Розробники Ethereum відклали оновлення через критичні недоліки
Розробники Ethereum скасували запуск оновлення Glamsterdam на тестовій мережі Hoodi, запланований на понеділок. Безпекова фірма ChainSecurity виявила критичні проблеми, пов’язані зі змінами в механізмі газу. Ці зміни можуть дозволити смарт-контрактам назавжди записувати невдалі операції, які їхній код мав би лише повторювати. Фонд Ethereum зараз оцінює, скільки контрактів піддаються ризику. ChainSecurity вже виявила 13 реальних прикладів таких контрактів і координує відповідальне розголошення з ураженими проектами.
Нова модель газу підриває існуючі механізми безпеки
Аналіз ChainSecurity показує, що оновлення Glamsterdam порушує ключові припущення, на яких працюють багато контрактів. Багато з них покладаються на перевірки газу або на його повне вичерпання як захисний механізм. Цей захист призначений для протидії атаці insufficient gas griefing, коли зловмисник навмисно надає замало газу для успішної операції, щоб спровокувати її невдачу. Під час Glamsterdam газ може бути поповнений або повернений контракту після невдалого виклику. Переоцінка також може змінити кількість необхідного газу. Це означає, що навіть з незмінним кодом контракту шлях невдачі, який раніше скасовувався, тепер може завершитися. Це робить контракти вразливими до запису постійних помилок, які вони мали б ігнорувати.
Статус розгортання оновлення Glamsterdam і дії для операторів вузлів після тестування на Sepolia
Оновлення Glamsterdam вже активовано на іншій тестовій мережі Sepolia 6 жовтня. Після активації мережа почала формувати блоки з лімітом газу майже 200 мільйонів, що більш ніж утричі перевищує ліміт основної мережі Ethereum у 60 мільйонів. Нова дата запуску на Hoodi поки не встановлена. Операторам вузлів слід повернутися до старішої версії програмного забезпечення без запланованого оновлення або чекати на нову версію від своєї команди клієнта виконання, яка його скасує. Розробники планували запустити Glamsterdam в основній мережі до кінця 2026 року, але ці плани тепер переглядаються через виявлені проблеми безпеки.
Розробники повинні негайно перевірити свої контракти
ChainSecurity закликає розробників негайно перевірити свої смарт-контракти на сумісність із новими семантичними правилами газу, які впроваджує Glamsterdam. Контракти, які покладаються на жорстко задані ліміти газу або на його вичерпання як захисний механізм, можуть поводитися непередбачувано після оновлення. Розробникам слід провести аудит свого коду та протестувати його в умовах, близьких до реальних. Мережа Sepolia, де оновлення вже активне, є ідеальним полігоном для таких перевірок. Це допоможе виявити потенційні вразливості до розгортання Glamsterdam в основній мережі. Фонд Ethereum також попереджав, що нова модель газу може порушити роботу гаманців, індексаторів та оцінювачів газу, які покладаються на фіксовані припущення.