Как стало известно 9 августа, блокчейн Solana смягчил существенную угрозу безопасности благодаря тихому исправлению, примененному ко всей его экосистеме. Это действие было инициировано и завершено до того, как было сделано публичное раскрытие информации, что защитило сеть от потенциальной эксплуатации злоумышленниками, согласно раскрытию Лейна, известного валидатора Solana.
Как Солана тайно исправила брешь в безопасности
Эта история началась 7 августа 2024 года, когда основные члены Фонда Солана обнаружили и приступили к устранению критической уязвимости. Первое сообщение о предстоящем патче было зашифровано доставлено сетевым валидаторам через личные сообщения от известных и проверенных контактов в Solana Foundation.
Эти сообщения были защищены с помощью хешированного сообщения, которое содержало уникальный идентификатор инцидента и временную метку, что предоставляло валидаторам проверяемые средства для уверенности в подлинности сообщения. Хэш был публично опубликован известными деятелями на нескольких платформах, включая Twitter/X, GitHub и LinkedIn, что создало уровень общественного признания без раскрытия конкретных подробностей об уязвимости.
«Возник такой вопрос, но на самом деле он не так уж и сложен. Большинство валидаторов активны в Discord, многие также активны в различных группах Telegram, мы общаемся в Twitter/X и, возможно, даже лично знаем сотрудников Anza или Foundation по Breakpoint и т. д. Валидаторам DM утомительно, но несложно передавать такие сообщения. , особенно если в этой работе участвует группа из 5–8 человек», — объяснил Лейн.
К 8 августа у фонда были готовы подробные инструкции для валидаторов. Эти инструкции, отправленные ровно в 14:00 по всемирному координированному времени, включали ссылки для загрузки патча из репозитория GitHub, которым управляет признанный инженер из Anza. Следовательно, валидаторы были проинструктированы о том, как проверять загруженные файлы, используя предоставленные суммы SHA. Таким образом, они смогли вручную проверить изменения. Это гарантировало, что операторы не будут слепо использовать непроверенный код.
По словам Лэйна, исправление имело решающее значение, поскольку «заплата сама раскрывает уязвимость», что требует быстрых и осторожных действий. Через несколько часов после первоначального обращения «сверхменьшинство» сети применило исправление, за которым вскоре последовало «сверхбольшинство», достигнув порога в 70 %, который считается необходимым для безопасности сети.
Как только критический порог исправленных узлов был достигнут, Фонд Солана публично раскрыл уязвимость и предпринятые меры по ее устранению. Это было сделано для того, чтобы побудить всех оставшихся операторов обновить свои системы и обеспечить прозрачность для более широкого сообщества.
Лайн заключил: «В конечном счете, это то, что происходит в сложной вычислительной среде: наличие уязвимости не является проблемой, но реакция имеет значение. Тот факт, что она была обнаружена и своевременно безопасно устранена, говорит о многом. к продолжающимся высококачественным инженерным работам, которые часто не видны публике, проводимым инженерами Anza и Foundation, а также инженерами Jump/Firedancer, Jito и всеми другими ключевыми командами».
Такой подход вызвал дискуссии в сообществе, особенно относительно необходимости и сроков конфиденциального общения в децентрализованных сетях. Пользователь с ником @0xemon задал вопрос на X, почему первоначальное раскрытие информации не было сделано раньше.
Лайн ответил, подчеркнув риск потенциальных эксплойтов, если уязвимость была известна до того, как значительная часть сети была защищена: «Потому что патч сам по себе делает уязвимость очевидной, поэтому злоумышленник может попытаться перепроектировать уязвимость и остановить работу сети. прежде чем будет повышена достаточная сумма ставок».
На момент публикации цена SOL не упоминалась в новостях и торговалась на уровне 154 долларов США.
