솔라나 기반 투자 펀드 출시 플랫폼 다오스펀(daos.fun)의 메인넷 프로그램에 중대한 보안 취약점이 있다는 주장이 제기됐다.

비공개 프로그램을 역분석한 개발자가 재구성한 소스코드와 보안 검토 자료를 공개하면서 취약점의 영향 범위와 대응 여부에 관심이 쏠리고 있다.

코인니스에 따르면 개발자 쇼는 다오스펀의 메인넷 프로그램을 분석하는 과정에서 심각한 보안 취약점을 발견했다고 밝혔다. 다만 보도 시점 기준 해당 취약점이 실제 공격에 사용된 사례나 이용자 자산에 미친 영향은 확인되지 않았다.

쇼가 공개한 깃허브 저장소에는 복원한 소스코드와 원본 실행 파일, 재현 가능한 빌드 자료, 보안 검토 결과 등이 포함돼 있다.

저장소 설명에 따르면 재구성한 솔라나 프로그램은 확보한 원본 실행 파일과 바이트 단위로 일치하며 두 파일의 SHA-256 해시값도 동일하다.

이는 공개된 코드로 원본과 동일한 실행 파일을 재현할 수 있다는 개발자 측 설명을 뒷받침하는 자료다.

다만 실행 파일의 일치 여부와 취약점으로 인한 실제 피해 발생 여부는 구분해야 한다. 코드 재현에 성공했다는 사실만으로 자금 탈취나 자산 손실이 발생했다고 판단할 수는 없다.

공개 자료에는 원본 소스코드를 그대로 되찾았다는 표현에 대한 기술적 한계도 명시됐다. 실행 파일을 바탕으로 동일한 동작을 구현할 수 있더라도 원래 개발자가 사용한 주석이나 변수 이름 등을 유일하게 복원할 수 있는 것은 아니라는 설명이다.

특히 공개된 코드는 보안 문제가 수정된 배포본이 아니다. 저장소는 알려진 취약점을 포함해 기존에 배포된 프로그램의 동작을 보존한 재구성본이라고 명시하고 있다. 따라서 소스코드 공개를 취약점 해결이나 메인넷 보안 업데이트 완료로 해석해서는 안 된다.

다오스펀의 운영 상태도 함께 주목받고 있다. 코인니스는 플랫폼이 유지보수와 신규 DAO·토큰 생성을 중단한 상태지만, 기존 토큰은 계속 거래할 수 있다고 전했다. 다만 이번 취약점 발견 주장과 운영 중단 사이의 인과관계는 해당 보도에서 확인되지 않았다.

기존 토큰이 거래된다는 사실 역시 관련 프로그램의 안전성이 검증됐다는 의미는 아니다. 토큰의 유통 여부와 펀드 자산을 관리하는 프로그램의 보안 상태는 별도로 살펴야 할 사안이다.

이번 사안의 핵심은 공개된 보안 검토 결과가 실제 메인넷 환경에서 어느 범위까지 적용되는지, 영향을 받는 자산과 기능이 무엇인지 확인하는 데 있다.

현재로서는 개발자가 중대 취약점을 발견했다고 주장하고 관련 자료를 공개한 단계이며 실제 피해 규모나 이용자 자금의 안전성을 단정하기는 어렵다.