Solana基金会确认，一个允许攻击者潜在铸造特定代币并从用户账户提取这些代币的零日漏洞已被修复。
根据Solana基金会5月3日发布的事后分析报告显示，这个于4月16日首次发现的安全漏洞可能允许攻击者伪造无效证明，影响Solana的隐私功能"Token-22保密代币"。
基金会表示，目前尚未发现该漏洞被利用的情况，且Solana验证者已采用修复后的版本。
零日安全漏洞影响Token-22保密代币
据Solana基金会介绍，此安全漏洞涉及两个程序：Token-2022和ZK ElGamal证明。
Token-2022负责处理代币铸造和账户的主要应用逻辑，而ZK ElGamal证明则验证零知识证明的正确性，以显示准确的账户余额。
基金会表示，在Fiat-Shamir转换的记录生成过程中，某些代数组件从哈希中被遗漏。该转换指定了证明者如何使用加密哈希函数创建公共随机性。
这个缺陷可能使攻击者通过伪造通过验证的证明来利用未哈希的组件，从而铸造和窃取Token-22保密代币。
Token-22保密代币（也称为"扩展代币"）利用零知识证明实现私密转账，旨在实现高级代币功能。
该漏洞于4月16日首次被发现，随后部署了两个补丁来解决问题。大多数Solana验证者在约两天后采用了这些补丁。
Solana开发公司Anza、Firedancer和Jito是安全补丁的主要参与方，Asymmetric Research、Neodyme和OtterSec也提供了协助。
基金会确认所有资金均安全。
尽管漏洞已修复，但Solana基金会与验证者私下处理此事的方式引发了加密社区对中心化的担忧。
一位Curve Finance贡献者对基金会与Solana验证者的密切关系表示担忧。
"为什么有人掌握着所有验证者的名单和联系方式？他们在这些通信渠道中还在讨论什么？"该贡献者担心他们可能串通审查交易或回滚区块链。
Solana Labs首席执行官Anatoly Yakovenko没有直接否认这些说法，但表示以太坊社区成员也可以协调解决类似的安全漏洞。
Yakovenko表示，超过70%的以太坊网络验证者由加密货币交易所或质押运营商如Lido控制。
"在以太坊网络中，要达到70%的控制权的都是同一群人。所有的Lido验证者（包括Chorus One、P2P等）、币安（Binance）、Coinbase和Kraken。如果geth需要推送补丁，我很乐意为他们协调。"
去年8月，Solana基金会和网络验证者在幕后解决了另一个关键漏洞。当时，基金会执行董事Dan Albert表示，协调补丁的能力并不意味着Solana是中心化的。
以太坊社区成员反驳中心化质疑
以太坊社区成员Ryan Berckmans驳斥了以太坊面临与Solana相同中心化问题的说法，指出以太坊具有充分的客户端多样性。
Berckmans表示，以太坊最流行的客户端geth的市场份额最多为41%，而Solana只有一个生产就绪的客户端Agave。
"这意味着Sol单一客户端中的零日漏洞实际上就是协议漏洞。改变单一客户端程序就等于改变协议本身。"
目前，Solana计划在未来几个月推出新的客户端Firedancer，预计将提高网络的弹性和运行时间。
然而，Berckmans表示，Solana需要三个客户端才能在客户端层面实现足够的去中心化。
