Ethereum-Entwickler beheben Sicherheitsanfälligkeit im Glamsterdam-Update

Ethereum-Entwickler haben eine Schwachstelle im kommenden Glamsterdam-Update behoben, die es jemandem ermöglicht hätte, ETH abzuziehen, die von Staking-Diensten für neue Validatoren vorgesehen waren. Der Fix, der die Regeln für die Verarbeitung von Einzahlungen ändert, wurde am Montag zusammengeführt—eine Woche nachdem er ursprünglich abgelehnt wurde.

Glamsterdam trennt zwei Funktionen: Builder setzen Blöcke zusammen, während Validatoren, die ETH staken, diese auswählen und bestätigen. Beide tragen ETH bei, und die Gelder müssen separat verbucht werden. Das Problem trat bei der Verarbeitung von Einzahlungen auf, die auf eine Gutschrift warteten. Forscher avsetsin beschrieb ein Szenario: Ein Betreiber registriert sich als Builder mit einem bestimmten öffentlichen Schlüssel, dann hinterlegt ein Staking-Dienst ETH für einen Validator unter demselben Schlüssel—die Entwurfsregeln würden beide Einzahlungen dem Builder gutschreiben. "Der Betreiber könnte Protokollgelder abheben", schrieb avsetsin. Der Validator wird nicht erstellt, und der Dienst kann keinen Nachweis für die Rückgabe der Gelder erhalten.

avsetsin überprüfte Lido, Origin und Rocket Pool in einer "schnellen, KI-unterstützten Untersuchung", betonte jedoch: "Dies sind bedingte Feststellungen im Code, keine bestätigten Exploits." Bestehende Prüfungen, die eine frühere Builder-Einzahlung ablehnen, könnten den Angriff stoppen. Es wurden keine Verluste verzeichnet.

Entwickler schlossen den Fix am 19. Oktober ab: "Zu diesem Zeitpunkt zeigten die Clients nicht genügend Unterstützung", schrieb Justin Truglia, der Konsensspezifikationen unterstützt. Nach weiterer Analyse fügte avsetsin am 23. Oktober Tests hinzu, und Truglia fügte den Fix am Montag zusammen. Unter den neuen Regeln werden ausstehende Einzahlungen nach Abhebungsnachweisen sortiert: Validator-Einzahlungen bleiben bei den Validatoren, selbst wenn der Builder denselben Schlüssel verwendet. Die Änderung wurde in die Konsensspezifikationen aufgenommen, aber die Client-Teams müssen sie noch in Software implementieren. Glamsterdam hat bereits Sepolia bestanden, aber der Start auf Hoodi, der für den 26. Oktober geplant war, wurde verschoben.