Succinct揭露SP1潛在漏洞後發布修復版本，批評者表示溝通過程缺乏透明度

BlockBeats 訊息，1 月 29 日，LambdaClass 近日披露了零知識證明基礎設施公司 Succinct SP1 ZKVM 證明生成過程中的一個嚴重安全漏洞，此後其受到了嚴格審查。 SP1 版本 3 中的漏洞是與 3Mi Labs 和 Aligned 合作發現的，源自於兩個獨立安全漏洞的相互作用。

Succinct 先前透過 Github 和 Telegram 向其用戶揭露了這項潛在漏洞。雖然該漏洞在披露之前很快就已解決，但這個過程引發了人們對零知識虛擬機器（ZKVM）安全實踐透明度的擔憂。

據 Avail 的 Anurag Arjun 稱，Succinct 領導層在修復該問題方面採取了負責任的行動，但他同意需要更好的公開披露做法。 Arjun 證實，其團隊在漏洞公開披露之前已私下獲悉此問題。 Avail 的部署沒有面臨風險，因為他們依賴 Succinct 的專有證明器，該證明器仍處於許可狀態。 Avail 的 rollup 用戶端尚未開始使用其 SP1 驅動的橋接合約，因此沒有實際影響。同時，Succinct 的支持者指出，負責任的揭露通常涉及在公開聲明之前進行私下報告，以避免不必要的恐慌和潛在的利用。此外，Succinct 的 SP1 更新版本 4（稱為 Turbo）解決了已發現的漏洞，下游專案已開始整合這些修復程式。 （Blockworks）

原文連結