coindesk.com
Los desarrolladores de Ethereum han corregido un fallo en la próxima actualización Glamsterdam que podría haber permitido a alguien apropiarse del $ETH que los servicios de staking destinaban a nuevos validadores.
La solución, que cambió las reglas para el manejo de los depósitos de validadores, fue fusionado el lunes, una semana después de que los desarrolladores lo rechazaran.
Glamsterdam divide en dos trabajos que hoy están fusionados. Los constructores agrupan bloques de transacciones, y los validadores, que apuestan $ETH para ayudar a asegurar la red, las seleccionan y confirman. Ambos pueden depositar $ETH, y se supone que su dinero debe ser gestionado por separado.
Cómo podría desaparecer el dinero
El problema apareció durante la propia actualización, cuando Ethereum procesaba depósitos que aún estaban pendientes de ser acreditados.
El investigador avsetsin identificó un escenario en el cual un operador primero se registra como constructor utilizando una clave pública específica, el identificador vinculado a un validador o constructor. Si un servicio de staking deposita $ETH para iniciar un validador bajo esa clave, las normas preliminares acreditarían ambos depósitos al constructor.
“El operador puede retirar los fondos del protocolo,” escribió avsetsin. No se crea ningún validador, por lo que el servicio de staking no puede producir la prueba que necesitaría para recuperar su dinero.
Avsetsin, quien figura como miembro de la organización GitHub de Lido, examinó cómo podrían verse afectados Lido, Origin y Rocket Pool, en lo que el investigador denominó «investigación rápida de IA». Los hallazgos dependieron de cómo cada protocolo maneja los depósitos.
“Estos son hallazgos de código condicional, no exploits activos confirmados,” escribió avsetsin, agregando que las verificaciones existentes que rechazan un depósito anterior del constructor podrían detener el ataque. No se han reportado pérdidas.
Rechazado, luego fusionado
Desarrolladores cerró la solución propuesta el 19 de octubre. “No hubo suficiente apoyo por parte de los clientes para realizar este cambio en este momento,” escribió Justin Traglia, quien mantiene las especificaciones de consenso de Ethereum. Los clientes son los programas de software separados que los validadores ejecutan para participar en la red.
La corrección se reabrió tras una revisión adicional, avsetsin añadió pruebas el 23 de octubre y Traglia la fusionó el lunes.
Bajo las nuevas reglas, los depósitos pendientes se ordenan según sus credenciales de retiro, el ajuste que indica a dónde puede ir eventualmente el dinero de un depósito. Los depósitos de validadores permanecen con los validadores incluso si un constructor está utilizando la misma clave.
