Разработчики Ethereum отложили хардфорк Glamsterdam из-за рисков безопасности

Разработчики Ethereum отложили хардфорк Glamsterdam в тестовой сети Hoodi после того, как исследователи обнаружили уязвимости, связанные с газом и способные повлиять на обработку сбоев транзакций в существующих смарт-контрактах.

В Ethereum Foundation сообщили, что обновление, изначально запланированное на 26 октября, перенесено, чтобы специалисты могли изучить взаимодействие некоторых предложений со смарт-контрактами, уже развернутыми в сети.

13 октября блокчейн-компания ChainSecurity предупредила, что два предложения, вошедшие в состав Glamsterdam, а именно EIP-8037 и EIP-8038, способны ослабить защиту от атак типа insufficient gas griefing.

Перенос сроков создает неопределенность относительно графика запуска Glamsterdam в основной сети. Ранее разработчики рассматривали начало декабря и планировали утвердить окончательную дату после успешного тестирования в сети Hoodi.

Изменения в работе с газом могут подорвать защиту существующих смарт-контрактов

В своем анализе специалисты ChainSecurity отметили, что согласно новым правилам после сбоя операции газ может возвращаться в контракт, позволяя ему продолжить работу там, где раньше она бы остановилась. По мнению исследователей, это может нарушить работу текущих проверок безопасности, зависящих от объема оставшегося в ходе транзакции газа.

При атаках вида insufficient gas griefing злоумышленник намеренно передает слишком мало газа, чтобы легитимная операция смарт-контракта завершилась успешно. В ChainSecurity предупредили, что нововведения из обновления Glamsterdam могут подорвать защиту от подобных действий, потенциально позволяя контрактам ошибочно фиксировать неудачные транзакции как завершенные.

Например, затронутый уязвимостью контракт может аннулировать претензию пользователя или отключить возможность повторной попытки, лишив человека шанса выполнить корректную операцию.

В ChainSecurity уточнили, что Glamsterdam не сделает абсолютно все проверки безопасности неэффективными. Некоторые защитные механизмы продолжат функционировать, однако разработчикам потребуется их перепроверить с учетом новых правил распределения газа.

Полученные данные вызвали беспокойство среди участников экосистемы Ethereum. В своем сообщении на GitHub от 21 октября специалист по безопасности под псевдонимом pcaversaccio охарактеризовал эти риски как серьезные и призвал пересмотреть планы по проведению хардфорка.

В пятницу представители ChainSecurity заявили об обнаружении 13 реальных примеров уязвимости и координации процесса безопасного оповещения затронутых проектов. Компания не стала раскрывать детали этих случаев или называть конкретные протоколы, но порекомендовала разработчикам как можно скорее проверить свои контракты.

Эти выводы перекликаются с более ранним предупреждением Ethereum Foundation о том, что новая модель газа в Glamsterdam способна нарушить работу кошельков, индексаторов и оценщиков газа, которые опираются на неизменные допущения. Ранее обновление было активировано в сети Sepolia 6 октября перед его теперь уже отложенным запуском на Hoodi.