coindesk.com
Ein Teenager mit kostenlosem Test-Ether und einer Sammlung von Einweg-Builder-Identitäten könnte wiederholt die neuen Blockauktionen von Ethereum gewinnen und sich weigern, die Transaktionen zu liefern, warnten Entwickler, während sie einen öffentlichen Test des Glamsterdam-Upgrades am 6. Oktober bestätigten.
Der Angriff würde die Gelder im Mainnet nicht gefährden. Er richtet sich gegen Sepolia, wo Test-Ether keinen nennenswerten Wert besitzt, könnte jedoch dazu führen, dass Blöcke ohne Transaktionsdaten entstehen und damit die für Glamsterdam erforderlichen Infrastrukturtests behindern, bevor es auf das Ethereum-Netzwerk selbst gelangt.
Glamsterdam ist das nächste große Upgrade von Ethereum, das darauf ausgelegt ist, mehr Aktivitäten in jeden Block zu integrieren, ohne die Computer, die die Verifizierung vornehmen, zu überlasten. Zusammen mit Änderungen bei der Gaspreissetzung soll das Upgrade eine Block-Gas-Grenze von etwa 200 Millionen unterstützen und somit Platz für mehr Zahlungen und Handelstransaktionen schaffen, bevor die Nutzer beginnen, die Gebühren nach oben zu treiben.
Das Upgrade verlagert die Beziehung zwischen Validatoren und spezialisierten Blockbauern in das Ethereum-Protokoll. Builder stellen Transaktionsblöcke zusammen und konkurrieren darum, diese bereitzustellen. Sobald ein Validator das siegreiche Gebot annimmt, wird vom Builder erwartet, dass er die zugrunde liegenden Transaktionen offenlegt.
Und dieser Prozess wird auf einem kostenlosen Testnetzwerk leicht missbrauchbar. Ein böswilliger Betreiber kann Gebote weit über denen jedes legitimen Builders abgeben, wiederholt gewinnen und dann die zugesicherte Payload zurückhalten.
„Ich kann einfach tausend Entwickler hochfahren, sie rotieren lassen, sehr hohe Gebote abgeben und keine Payloads erzeugen“, sagte Ethereum-Konsensentwickler Potuz während des Donnerstag-Call mit Kernentwicklern. „Jeder Teenager kann das tun.“
Entwickler erklärten, dass bestehende Sicherheitsvorkehrungen in der Regel erst dann auf lokal erstellte Blöcke zurückgreifen, wenn mehrere Payloads fehlen. Potuz fügte hinzu, dass Clients außerdem einzelne Builder identifizieren und ablehnen müssen, damit ein Angreifer nicht unter einer neuen Identität zurückkehren und weiterhin gewinnen kann.
Die Warnung kam einen Tag nach einer große private Generalprobe zur Glamsterdam-Übergangsphase abgeschlossen und erhöhte sein Block-Gaslimit auf rund 200 Millionen, ohne die Finalität zu verlieren.
Weiterlesen: Ethereum bevorstehendes Glamsterdam-Upgrade besteht Generalprobe für einen großen Kapazitätssprung
Die Client-Teams haben nun bis zum 29. September Zeit, um Sepolia-kompatible Software zu veröffentlichen. Das lässt sieben Tage bis zum Fork, also die Hälfte der 14 Tage, die der reguläre Ethereum-Upgrade-Prozess für Sicherheitsüberprüfungen und Bug-Bounty-Tests vorsieht.
Die Entwickler akzeptierten das engere Zeitfenster, da Sepolia relativ zentralisiert ist und im Falle von Problemen leichter wiederhergestellt werden kann. Die Produktions-Build-Software, die von den Teams Titan und Ultrasound betrieben wird, hat ebenfalls noch keinen Glamsterdam-Fork-Übergang abgeschlossen, was eine weitere Lücke darstellt, bevor das Upgrade als mainnet-reif eingestuft werden kann.