Ethereum откладывает запуск тестнета Glamsterdam Hoodi из-за рисков безопасности, связанных с газом

Ethereum откладывает запуск Glamsterdam Hoodi после выявления рисков безопасности

Фонд Ethereum (EF) заявил, что обновление, изначально запланированное на 26 октября, будет отложено, чтобы дать разработчикам время изучить, как некоторые предложения взаимодействуют со смарт-контрактами, развернутыми в сети Ethereum.

13 октября компания ChainSecurity, занимающаяся безопасностью блокчейна, предупредила, что два предложения, включённые в Glamsterdam — EIP-8037 и EIP-8038 — могут ослабить защиту от типа атаки, называемой недостаточным газом (insufficient gas griefing).

Отложение вызывает неопределённость в отношении сроков внедрения Glamsterdam на основной сети. Разработчики Ethereum рассматривали начало декабря, планируя утвердить график после успешного тестирования на Hoodi.

Изменения газа могут подорвать существующие гарантии безопасности смарт-контрактов

В своём анализе ChainSecurity заявила, что согласно новым правилам газ может возвращаться в контракт после сбоя операции, позволяя контракту продолжить работу, когда ранее он останавливался. Исследователи указали, что эти изменения могут мешать существующим проверкам безопасности, которые зависят от оставшегося газа во время транзакции.

При атаках типа недостаточного газа злоумышленник намеренно предоставляет слишком мало газа для успешного выполнения легитимной операции смарт-контракта. ChainSecurity предупредила, что предложенные изменения Glamsterdam могут ослабить защиту от таких атак, что потенциально позволит контрактам навсегда фиксировать сбои операций.

Например, затронутый контракт может убрать право пользователя на выполнение операции или отключить возможность повторной попытки, лишая пользователя возможности завершить в целом валидное действие.

ChainSecurity отметила, что Glamsterdam не сделает все проверки безопасности, связанные с газом, ненадежными. Некоторые гарантии всё ещё будут работать, но разработчикам потребуется пересмотреть их, чтобы учесть новые правила газа, введённые обновлением.

Эти выводы вызвали обеспокоенность среди участников сообщества Ethereum. В комментарии на GitHub 21 октября псевдонимный исследователь безопасности pcaversaccio охарактеризовал риски как "серьёзные" и призвал к переоценке жесткого форка.

В пятницу ChainSecurity заявила, что выявила "13 реальных примеров" и координирует ответственное раскрытие информации с затронутыми проектами. Компания не раскрыла деталей этих примеров и не назвала пострадавшие проекты, но рекомендовала разработчикам как можно скорее проверить свои контракты.

Данные результаты последовали за предыдущим предупреждением Фонда Ethereum о том, что модель газа Glamsterdam может нарушить функционирование кошельков, индексаторов и систем оценки газа, которые опираются на фиксированные предположения. Обновление уже было активировано в Sepolia 6 октября, перед отложенным запуском в Hoodi.