КриптоЛампа
В Glamsterdam исправили уязвимость обработки депозитов Ethereum
Ошибка могла привести к зачислению ETH для валидатора на счёт билдера с тем же публичным ключом. Потерь не зафиксировано; клиентам предстоит внедрить исправление.
Разработчики Ethereum исправили уязвимость в спецификациях обновления Glamsterdam. Ошибка могла привести к тому, что ETH, внесённые стейкинговым сервисом для запуска валидатора, учитывались бы как депозит билдера, использующего тот же публичный ключ. Валидатор при этом не создавался бы, а сервис мог потерять возможность вернуть средства.
Сценарий выявил исследователь avsetsin. Он отметил, что выводы зависят от обработки депозитов конкретными протоколами и что существующие проверки могли остановить атаку. Подтверждённых эксплойтов и сообщений о потерях нет.
Исправление меняет правила учёта ожидающих депозитов: их будут сортировать по учётным данным для вывода средств. Депозит валидатора останется за валидатором, даже если билдер использует тот же ключ.
Предложение закрыли 19 октября из-за недостаточной поддержки со стороны команд клиентов. После дополнительного рассмотрения avsetsin добавил тесты 23 октября, а Джастин Траглия объединил изменения в спецификации в понедельник. Клиентам Ethereum ещё предстоит внедрить исправление.
Glamsterdam уже запущен в тестовой сети Sepolia. Старт обновления в Hoodi, назначенный на 26 октября, отложили; новая дата тестирования нужна до назначения запуска основной сети.
Разобраться в теме новости
Как посмотреть разрешения токенов кошелька без подключения
Как проверить доступы смарт-контрактов к токенам через публичный адрес: выбор сети, лимиты, распорядители и отличие просмотра от отзыва разрешений.
Открыть инструкцию ОБЪЯСНЯЕМ
Как защитить криптокошелёк: ключи, подписи и переводы
Практический разбор защиты кошелька: фраза восстановления, аппаратные устройства, разрешения приложений и проверка адреса перед переводом.
Читать разбор ИСТОРИЯ СОБЫТИЯАтака на Ledger Connect Kit в декабре 2023 года: что было взломано
Разбор атаки 14 декабря 2023 года: подмена библиотеки для dApp, вредоносные запросы подписей и отличие инцидента интерфейса от компрометации аппаратного кошелька.
Читать разбор