Разработчики Ethereum исправили уязвимость в обновлении Glamsterdam

Разработчики Ethereum исправили уязвимость в предстоящем обновлении Glamsterdam, которая могла позволить кому-то вывести ETH, предназначенный стейкинговыми сервисами для новых валидаторов. Исправление, меняющее правила обработки депозитов, объединили в понедельник – через неделю после того, как его отклонили.

Glamsterdam разделяет две функции: строители собирают блоки, а валидаторы, ставящие ETH, выбирают и подтверждают их. И те, и другие вносят ETH, и средства должны учитываться раздельно. Проблема возникла при обработке депозитов, ожидающих зачисления. Исследователь avsetsin описал сценарий: оператор регистрируется как строитель с определенным публичным ключом, затем стейкинговый сервис вносит ETH для валидатора под тем же ключом – черновые правила зачислили бы оба депозита строителю. «Оператор может вывести средства протокола», – написал avsetsin. Валидатор не создается, и сервис не может получить доказательство для возврата средств.

avsetsin проверил Lido, Origin и Rocket Pool в «быстром исследовании с ИИ», но подчеркнул: «Это условные находки в коде, а не подтвержденные эксплойты». Существующие проверки, отклоняющие более ранний депозит строителя, могли остановить атаку. Потерь не зафиксировано.

Разработчики закрыли исправление 19 октября: «На тот момент клиенты не проявили достаточной поддержки», – написал Джастин Тралья, поддерживающий спецификации консенсуса. После дополнительного анализа avsetsin добавил тесты 23 октября, а Тралья объединил исправление в понедельник. По новым правилам ожидающие депозиты сортируются по реквизитам для вывода: депозиты валидаторов остаются с валидаторами, даже если строитель использует тот же ключ. Изменение вошло в спецификации консенсуса, клиентским командам еще предстоит внедрить его в ПО. Glamsterdam уже прошел на Sepolia, но запуск на Hoodi 26 октября отложили.