Разработчики Ethereum исправили ошибку в предстоящем обновлении Glamsterdam, которая могла позволить злоумышленнику похитить $ETH, предназначенный для новых валидаторов, участвующих в стейкинге.

Исправление, которое изменило правила обработки депозитов валидаторов, было внесено в понедельник, через неделю после того, как разработчики отклонили его.

В Glamsterdam разделяются две задачи, которые сейчас объединены. Создатели блоков собирают транзакции в блоки, а валидаторы, которые вносят $ETH для обеспечения безопасности сети, выбирают и подтверждают эти блоки. И те, и другие могут вносить $ETH, и предполагается, что их средства будут отслеживаться отдельно.

Как могли быть потеряны средства

Проблема возникла в процессе обновления, когда Ethereum обрабатывал депозиты, которые еще не были зачислены.

Исследователь avsetsin выявил сценарий, в котором оператор сначала регистрируется как создатель блоков, используя определенный публичный ключ, который связан с валидатором или создателем блоков. Если затем сервис стейкинга вносит $ETH для запуска валидатора под этим ключом, то согласно предварительным правилам, оба депозита будут зачислены создателю блоков.

«Оператор может вывести средства протокола», — написал avsetsin. Валидатор не создается, поэтому сервис стейкинга не может предоставить доказательство, необходимое для возврата средств.

Avsetsin, который указан как член организации Lido в GitHub, изучил, как это может повлиять на Lido, Origin и Rocket Pool, в рамках того, что исследователь назвал «быстрым исследованием с использованием искусственного интеллекта». Результаты зависели от того, как каждый протокол обрабатывает депозиты.

«Это условные результаты анализа кода, а не подтвержденные случаи эксплуатации», — написал avsetsin, добавив, что существующие проверки, отклоняющие предыдущий депозит создателя блоков, могут остановить атаку. О потерях не сообщалось.

Сначала отклонили, затем внесли изменения

Разработчики отклонили предложенное исправление 19 октября. «В настоящее время недостаточно поддержки со стороны клиентов, чтобы внести эти изменения», — написал Джастин Тралья, который поддерживает спецификации консенсуса Ethereum. Клиенты — это отдельные программные программы, которые валидаторы используют для участия в сети.

После дальнейшего рассмотрения исправление было возобновлено, avsetsin добавил тесты 23 октября, и Тралья внес его в понедельник.

Согласно новым правилам, ожидающие депозиты сортируются по их учетным данным для вывода средств, настройке, которая указывает, куда в конечном итоге могут быть направлены средства депозита. Депозиты валидаторов остаются у валидаторов, даже если создатель блоков использует тот же ключ.

Изменение теперь является частью спецификаций консенсуса Ethereum, и командам разработчиков клиентов все еще необходимо интегрировать его в свое программное обеспечение. Glamsterdam уже был запущен в тестовой сети Sepolia, но его запуск 26 октября в Hoodi, второй тестовой сети, был отложен.