Shaw publikuje rekonstrukcję daos.fun identyczną bajt w bajt i zgłasza krytyczną lukę

Programista Shaw, znany na X jako @shawmakesmagic, opublikował 24 października, według jego własnych słów, rekonstrukcję zamkniętego kodu programu Solana daos.fun, identyczną bajt w bajt, i oświadczył, że odkrył krytyczną lukę w jego kodzie mainnetu.

Jego publiczne repozytorium zawiera odtworzony kod źródłowy Rust, przechwyconą kopię pliku binarnego programu, instrukcje kompilacji oraz rekord porównawczy wykazujący identyczne skróty SHA-256 dla plików przechwyconych i ponownie zbudowanych. Uruchomienie GitHub Actions dla „Rebuild exact source” ma status zakończony sukcesem. Takie podejście odpowiada praktyce odtwarzalnych kompilacji: gdy ponownie skompilowany kod źródłowy daje ten sam skrót SHA-256 co wdrożony plik binarny, każdy może samodzielnie powtórzyć kompilację i porównać skróty, zamiast wierzyć autorowi publikacji na słowo.

Co rekonstrukcja dowodzi, a czego nie

Przegląd bezpieczeństwa w repozytorium obejmuje przechwycony plik wykonywalny, a nie certyfikację aktualnego stanu programu w mainnecie. Oświadcza on, że lokalne testy nie dowodzą wystąpienia rzeczywistego ataku. Które z aktywnych pozycji użytkowników, o ile w ogóle jakieś, zostały dotknięte, pozostaje niepotwierdzone.

Loading post from X…

Rekonstrukcja nie musi też być tożsama z oryginalnym kodem źródłowym autora. README zaznacza, że historycznych komentarzy i identyfikatorów nie da się jednoznacznie odtworzyć z pliku binarnego; twierdzenie brzmi, że odtworzony kod kompiluje się do tego samego przechwyconego pliku wykonywalnego.

W Solanie wdrożony kod bajtowy programu jest publicznie dostępny poprzez eksploratory takie jak Solscan, nawet gdy jego kod źródłowy pozostaje zamknięty — etykieta „closed source” ukrywa więc kod czytelny dla człowieka, a nie binarny z na łańcuchu. Na tym tle współzałożyciel Solany Anatolij Jakowienko wzmocnił zasięg wpisu Shaw, cytując „There is no security by obscurity anymore” i dodając trzy emoji celownicze. Jego wpis nie zawierał odrębnej weryfikacji twierdzenia o luce.

Istniejące tokeny po zamknięciu platformy

Daos.fun, launchpad funduszy inwestycyjnych, pozwalał społecznościom gromadzić $SOL w funduszach, których twórcy mogli handlować aktywami. Dokumentacja dla twórców opisuje przenoszenie zebranych $SOL do portfela DAO i emitowanie zbywalnego tokena DAO. Udokumentowane funkcje odtworzonego programu obejmują realizację operacji skarbca oraz wykup $SOL i tokenów.

Strona daos.fun informuje obecnie, że platforma nie jest już utrzymywana, a tworzenie nowych DAO i tokenów nie jest już obsługiwane. Według strony istniejące krzywe bondingowe i pule znajdują się na Meteorze, a tokeny wciąż można handlować przez kompatybilne klienty. Strona kieruje też twórców do zarządzania istniejącymi tokenami i odbierania opłat.

Otwarte pytania

Strona programu na Solscanie oznacza go jako ulepszalny, a jego ostatni slot wdrożenia odpowiada przechwyconemu wdrożeniu wskazanemu w audycie repozytorium. Ulepszalność oznacza, że kod na łańcuchu może zostać później zmieniony, co czyni przechwycone skróty z repozytorium stałym punktem odniesienia: każde przyszłe ponowne wdrożenie można porównać z audytowaną kompilacją.

Nie da się ustalić na podstawie przejrzanych materiałów publicznych, czy daos.fun otrzymał prywatne zgłoszenie luki lub odniósł się do twierdzenia Shaw.

Repozytorium publikuje materiały audytowe i lokalne skrypty testowe, zamiast ukrywać szczegóły techniczne. Jego polityka bezpieczeństwa stanowi, że rekonstrukcja celowo zachowuje zgłoszone luki i nie zawiera wdrożonej poprawki.