Shaw publiceert byte-identische reconstructie van Daos.fun en meldt kritisch lek

Ontwikkelaar Shaw, bekend op X als @shawmakesmagic, publiceerde op 24 oktober wat hij omschrijft als een byte-identische reconstructie van daos.fun's closed-source Solana-programma, en meldde een kritisch kwetsbaarheid in de mainnet-code te hebben gevonden.

Zijn openbare repository bevat gereconstrueerde Rust-broncode, een vastgelegde kopie van de programma-binary, buildinstructies en een vergelijkingsrapport dat identieke SHA-256-hashes vermeldt voor de vastgelegde en opnieuw gebouwde bestanden. Een GitHub Actions-run voor "Rebuild exact source" is gemarkeerd als geslaagd. Deze opzet volgt de praktijk van reproduceerbare builds: wanneer opnieuw gecompileerde broncode dezelfde SHA-256-digest oplevert als een uitgerolde binary, kan iedereen de build opnieuw uitvoeren en de hashes vergelijken in plaats van de uitgever op zijn woord te vertrouwen.

Wat de reconstructie bewijst en wat niet

De securityreview van de repository heeft betrekking op een vastgelegde executable, niet op een certificering van de huidige mainnet-status van het programma. Er staat dat de lokale tests niet aantonen dat er een echte aanval heeft plaatsgevonden. Welke live gebruikersposities, indien aanwezig, zijn getroffen blijft onbevestigd.

Loading post from X…

De reconstructie is bovendien niet noodzakelijk de oorspronkelijke brontekst van de auteur. De README merkt op dat historische opmerkingen en identifiers niet eenduidig uit een binary kunnen worden teruggewonnen; de claim is dat de gereconstrueerde code compileert tot dezelfde vastgelegde executable.

Op Solana is de uitgerolde bytecode van een programma publiek opvraagbaar via verkenners zoals Solscan, zelfs als de broncode gesloten blijft, dus een closed-source-label verbergt de leesbare code, niet de on-chain binary. Tegen die achtergrond vergrootte Solana-medegrondlegger Anatoly Yakovenko Shaw's post verder, met het citaat "There is no security by obscurity anymore" en drie target-emoji's. Zijn post bood geen afzonderlijke verificatie van de kwetsbaarheidsclaim.

Bestaande tokens na de sluiting

Daos.fun, een launchpad voor beleggingsfond, liet communities $SOL samenvoegen in fondsen waarvan de makers de activa konden verhandelen. De documentatie voor makers beschrijft het overzetten van ingezameld $SOL naar een DAO-portemonnee en het lanceren van een verhandelbaar DAO-token. De gedocumenteerde functies van het gereconstrueerde programma omvatten treasury-uitvoering en $SOL- en token-aflossingen.

De website van daos.fun meldt nu dat het platform niet langer wordt onderhouden en dat het creëren van nieuwe DAO's en tokens niet meer wordt ondersteund. Volgens de site bevinden bestaande bonding curves en pools zich op Meteora, en tokens kunnen nog steeds verhandeld worden via compatibele clients. De site wijst makers er ook op bestaande tokens te beheren en fees op te eisen.

Openstaande vragen

De programpagina van Solscan vermeldt het programma als upgradebaar, en de laatste deployment-slot komt overeen met de vastgelegde deployment die in de audit van de repository is geïdentificeerd. Upgradeerbaarheid betekent dat de on-chain code achteraf kan veranderen, waardoor de vastgelegde hashes van de repository een vast referentiepunt vormen: elke toekomstige her-uitrol kan worden vergeleken met de geaudite build.

Of daos.fun een privé-melding heeft ontvangen of Shaw's claim heeft erkend, kon niet worden vastgesteld uit de bekeken openbare materialen.

De repository publiceert haar auditmateriaal en lokale testscripts in plaats van technische details achter te houden. Het securitybeleid stelt dat de reconstructie de gemelde kwetsbaarheden opzettelijk behoudt en dat er geen remedie is uitgerold.