Gli sviluppatori di Ethereum hanno risolto una vulnerabilità potenzialmente grave nel prossimo aggiornamento Glamsterdam, che avrebbe potuto consentire ai creatori di blocchi di prelevare ETH destinati ai validatori di staking.
La falla ha sollevato preoccupazioni circa la sicurezza dei depositi in staking durante la transizione di Ethereum al nuovo sistema di produzione dei blocchi. Sebbene non siano stati segnalati casi di perdita di fondi, la scoperta sottolinea l'importanza di test approfonditi prima che importanti aggiornamenti della blockchain raggiungano la rete principale.
La correzione è stata integrata il 26 ottobre, dopo ulteriori verifiche e test da parte degli sviluppatori.
In breve
- Gli sviluppatori di Ethereum hanno corretto una vulnerabilità di Glamsterdam che avrebbe potuto reindirizzare i depositi di staking dei validatori verso account controllati dai costruttori.
- La soluzione proposta era stata inizialmente respinta il 19 ottobre, ma è stata successivamente riconsiderata e integrata dopo ulteriori test.
- Non sono state segnalate perdite, mentre l'attivazione della testnet Hoodi relativa all'aggiornamento rimane posticipata.
Un bug di Ethereum, denominato "Glamsterdam Bug", espone potenziali rischi legati allo staking.
Il prossimo aggiornamento Glamsterdam di Ethereum introduce importanti modifiche al modo in cui i blocchi vengono creati e convalidati.
Una delle sue caratteristiche principali è la separazione formalizzata tra proponente e costruttore (ePBS), che separa in modo rigoroso le responsabilità dei costruttori di blocchi e dei validatori all'interno del protocollo di consenso di Ethereum.
I costruttori assemblano le transazioni in blocchi, mentre i validatori partecipano alla sicurezza della rete e alla conferma dei blocchi proposti.
Tuttavia, gli sviluppatori hanno scoperto che le regole proposte per la gestione dei depositi potevano creare un conflitto imprevisto quando un costruttore e un validatore utilizzavano la stessa chiave pubblica.
Come la vulnerabilità avrebbe potuto reindirizzare ETH
Il problema è stato individuato dal ricercatore Avsetsin, che ha descritto uno scenario riguardante i depositi in attesa di lavorazione durante la transizione verso il progetto Glamsterdam.
Un operatore potrebbe innanzitutto registrarsi come sviluppatore utilizzando una specifica chiave pubblica.
Se un protocollo di staking avesse successivamente depositato ETH per istituire un validatore con la stessa chiave, le regole di aggiornamento originali avrebbero potuto accreditare entrambi i depositi al saldo del costruttore.
L'operatore avrebbe quindi potuto prelevare i fondi destinati al validatore del protocollo di staking.
A peggiorare ulteriormente la situazione, il validatore non verrebbe creato, impedendo potenzialmente al servizio di staking di ottenere la prova necessaria per recuperare il proprio deposito.
Il ricercatore ha esaminato le possibili implicazioni per i sistemi di staking associati a Lido, Origin e Rocket Pool.
Tuttavia, questi risultati erano condizionali e non dimostravano che i protocolli fossero vulnerabili nelle loro implementazioni reali.
Le misure di sicurezza esistenti potrebbero inoltre impedire tale scenario, a seconda di come i singoli servizi di staking gestiscono i depositi.
Gli sviluppatori annullano la decisione precedente sulla correzione di sicurezza.
La correzione proposta inizialmente incontrò resistenza.
Il 19 ottobre, Justin Traglia, responsabile della manutenzione delle specifiche di consenso di Ethereum, ha chiuso la proposta di modifica, citando la mancanza di supporto da parte dei team di sviluppo dei client.
I team dei clienti si occupano della manutenzione del software utilizzato dai validatori di Ethereum e dagli altri partecipanti alla rete.
La decisione è stata successivamente riconsiderata, poiché gli sviluppatori hanno avuto più tempo per esaminare il problema.
Il 23 ottobre Avsetsin ha introdotto ulteriori test e la correzione aggiornata è stata integrata il 26 ottobre.
In base alle norme riviste, i depositi in sospeso vengono classificati in base alle credenziali di prelievo anziché basandosi esclusivamente sulla chiave pubblica.
Questo contribuisce a garantire che i depositi destinati ai validatori rimangano associati ai validatori, anche quando un costruttore utilizza la stessa chiave.
Per i lettori che seguono gli sviluppi di Ethereum , l'inversione di rotta dimostra come le revisioni di sicurezza possano influenzare decisioni importanti relative al protocollo.
I ritardi della rete di test di Glamsterdam continuano.
Sebbene la vulnerabilità del deposito sia stata affrontata a livello di specifiche, Glamsterdam deve ancora soddisfare ulteriori requisiti di test.
L'aggiornamento era stato precedentemente attivato sulla rete di test Sepolia di Ethereum il 6 ottobre.
Una successiva attivazione sulla rete di test Hoodi era prevista per il 26 ottobre, ma è stata rinviata.
Il ritardo è stato causato da preoccupazioni relative alle interazioni tra le modifiche proposte al costo del gas e i contratti intelligenti esistenti.
La correzione del deposito appena unificato deve essere incorporata anche nel software client Ethereum pertinente prima di procedere con l'aggiornamento.
Gli sviluppatori non hanno ancora confermato una data di attivazione sostitutiva per Hoodi né un programma di lancio per la mainnet.
Questi sviluppi rimangono importanti per l'intero ecosistema blockchain , dove gli aggiornamenti principali possono introdurre nuovi rischi tecnici oltre ai miglioramenti delle prestazioni.
Cosa significa la correzione per gli staker di Ethereum
La risoluzione rappresenta uno sviluppo positivo in termini di sicurezza per l'infrastruttura di staking di Ethereum.
Identificando e correggendo il problema prima del lancio sulla rete principale, gli sviluppatori hanno ridotto il rischio che i depositi dei validatori vengano assegnati in modo errato durante l'aggiornamento della rete.
Tuttavia, la correzione non significa che Glamsterdam sia pronta per l'impiego immediato.
L'implementazione da parte del cliente, ulteriori test e un efficace coordinamento della rete rimangono necessari.
Per gli investitori e i partecipanti che monitorano il settore delle criptovalute nel suo complesso, l'incidente ribadisce l'importanza di un'attenta fase di sviluppo e di revisione della sicurezza.
In definitiva, Glamsterdam mira a migliorare la scalabilità e l'efficienza di produzione dei blocchi di Ethereum. Il successo della sua implementazione dipenderà non solo dall'introduzione di nuove funzionalità, ma anche dalla garanzia che le operazioni di staking esistenti rimangano sicure.