CVE-2024-54134

Solana dapp'leri tarafından yaygın olarak kullanılan bir JavaScript kütüphanesi olan `@solana/web3.js` için bir yayınlama erişim hesabı ele geçirilmiştir. Bu durum, bir saldırganın özel anahtar materyallerini çalmaya ve özel anahtarları doğrudan işleyen botlar gibi dapp'lerden fonları boşaltmaya olanak tanıyan, değiştirilmiş, yetkisiz ve kötü amaçlı paketler yayınlamasına izin vermiştir. Custodial olmayan cüzdanlar genellikle işlemler sırasında özel anahtarları açığa çıkarmadıkları için bu sorun onları etkilememelidir. Bu, Solana protokolünün kendisiyle ilgili bir sorun değil, belirli bir JavaScript istemci kütüphanesi ile ilgili bir sorundur ve yalnızca özel anahtarları doğrudan işleyen ve 3 Aralık 2024 Salı günü UTC 15:20 ile 20:25 saatleri arasında güncelleme yapan projeleri etkiliyor görünmektedir. Yetkisiz olan bu iki sürüm (1.95.6 ve 1.95.7) birkaç saat içinde tespit edilmiş ve o zamandan beri yayından kaldırılmıştır. Tüm Solana uygulama geliştiricileri 1.95.8 sürümüne yükseltme yapmalıdır. Ele geçirilmiş olabileceğinden şüphelenen geliştiriciler; multisig'ler, program yetkileri, sunucu anahtar çiftleri ve benzerleri dahil olmak üzere tüm şüpheli yetki anahtarlarını değiştirmelidir.