Shaw 發布 daos.fun 位元組級還原版本，聲稱存在關鍵漏洞

開發者 Shaw（在 X 上以 @shawmakesmagic 為名）於 10 月 24 日發布了他所稱的 daos.fun 封閉原始碼 Solana 程式的位元組級還原版本，並聲稱在其主網程式碼中發現了一個關鍵漏洞。

他的公開儲存庫包含還原的 Rust 原始碼、擷取的程式二進位檔副本、建置說明，以及一份比對紀錄，顯示擷取檔案與重建檔案的 SHA-256 雜湊值完全一致。一次用於「Rebuild exact source」的 GitHub Actions 執行被標記為成功。這種做法遵循可重現建置（reproducible builds）的實踐：當重新編譯的原始碼產生與已部署二進位檔相同的 SHA-256 摘要時，任何人都可以重新執行建置並比對雜湊值，而無需單方面相信發布者的說法。

還原版本能證明與不能證明的事

該儲存庫的安全審查僅涵蓋擷取的可執行檔，並非對程式當前主網狀態的認證。文件中聲明，其本地測試並未證明現實中發生過攻擊。哪些線上用戶持倉（如果有的話）受到影響，目前仍未獲證實。

Loading post from X…

此還原版本也不一定就是原始作者的原始碼。README 指出，歷史註解與識別符無法從二進位檔中唯一地還原；其主張是還原後的程式碼可編譯成與擷取檔相同的可執行檔。

在 Solana 上，即使程式的原始碼保持封閉，其已部署的位元組碼仍可透過 Solscan 等瀏覽器公開取得，因此「封閉原始碼」的標籤隱藏的是人類可讀的程式碼，而非鏈上的二進位檔。正是在這樣的背景下，Solana 聯合創辦人 Anatoly Yakovenko 轉發了 Shaw 的貼文，引用「There is no security by obscurity anymore」（靠隱匿已無法帶來安全），並加上了三個靶心表情符號。他的貼文並未對該漏洞主張提供獨立驗證。

停運後的現存代幣

daos.fun 是一個投資基金發射台，讓社群將 $SOL 集中投入基金，基金創建者可交易這些資產。其創建者文件描述了如何將的 $SOL 轉入 DAO 錢包並發行可交易的 DAO 代幣。還原程式的文件記載功能包括資金庫執行，以及 $SOL 與代幣的贖回。

daos.fun 網站目前表示，該平台已不再維護，也不再支援建立新的 DAO 與代幣。據該網站說明，現有的聯合曲線（bonding curves）與流動池位於 Meteora 上，代幣仍可透過相容的客戶端交易。網站也引導創建者管理現有代幣並領取手續費。

待解問題

Solscan 的程式頁面將該程式列為可升級，其最後部署插槽與儲存庫審查中識別的擷取部署相符。可升級性意味著鏈上程式碼可能在事後變更，這使儲存庫中擷取的雜湊值成為固定的參考基準：未來任何重新部署都可與受審計的建置進行比對。

根據所審閱的公開資料，無法確定 daos.fun 是否收到私下漏洞揭露，或是否已承認 Shaw 的主張。

該儲存庫公開了其審查資料與本地測試腳本，而非隱匿技術細節。其安全政策指出，此還原版本刻意保留了所報告的漏洞，且未提供任何已部署的修補措施。