Разработчики Ethereum исправили ошибку в предстоящем обновлении Glamsterdam, которая могла позволить кому-то присвоить себе ETH, предназначенный для новых валидаторов, использующих сервисы стейкинга.

Исправление, которое изменило правила обработки депозитов валидаторов, было внесено в понедельник, через неделю после того, как разработчики отклонили его.

Glamsterdam разделяет две задачи, которые сейчас объединены. Создатели блоков собирают блоки транзакций, а валидаторы, которые вносят ETH в качестве залога для обеспечения безопасности сети, выбирают и подтверждают их. Оба могут вносить ETH, и предполагается, что их средства будут отслеживаться отдельно.

Как могли быть потеряны средства

Проблема возникла во время самого обновления, когда Ethereum обрабатывал депозиты, которые еще не были зачислены.

Исследователь avsetsin выявил сценарий, в котором оператор сначала регистрируется в качестве создателя блоков, используя определенный публичный ключ, который связан с валидатором или создателем блоков. Если сервис стейкинга затем вносит ETH для запуска валидатора под этим ключом, то согласно предварительным правилам, оба депозита будут зачислены создателю блоков.

«Оператор может вывести средства протокола», — написал avsetsin. Валидатор не создается, поэтому сервис стейкинга не может предоставить доказательство, необходимое для возврата своих средств.

Avsetsin, который указан как член организации Lido на GitHub, изучил, как это может повлиять на Lido, Origin и Rocket Pool, в рамках того, что исследователь назвал «быстрым исследованием с использованием ИИ». Результаты зависели от того, как каждый протокол обрабатывает депозиты.

«Это условные результаты анализа кода, а не подтвержденные реальные уязвимости», — написал avsetsin, добавив, что существующие проверки, отклоняющие более ранний депозит создателя блоков, могут остановить атаку. О каких-либо потерях не сообщалось.

Отклонено, затем принято

Разработчики закрыли предложенное исправление 19 октября. «В настоящее время недостаточно поддержки со стороны клиентов, чтобы внести это изменение», — написал Джастин Тралья, который поддерживает спецификации консенсуса Ethereum. Клиенты — это отдельные программные программы, которые валидаторы используют для участия в сети.

Исправление было повторно открыто после дальнейшего рассмотрения, avsetsin добавил тесты 23 октября, и Тралья внес его в понедельник.

Согласно новым правилам, ожидающие депозиты сортируются по их учетным данным для вывода средств, настройке, которая определяет, куда в конечном итоге могут быть направлены средства депозита. Депозиты валидаторов остаются у валидаторов, даже если создатель блоков использует тот же ключ.

Изменение теперь является частью спецификаций консенсуса Ethereum, и командам, разрабатывающим клиентское программное обеспечение, все еще необходимо интегрировать его в свои программы. Glamsterdam уже был запущен в тестовой сети Sepolia, но его запуск 26 октября в Hoodi, второй тестовой сети, был отложен.

Glamsterdam требует новой даты запуска в Hoodi, прежде чем можно будет запланировать запуск в основной сети.

Подробнее: Ethereum откладывает тестирование Glamsterdam после того, как разработчики, отвечающие за безопасность, указали на риск для существующих контрактов