイジェストを生成する場合、誰でもビルドを再実行してハッシュを比較でき、公開者の言葉を鵜呑みにする必要はありません。

再構築で証明できること、できないこと

リポジトリのセキュリティレビューは取得済みの実行ファイルを対象としており、プログラムの現在のメインネットの状態を保証するものではありません。レビューには、ローカルテストでは現実の攻撃が発生したことを証明できないと明記されています。実際に影響を受けたユーザーのポジションがあるとすればどれなのかは、依然として未確認です。

Loading post from X…

また、この再構築は必ずしもオリジナルの作者のソーステキストではありません。READMEには、履歴上のコメントや識別子をバイナリから一意に復元することはできないと記載されており、主張されているのは、再構築されたコードが同じ取得済み実行ファイルにコンパイルされるという点です。

Solanaでは、ソースコードが非公開のままであっても、デプロイされたバイトコードはSolscanなどのエクスプローラーを通じて誰でも取得可能です。つまり、クローズドソースという表示は、人間が読めるコードを隠すだけで、オンチェーンのバイナリを隠すものではありません。そうした背景のもと、Solana共同創設者のAnatoly Yakovenko氏はShaw氏の投稿を拡散し、「There is no security by obscurity anymore（もう隠蔽によるセキュリティは存在しない）」と引用し、3つの的の絵文字を添えました。ただし同氏のは、脆弱性の主張について独立した検証を提供していません。

運用終了後の既存トークン

投資ファンドのローンチパッドであるdaos.funは、コミュニティが$SOLをファンドにプールし、その作成者が資産を取引できるようにしていました。クリエイター向けドキュメントには、調達した$SOLをDAOウォレットに移し、取引可能なDAOトークンをローンチする手順が記載されています。再構築されたプログラムのドキュメント化された機能には、トレジャリーの実行や、$SOLおよびトークンの償還が含まれます。

daos.funのウェブサイトは現在、プラットフォームがメンテナンスされておらず、新規のDAOおよびトークンの作成はサポートされていないと述べています。同サイトによると、既存のバンディングカーブとプールはMeteora上にあり、トークンは互換性のあるクライアントを通じて引き続き取引可能です。また、クリエイターに対して既存トークンの管理や手数料の請求を行うよう案内しています。

未解決の疑問

Solscanのプログラムページには、このプログラムはアップグレード可能と記載されており、最終デプロイスロットはリポジトリの監査で特定された取得済みデプロイと一致しています。アップグレード可能性は、オンチェーンのコードが事後的に変更される可能性があることを意味します。そのため、リポジトリが取得したハッシュは固定の参照 point となり、将来の再デプロイがあれば監査済みのビルドと比較することができます。

daos.funが非公開の開示を受けたか、Shaw氏の主張を認めたかについては、確認した公開資料からは判断できませんでした。

リポジトリは技術的な詳細を伏せるのではなく、監査資料とローカルテストスクリプトを公開しています。セキュリティポリシーには、この再構築は報告された脆弱性を意図的に保持しており、展開済みの修正は提供していないと記載されています。