Разработчики Solana скрытно устранили критическую уязвимость сети

09.08.2024

7-8 августа разработчики Solana экстренно выпустили патч для основной сети.
Информацию о нем раскрыли только после того, как 70% валидаторов провели обновление.
Патч нацелен на устранение некой критической уязвимости.

7-8 августа 2024 года разработчики Solana скрытно выпустили патч с целью устранения критической уязвимости в сети. Об этом заявили в компании Laine, которая является одним из валидаторов блокчейна.

Anatomy of a patch

In the past few hours a critical security vulnerability and patch were disclosed on Solana, this public disclosure occured after a supermajority of stake had already been patched to protect the network. Let’s look at how this process unfolded and how 70% of…

— Laine ❤️ stakewiz.com (@laine_sa_) August 9, 2024

Согласно опубликованным данным, 7 августа 2024 года с организацией связались несколько членов фонда Solana Foundation. В Laine подчеркнули, что знали их, а потому сообщение об уязвимости не вызвало подозрений.

В нем были хеш и идентификатор уязвимости. Также в нем указывались точные дата и время отправки патча для срочного развертывания на узлах сети, добавили в Laine.

Он был доступен посредством репозитория Anza на GitHub, согласно публикации. Спустя сутки инструкции и патч распространили среди большинства участников, доля валидаторов, прошедших обновление, составила 66,6%.

Позднее, когда показатель достиг 70%, уязвимость раскрыли. После этого в Solana Foundation призвали остальных валидаторов срочно провести обновление узлов до версии 1.18.21.

На вопрос о том, почему уязвимость не раскрыли сразу, в Laine заявили, что патч фактически давал полное представление о баге. Это могло послужить причиной хакерской атаки, добавили в организации.

Отметим, ранее было несколько крупных сбоев в работе сети Solana. Так, например, блокчейн не производил новые блоки около трех часов в феврале 2024 года.

Примечательно, на суточном ценовой графике Solana (SOL) прослеживается просадка в более чем 3%. Произошло ли это на фоне новости об уязвимости, неизвестно.