Solana網路驗證者險些釀成大禍，推出了一個補丁，消除了一個可能允許攻擊者無限鑄造某些代幣或從任何賬戶提取代幣的程式漏洞。
這個漏洞僅影響Token-22機密代幣，發現於ZK ElGamal Proof程式，該程式認證加密餘額並驗證零知識證明的準確性。
"在鏈上ZK ElGamal Proof程式中，某些代陣列件未被包含在用於生成Fiat-Shamir轉換轉錄的雜湊中，"Solana基金會的事後報告顯示。"一個複雜的攻擊者可以使用這些未雜湊的元件開發一個未經授權操作的偽造證明，並透過驗證。"
換句話說，攻擊者本可以使用偽造的證明無限鑄造Token-22機密代幣或從賬戶中提取。
這個潛在漏洞最初於4月16日報告給Anza Github安全諮詢，並在Anza、Firedancer和Jito的工程師評估和確認後，於次日直接向驗證者推送補丁。
Anza是由前Solana Labs員工組成的Solana開發公司，Jito是生態系統中著名的基礎設施公司。Firedancer是Jump Crypto正在開發的Solana驗證者客戶端。
安全公司Asymmetric Research、Neodyme和OtterSec也被邀請提供支援並審查補丁。
到4月18日下午，絕大多數驗證者運營商採用了修復，其中包括用於解決程式碼庫另一部分類似問題的第二個補丁。現在已採用補丁，資金沒有風險，且未發現已知的漏洞利用。
儘管補丁得到快速處理且未知有資金被利用，但Solana基金會在社交媒體上仍面臨一些批評。一些使用者指出了這次在基金會透過事後報告公開之前兩週進行的幕後升級。
"我聽到的是不是這樣？Solana主網上存在零日漏洞，超過70%的驗證者私下串通升級並在漏洞公開前修補關鍵bug，"一位匿名以太坊生態系統開發者在X平臺（原Twitter）上發文。
這篇文章引起了著名Solana開發者和Solana聯合創始人Anatoly Yakovenko的反駁。就連資深以太坊開發者Hudson Jameson也發表意見，稱這種方法是典型且必要的修復問題方式。
"這完全沒問題，"Jameson在X平臺上說。"比特幣、Zcash和以太坊都曾有核心開發者需要私下計劃秘密修復bug的情況。良好的鏈文化意味著擁有能夠完成隱秘修復的成熟開發者。"
"我參與了在公開發布前向驗證者分發這個補丁，"Solana基金會驗證者關係負責人Tim Garcia說。"我很樂意聽取關於更好流程的建議。不幸的是，在獲得足夠採用前在公開場合進行分發是行不通的。"
這絕非Solana首次面臨中心化批評；值得注意的是，去年10月，著名告密者愛德華·斯諾登曾指出Solana在第一層區塊鏈的中心化問題。Solana生態系統領導者進行了反駁，Yakovenko表示："一如既往，Solana僅在客觀可測量的指標上去中心化，在所有其他指標上都是中心化的。"
根據其網站，Solana目前擁有1,279個驗證者。
