Шоу опубликовал побайтовую реконструкцию Daos.fun и заявил о критической уязвимости

Разработчик Шоу, известный в X как @shawmakesmagic, 24 октября опубликовал то, что он называет побайтово идентичной реконструкцией закрытой Solana-программы daos.fun, и заявил об обнаружении критической уязвимости в её коде основной сети.

Его публичный репозиторий содержит восстановленный исходный код на Rust, захваченную копию бинарного файла программы, инструкции по сборке и протокол сравнения, в котором сообщаются идентичные хеши SHA-256 для захваченного и заново собранного файлов. Запуск GitHub Actions для «Rebuild exact source» отмечен как успешный. Такой подход соответствует практике воспроизводимых сборок: если перекомпилированный исходный код даёт тот же дайджест SHA-256, что и развёрнутый бинарный файл, любой может повторить сборку и сравнить хеши, не полагаясь на слова публикатора.

Что доказывает реконструкция, а что нет

Проверка безопасности в репозитории охватывает захваченный исполняемый файл, а не сертификацию текущего состояния программы в основной сети. В ней указано, что локальные тесты не устанавливают факт реальной атаки. Какие именно активные позиции пользователей затронуты, если таковые имеются, остаётся неподтверждённым.

Loading post from X…

Реконструкция также не обязательно совпадает с исходным текстом автора: в README отмечается, что исторические комментарии и идентификаторы невозможно однозначно восстановить из бинарного файла. Утверждается лишь, что восстановленный код компилируется в тот же захваченный исполняемый файл.

В Solana развёрнутый байткод программы публично доступен через обозреватели, такие как Solscan, даже если её исходный код остаётся закрытым, поэтому метка «закрытый исходный код» скрывает читаемый человеком код, а не ончейн-бинарный файл. На этом фоне сооснователь Solana Анатолий Якovenko усилил публикацию Шоу, процитировав «There is no security by obscurity anymore» и добавив три эмодзи мишени. Его пост не содержал отдельной проверки заявления об уязвимости.

Существующие токены после остановки платформы

Daos.fun — лончер инвестиционных фондов — позволял сообществам объединять $SOL в фондах, создатели которых могли торговать активами. Документация для создателей описывает перевод привлечённых $SOL в кошелёк DAO и запуск торгуемого токена DAO. Среди задокументированных функций восстановленной программы — исполнение казначейских операций и выкупы $SOL и токенов.

На сайте daos.fun теперь говорится, что платформа больше не поддерживается и создание новых DAO и токенов больше не поддерживается. По данным сайта, существующие кривые bonding и пулы находятся на Meteora, и токены по-прежнему можно торговать через совместимые клиенты. Там же создателям предлагается управлять существующими токенами и запрашивать комиссии.

Открытые вопросы

Страница программы на Solscan помечает как обновляемую, а слот последнего развёртывания совпадает с захваченным развёртыванием, указанным в аудите репозитория. Возможность обновления означает, что ончейн-код может измениться задним числом, что делает захваченные в репозитории хеши фиксированной точкой отсчёта: любое будущее повторное развёртывание можно сравнить с аудированной сборкой.

Из рассмотренных публичных материалов невозможно установить, получала ли daos.fun закрытое уведомление или признала заявление Шоу.

Репозиторий публикует материалы аудита и локальные тестовые скрипты, а не скрывает технические детали. В его политике безопасности говорится, что реконструкция намеренно сохраняет заявленные уязвимости и не предусматривает развёрнутого исправления.