Shaw 发布 Daos.fun 字节级重建代码,声称存在严重漏洞

开发者 Shaw(在 X 上名为 @shawmakesmagic)于 10 月 24 日发布了据他所称是 daos.fun 闭源 Solana 程序的字节级重建版本,并声称在其主网代码中发现了一个严重漏洞。

他的公开仓库包含重建的 Rust 源码、捕获的程序二进制文件副本、构建说明,以及一份报告捕获文件与重建文件 SHA-256 哈希完全一致的比较记录。针对"Rebuild exact source"的 GitHub Actions 运行已被标记为成功。这一设置遵循可复现构建的实践:当重新编译的源码产生与已部署二进制文件相同的 SHA-256 摘要时,任何人都可以重新运行构建并比较哈希,而不必听信发布者的一面之词。

重建代码能证明什么,不能证明什么

该仓库的安全审查覆盖的是一个捕获的可执行文件,并非对程序当前主网状态的认证。文中指出,其本地测试并未证明发生了真实世界的攻击。哪些在线用户持仓(如果有的话)受到影响,仍未得到确认。

Loading post from X…

此外,重建代码不一定就是原作者的源文本。README 指出,历史注释和标识符无法从二进制文件中唯一恢复;其声称的是重建后的代码可以编译出相同的捕获可执行文件。

在 Solana 上,即使程序的源码保持闭源,其部署的字节码也可以通过 Solscan 等浏览器公开获取,因此闭源标签隐藏的是人类可读的代码,而非链上二进制文件。正是在这一背景下,Solana 联合创始人 Anatoly Yakovenko 转发了 Shaw 的帖子,引用"There is no security by obscurity anymore"并附上三个靶心表情符号。他的帖子并未对漏洞声明提供独立验证。

平台停止运营后的现有代币

Daos.fun 是一个投资基金启动平台,允许社区将 $SOL 汇集到基金中,基金创建者可以交易这些资产。其创建者文档描述了将募集的 $SOL 转入 DAO 钱包并发行可交易 DAO 代币的流程。重建程序的文档化功能包括资金库执行以及 $SOL 和代币赎回。

daos.fun 网站现在表示,该平台已不再维护,不再支持创建新的 DAO 和代币。据该网站称,现有的联合曲线和资金池位于 Meteora 上,代币仍可通过兼容客户端进行交易。该网站还引导创建者管理现有代币并领取手续费。

待解问题

Solscan 的程序页面将该程序列为可升级,其最后一次部署的 slot 与仓库审计中确定的捕获部署一致。可升级性意味着链上代码可能在事后被更改,这使得仓库中捕获的哈希成为一个固定的参考点:任何未来的重新部署都可以与经过审计的构建进行比较。

从所审查的公开材料中,无法确定 daos.fun 是否收到了私下披露或是否确认了 Shaw 的说法。

该仓库公开了其审计材料和本地测试脚本,而非隐瞒技术细节。其安全政策表示,重建代码有意保留了所报告的漏洞,且未部署任何修复措施。