Los desarrolladores de Ethereum solucionan una vulnerabilidad en la actualización Glamsterdam

Los desarrolladores de Ethereum han solucionado una vulnerabilidad en la próxima actualización Glamsterdam que podría haber permitido a alguien retirar ETH destinado por servicios de staking para nuevos validadores. La corrección, que cambia las reglas para procesar depósitos, se fusionó el lunes, una semana después de que fuera inicialmente rechazada.

Glamsterdam separa dos funciones: los constructores ensamblan bloques, mientras que los validadores que hacen staking de ETH los seleccionan y confirman. Ambos contribuyen con ETH, y los fondos deben contabilizarse por separado. El problema surgió en el procesamiento de depósitos en espera de acreditación. El investigador avsetsin describió un escenario: un operador se registra como constructor con una clave pública específica, luego un servicio de staking deposita ETH para un validador bajo la misma clave; las reglas preliminares acreditarían ambos depósitos al constructor. "El operador podría retirar fondos del protocolo", escribió avsetsin. El validador no se crea, y el servicio no puede obtener prueba para la devolución de fondos.

avsetsin verificó Lido, Origin y Rocket Pool en una "investigación rápida asistida por IA", pero enfatizó: "Estos son hallazgos condicionales en el código, no exploits confirmados". Los controles existentes que rechazan un depósito anterior del constructor podrían detener el ataque. No se han registrado pérdidas.

Los desarrolladores cerraron la corrección el 19 de octubre: "En ese momento, los clientes no mostraron suficiente apoyo", escribió Justin Truglia, quien apoya las especificaciones de consenso. Después de un análisis más detallado, avsetsin agregó pruebas el 23 de octubre, y Truglia fusionó la corrección el lunes. Bajo las nuevas reglas, los depósitos pendientes se ordenan por credenciales de retiro: los depósitos de validadores permanecen con los validadores, incluso si el constructor usa la misma clave. El cambio se ha incluido en las especificaciones de consenso, pero los equipos de clientes aún no lo han implementado en el software. Glamsterdam ya ha pasado en Sepolia, pero el lanzamiento en Hoodi programado para el 26 de octubre ha sido pospuesto.