Solana网络验证者险些酿成大祸，推出了一个补丁，消除了一个可能允许攻击者无限铸造某些代币或从任何账户提取代币的程序漏洞。
这个漏洞仅影响Token-22机密代币，发现于ZK ElGamal Proof程序，该程序认证加密余额并验证零知识证明的准确性。
"在链上ZK ElGamal Proof程序中，某些代数组件未被包含在用于生成Fiat-Shamir转换转录的哈希中，"Solana基金会的事后报告显示。"一个复杂的攻击者可以使用这些未哈希的组件开发一个未经授权操作的伪造证明，并通过验证。"
换句话说，攻击者本可以使用伪造的证明无限铸造Token-22机密代币或从账户中提取。
这个潜在漏洞最初于4月16日报告给Anza Github安全咨询，并在Anza、Firedancer和Jito的工程师评估和确认后，于次日直接向验证者推送补丁。
Anza是由前Solana Labs员工组成的Solana开发公司，Jito是生态系统中著名的基础设施公司。Firedancer是Jump Crypto正在开发的Solana验证者客户端。
安全公司Asymmetric Research、Neodyme和OtterSec也被邀请提供支持并审查补丁。
到4月18日下午，绝大多数验证者运营商采用了修复，其中包括用于解决代码库另一部分类似问题的第二个补丁。现在已采用补丁，资金没有风险，且未发现已知的漏洞利用。
尽管补丁得到快速处理且未知有资金被利用，但Solana基金会在社交媒体上仍面临一些批评。一些用户指出了这次在基金会通过事后报告公开之前两周进行的幕后升级。
"我听到的是不是这样？Solana主网上存在零日漏洞，超过70%的验证者私下串通升级并在漏洞公开前修补关键bug，"一位匿名以太坊生态系统开发者在X平台（原Twitter）上发文。
这篇文章引起了著名Solana开发者和Solana联合创始人Anatoly Yakovenko的反驳。就连资深以太坊开发者Hudson Jameson也发表意见，称这种方法是典型且必要的修复问题方式。
"这完全没问题，"Jameson在X平台上说。"比特币、Zcash和以太坊都曾有核心开发者需要私下计划秘密修复bug的情况。良好的链文化意味着拥有能够完成隐秘修复的成熟开发者。"
"我参与了在公开发布前向验证者分发这个补丁，"Solana基金会验证者关系负责人Tim Garcia说。"我很乐意听取关于更好流程的建议。不幸的是，在获得足够采用前在公开场合进行分发是行不通的。"
这绝非Solana首次面临中心化批评；值得注意的是，去年10月，著名告密者爱德华·斯诺登曾指出Solana在第一层区块链的中心化问题。Solana生态系统领导者进行了反驳，Yakovenko表示："一如既往，Solana仅在客观可测量的指标上去中心化，在所有其他指标上都是中心化的。"
根据其网站，Solana目前拥有1,279个验证者。
