توسعه‌دهندگان و اعتبارسنج‌های شبکه سولانا موفق شدند یک آسیب‌پذیری خطرناک را به‌سرعت رفع کنند. این نقص می‌توانست امکان ساخت نامحدود توکن‌های خاصی را فراهم کند. هرچند حمله‌ای ثبت نشده، اما شیوه مدیریت این باگ، انتقادات تازه‌ای درباره تمرکزگرایی شبکه به دنبال داشت.
جزئیات فنی باگ امنیتی چه بود؟
در گزارشی که بنیاد سولانا در تاریخ ۳ مه منتشر کرد، تأیید شد که این آسیب‌پذیری روز صفر (Zero-day) به مهاجم احتمالی اجازه می‌داد توکن‌های خاصی به‌نام Token-22 را ضرب (mint) کرده و حتی از حساب کاربران خارج کند.
این آسیب‌پذیری به دو مؤلفه اصلی مربوط بود:
-
Token-2022: برنامه‌ای که منطق ایجاد و مدیریت توکن‌ها را در سولانا مدیریت می‌کند.
-
ZK ElGamal Proof: ابزار راستی‌آزمایی اثبات‌های صفر دانشی برای نمایش موجودی‌های صحیح.
در فرآیند تولید رونوشت تبدیل فیات-شمیر (Fiat-Shamir Transformation)، برخی اجزای جبری حیاتی در هش نهایی لحاظ نشده بودند. این یک روش رمزنگاری است که در سیستم‌های بلاک چین و پروتکل‌های اثبات (مانند اثبات دانش صفر) استفاده می‌شود. این نادیده‌گیری به مهاجم اجازه می‌داد اثبات جعلی ساخته و توکن‌ها را به‌صورت غیرقانونی دریافت کند.
چه اقداماتی انجام شد؟
-
نقص امنیتی در تاریخ ۱۶ آوریل شناسایی شد.
-
در کمتر از ۴۸ ساعت، دو پچ امنیتی منتشر شد.
-
اکثریت اعتبارسنج‌های سولانا، نسخه پچ‌شده را پذیرفتند.
-
شرکت‌های Anza، Firedancer، Jito، و تیم‌های امنیتی Asymmetric Research، Neodyme، و OtterSec در رفع این مشکل همکاری داشتند.
-
بنیاد سولانا تأیید کرده که هیچ دارایی‌ای به سرقت نرفته است.
چرا این باگ باعث نگرانی شد؟
گرچه مشکل به‌موقع برطرف شد، اما نحوه مدیریت آن (در تعامل مستقیم و بدون اطلاع‌رسانی عمومی با اعتبارسنج‌ها) باعث نگرانی‌هایی در مورد تمرکز شبکه شد.
یکی از اعضای پروژه Curve Finance پرسید:
چرا یک نهاد به تمام اعتبارسنج‌ها و اطلاعات تماس‌شان دسترسی دارد؟ در این کانال‌ها چه چیزهای دیگری رد و بدل می‌شود؟
این موضوع نگرانی از امکان سانسور تراکنش‌ها یا حتی بازگرداندن زنجیره (rollback) را مطرح کرد.
واکنش‌ها: سولانا در مقابل اتریوم
آنتولی یاکوونکو، مدیرعامل سولانا لبز، گفت این موضوع در اتریوم هم قابل وقوع است، چون:
۷۰ درصد از ولیدیتورهای اتریوم توسط نهادهایی مثل Lido، بایننس، کوین‌بیس و کراکن کنترل می‌شوند.
در مقابل، رایان برکمنز از جامعه اتریوم پاسخ داد:
در اتریوم تنوع کلاینت وجود دارد، اما در سولانا فقط یک کلاینت موجود است. یعنی باگ در این کلاینت به معنی باگ در کل پروتکل است.
گام بعدی سولانا چیست؟
کلاینت جدید Firedancer قرار است طی ماه‌های آینده عرضه شود و پایداری و تمرکززدایی شبکه را افزایش دهد. اما منتقدان می‌گویند حداقل سه کلاینت فعال برای رسیدن به سطح مطلوب تمرکززدایی نیاز است.
جمع‌بندی
هرچند سولانا توانست یک تهدید جدی را بدون خسارت پشت‌سر بگذارد، اما با وجود رشد اخیر قیمت سولانا بار دیگر زیر ذره‌بین قرار گرفته است. پرسش‌هایی مانند چه کسی تصمیم‌گیر نهایی است؟ و آیا واقعاً غیرمتمرکز است؟ حالا پررنگ‌تر از همیشه مطرح شده‌اند. در دنیای بلاک چین، اعتماد فقط از شفافیت و تنوع می‌آید؛ نه صرفاً از سرعت عمل.
