Una falla de software que podría permitir que transacciones especialmente diseñadas produzcan cálculos incorrectos del estado de la cadena de bloques ha impulsado correcciones coordinadas en la infraestructura Ethereum.
El 5 de noviembre, Georgios Konstantopoulos, director de tecnología de la firma de inversión cripto Paradigm, dijo que los desarrolladores habían lanzado parches para Reth, Optimism, Base y Tempo tras descubrir un error en el software utilizado para procesar transacciones de cadena de bloques.
La vulnerabilidad afectó a Reth, un cliente de ejecución de Ethereum desarrollado por Paradigm que proporciona infraestructura crítica para redes que operan dentro del Ethereum Virtual Machine (EVM) ecosystem.
El error de Reth
Según Konstantopoulos, la falla se originó en el sistema heredado de cálculo de la raíz de estado de Reth, que podría devolver un resultado incorrecto al procesar ciertas configuraciones de almacenamiento de contratos inteligentes.
Empresa relacionada Paradigm. Una firma de inversión en cripto/Web3.
Una raíz de estado es una huella criptográfica que representa el estado actual de una cadena de bloques, incluyendo saldos de cuentas y datos de contratos inteligentes. Un cálculo incorrecto puede causar que los nodos discrepen sobre la validez de un bloque, potencialmente interrumpiendo el procesamiento de transacciones o la sincronización de la red.
“El código de la raíz de estado heredada de Reth tenía un caso límite,” explicó Konstantopoulos, añadiendo que una transacción cuidadosamente diseñada podría desencadenar el error bajo condiciones específicas.
El software de construcción de bloques de Reth utilizó el método de cálculo vulnerable en hardware de gama baja y en redes construidas con Optimism's OP Stack, ampliando la exposición potencial más allá de la infraestructura del mainnet de ethereum.
Activo relacionado Optimism OP $0.11 variación de 24 horas: +3.47%
El equipo de desarrollo de Tempo descubrió el problema mediante pruebas de seguridad automatizadas. La técnica de prueba, conocida como fuzzing, implica proporcionar al software entradas inusuales o inesperadas para detectar errores que las pruebas ordinarias podrían pasar por alto.
Konstantopoulos dijo que Tempo también había sido parcheado, mientras que los desarrolladores de Reth lanzaron la versión 2.10.0, Optimism publicó OP Reth v2.8.1, y Base emitió la versión 1.5.3.
La versión de Reth clasificó la actualización como de alta prioridad para los operadores de nodos, incluidos aquellos responsables de construir bloques.
La respuesta coordinada resalta una vulnerabilidad en el ecosistema de software cada vez más interconectado de Ethereum: múltiples redes de cadena de bloques pueden heredar el mismo defecto subyacente cuando dependen de software de ejecución compartido.
Sin embargo, Konstantopoulos dijo que el código afectado no expuso a los usuarios de Base y otras redes OP Stack a retiros defectuosos.
Explicó que los sistemas de retiro de estas redes no eran vulnerables al error, mientras que los puentes del ecosistema generalmente dependen de raíces de recibos de transacción o autorización multisignatura en lugar de los cálculos de raíz de estado afectados.
También se disculpó por la interrupción, enfatizando la responsabilidad de Paradigm en el mantenimiento de la infraestructura utilizada en todo el ecosistema de ethereum.
Base confirma que los fondos de los usuarios están seguros mientras LayerZero restringe la actividad entre cadenas
Base confirmó por separado que la vulnerabilidad no había afectado a sus usuarios, proporcionando detalles adicionales sobre cómo sus sistemas de seguridad impidieron que el error pusiera en peligro la integridad de la red.
El equipo también recalculó independientemente la raíz de estado de la cadena de bloques para verificar su precisión.
Base dijo que su sistema de prueba utiliza una implementación separada para verificar las raíces de estado, proporcionando una verificación adicional capaz de detectar discrepancias en los cálculos generados por Reth.
La red dijo:
Hemos verificado que la raíz de estado actual es correcta y que los usuarios no se vieron afectados.
La versión 1.5.3 también aborda una consecuencia operativa separada del defecto, evitando que los validadores de Base se detengan al encontrar raíces de estado inválidas.
Se animó a los operadores de nodos a actualizar, aunque Base indicó que no necesitarían volver a sincronizar sus nodos ni realizar pasos adicionales de recuperación.
Sin embargo, las preocupaciones sobre el defecto del software provocaron medidas preventivas en partes del ecosistema de finanzas descentralizadas.
Frax Finance informó el 5 de noviembre que el protocolo de mensajería entre cadenas LayerZero había suspendido temporalmente ciertas rutas de transferencia mientras los desarrolladores evaluaban la situación.
Frax dijo que sus activos y contratos inteligentes continuaron operando normalmente y que los fondos de los usuarios permanecieron seguros.
Las restricciones no establecieron que los contratos puente de LayerZero fueran vulnerables al defecto de Reth. En cambio, demostraron cómo las preocupaciones sobre la infraestructura compartida de la cadena de bloques pueden llevar a otros servicios a restringir actividades mientras evalúan los riesgos operativos.
No hubo informes confirmados de que se hubieran robado fondos a través de la falla en el cálculo de la raíz de estado.
Konstantopoulos dijo que el esfuerzo coordinado de parcheo había asegurado la infraestructura basada en Reth, incluyendo sistemas que dependen de pruebas de estado de la cadena de bloques.
Sin embargo, la disponibilidad del software corregido no significa que cada nodo operado de forma independiente lo haya instalado.
La prioridad restante es que los proveedores de infraestructura y los operadores de nodos implementen las versiones corregidas, mientras que los servicios que restringieron la actividad determinan cuándo pueden reanudar sus operaciones normales.