Ethereum откладывает форк тестовой сети Glamsterdam из-за уязвимостей в механизме газа

Разработчики Ethereum отложили запланированную активацию обновления сети Glamsterdam в её тестовой сети Hoodi после того, как фирма по безопасности ChainSecurity обнаружила проблемы с тем, как обновление изменяет газ, сообщил аудитор в четверг.

"Только что было решено отложить хардфорк Glamsterdam в тестовой сети Hoodi из-за выявленных нами последствий для безопасности", — написала ChainSecurity, добавив, что уже "нашла 13 реальных примеров" и находится в процессе ответственного раскрытия информации с затронутыми проектами.

Обновление должно было быть запущено в Hoodi в понедельник. Операторам узлов следует вернуться к более старой версии программного обеспечения без запланированного обновления или дождаться, пока их команда клиента исполнения выпустит новую версию, отменяющую его, сообщила исследователь Ethereum Кристин Ким. Престон Ван Лун, разработчик клиента консенсуса Prysm, сообщил, что релиз Prysm, удаляющий обновление из расписания Hoodi, последует в тот же день.

Газ — это плата за вычислительную работу в Ethereum. Glamsterdam изменяет то, как сеть взимает плату за создание и доступ к хранимым данным, посредством двух предложений, EIP-8037 и EIP-8038, и вводит отдельный пул газа для создания нового состояния.

Согласно анализу ChainSecurity, эти изменения нарушают допущения, на которые полагаются многие контракты, когда внешний вызов завершается неудачей. Некоторые контракты используют проверки газа или полагаются на то, что вызов исчерпает газ, чтобы не позволить злоумышленнику намеренно предоставить слишком мало газа, из-за чего допустимая операция завершается неудачей и фиксируется как постоянный сбой — тактика, известная как griefing из-за недостатка газа.

Как выяснила фирма, в рамках Glamsterdam газ может быть пополнен или возвращён контракту после неудачного вызова, а пересмотр цен может изменить объём газа, необходимый для вызова. «Даже при неизменном коде контракта путь отказа, который ранее приводил к откату, теперь может завершиться успешно», — написала она. ChainSecurity призвала проекты проверить свои контракты, заявив, что Ethereum Foundation выясняет, сколько из них затронуто.

Путь Glamsterdam к мейннету

Glamsterdam уже запущен в Sepolia, другой тестовой сети Ethereum, которая активировала обновление 6 октября и начала производить блоки с лимитом газа почти 200 миллионов, что более чем в три раза превышает 60 миллионов в мейннете. Обновление также добавляет списки доступа на уровне блоков, которые позволяют компьютерам проверять транзакции параллельно, и переносит аукцион, определяющий, кто собирает каждый блок, в собственные правила Ethereum.

Разработчики планировали выпустить Glamsterdam в основной сети к концу 2026 года, раньше Hegotá — следующего обновления, которое ожидается в 2027 году и может добавить встроенные функции конфиденциальности. Новая дата для форка Hoodi не установлена.