ソラナはToken-2022の機密転送に影響する脆弱性をパッチ適用で修正
ソラナ財団（Solana Foundation）が、ソラナ（Solana）ブロックチェーン上の「Token-2022」規格トークンの機密転送（confidential transfer）に影響する脆弱性が発見され、パッチ適用により修正されたことを5月3日に発表した。
この脆弱性は、2025年4月16日にセキュリティ研究者ロンリースロース（LonelySloth）氏によってアンザ（Anza）のGithubセキュリティアドバイザリに報告された。アンザ、ファイアダンサー（Firedancer）、ジト（Jito）のエンジニアがこの報告を評価し、「ZK ElGamal」プルーフプログラムが無効な証明を有効なものとして受け入れてしまう可能性があることを確認した。
この脆弱性は、ゼロ知識証明システムで使用されるフィアット・シャミール変換（Fiat-Shamir Transformation）において、一部の代数的コンポーネントがトランスクリプト生成に使用されるハッシュに含まれていなかったことが原因とされている。
悪意を持つユーザーが、この脆弱性を悪用して攻撃することで「Token-2022」規格の機密トークンに対して無制限のトークン発行や任意のアカウントからのトークン引き出しなどの不正行為が可能になる恐れがあったという。
ソラナ財団とジトチームは、4月17日18:00（UTC）頃からバリデーターオペレーターに直接連絡を取り、その日中にパッチを配布し始めた。その後、コードベースの別の領域に同様の問題があることが判明し、2つ目のパッチも開発され配布された。4月18日20:00（UTC）頃には、過半数のステーク（検証者の投票権）がパッチを採用したことが確認され、同日21:01（UTC）にはDiscordでパッチが公式に発表された。
今回修正された脆弱性は、「Token-2022」規格の機密トークンのみに影響し、一般的なソラナトークンには影響しないとのことだ。また、この潜在的な脆弱性が実際に悪用された事例は確認されていないとのことだ。
なおソラナ財団は、「すべての資金は安全であり、潜在的な脆弱性の既知の悪用はない」と述べている。
参考：ソラナブログ
画像：PIXTA