Ethereum zaradi varnostnih tveganj preložil zagon testnega omrežja Glamsterdam Hoodi

Razvijalci Ethereuma so objavili zamudo pri zagonu testnega omrežja Glamsterdam Hoodi, saj so preložili Ethereum zaradi varnostnih ranljivosti, povezanih s plinom. Ta potencialna tveganja bi lahko vplivala na to, kako obstoječe pametne pogodbe obravnavajo neuspešne transakcije.

Fundacija Ethereum (EF) je navedla, da je bila nadgradnja, prvotno načrtovana za 26. oktober, preložena, da bi preučili interakcijo med določenimi predlogi in pametnimi pogodbami, nameščenimi na Ethereumu. Podjetje za varnost veriženja blokov ChainSecurity je 13. oktobra izdalo opozorilo glede dveh predlogov, EIP-8037 in EIP-8038, ki bi lahko ogrozila obstoječo zaščito.

Analiza ChainSecurity je pokazala, da bi se po predlaganih novih pravilih plin lahko vrnil v pogodbo po neuspešni operaciji, kar bi ji omogočilo nadaljevanje izvajanja, medtem ko bi se prej ustavila. Raziskovalci so ugotovili, da bi te spremembe lahko motile trenutne varnostne preglede, ki se zanašajo na količino preostalega plina med transakcijo.

Pri napadih z nezadostnim plinom zlonamerni klicatelj namerno zagotovi nezadosten plin za dokončanje legitimne operacije pametne pogodbe. ChainSecurity je opozoril, da bi predlagane spremembe Glamsterdama lahko spodkopale zaščito pred takšnimi napadi, kar bi potencialno omogočilo pogodbam, da trajno zabeležijo neuspešne operacije. Primer je bil prizadeta pogodba, ki odstrani uporabnikov zahtevek ali onemogoči možnost ponovnega poskusa operacije, kar uporabniku preprečuje dokončanje veljavne transakcije.

Čeprav je ChainSecurity navedel, da vsi varnostni pregledi, povezani s plinom, ne bodo postali nezanesljivi, je razvijalcem svetoval, naj pregledajo svoje pogodbe glede združljivosti z novimi pravili o plinu nadgradnje. Psevdonimni varnostni raziskovalec pcaversaccio je v komentarju na GitHubu 21. oktobra opisal ugotovljena tveganja kot resna in se zavzel za ponovno oceno hard forka.

V petek je ChainSecurity poročal o identifikaciji 13 primerov prizadetih projektov v realnem svetu in je usklajeval odgovorno razkritje. Podjetje ni objavilo posebnih podrobnosti ali identificiralo projektov, vendar je razvijalce pozvalo, naj nemudoma preverijo svoje pogodbe. To sledi prejšnjemu opozorilu fundacije Ethereum, da bi Glamsterdamov model plina lahko motil denarnice, indeksatorje in ocenjevalce plina.