Binigyan ng babala ni Blockaid noong Nobyembre 5 na ang isang bug sa reth execution client at sa software na binuo dito, kabilang ang op-reth, ay maaaring gawing mali ang state roots na kalkulahin ng mga node. Maaaring mag-stall o mag-return ng maling state proofs ang mga node na hindi pa na-patch, ayon sa kumpanya.
“Ito ay isang bug sa kawastuhan, hindi isang exploit,” sabi ni Blockaid, na nagrereport ng walang kilalang pagkawala ng mga pondo. Ang kanilang alert ay sumasakop sa mga reth-based na client sa ilang Ethereum-compatible na network, kabilang ang maraming OP Stack chains.
https://x.com/i/status/2118405438291198020
Ang panganib ay tumutukoy sa software na nagpapatupad ng mga transaksyon at nagpapanatili ng pananaw ng node sa blockchain. Sinasabi ng op-reth documentation ng Optimism na ang client ay nagpapatupad ng Layer 2 blocks, nagpapanatili ng chain state, at sumasagot sa mga hiling mula sa mga aplikasyon. Ang maling mga patunay ay maaaring magbaba ng pag-verify na depende ang mga aplikasyon.
Available na ang mga patched build
Blockaid nakatukoy ng tatlong patched releases:
Nakapag-merge ang upstream reth fix was merged Nov. 3. Ang mga tala sa pag-release ng Base ay direktang sinasabi na ang kanilang pag-update ay nagpapigil sa state-root mismatch at inirerekomenda na ang mga operator ng Base Mainnet at Sepolia ay i-upgrade sa kanilang pinakamabilis na pagkakataon.
Ang mga developer ng Celo at Mantle ay nag-merge din ng backports, na nag-apply ng pagkakorekta sa mga mas lumang bersyon ng software. Ang patch ng Mantle ay nakatuon sa kanyang v1.6.2 production line. Ang alert ni Blockaid ay hindi nagspesipik ng buong saklaw ng mga vulnerable na bersyon.
Inanyayahan ng Blockaid ang mga operator ng node at mga provider ng RPC na i-upgrade, at ang mga protokolo at tulay na patunayan na ang kanilang mga provider ay na-patch.
Bakit mahalaga ang mga maling patunay
Ang paliwanag ng patch ng Celo ay naglalarawan kung paano makakalampas ang bug sa isang bagong idinagdag na entry habang binabago ang data structure na ginagamit upang kalkulahin ang state root—ang kriptograpikong paglalahad kung saan maaaring i-check ang account at contract-storage data.
Ang eth_getProof specification ay naglalarawan ng mga patunay na nagpapahintulot sa mga aplikasyon na i-verify ang account at storage values laban sa state root ng isang block. Ito ang naggagawa ng malinaw na pagkakaiba sa pagitan ng tugon ng node at isang pinagkakatiwalaang root para sa mga tulay, light clients, at mga contract na nakasalalay sa ganitong mga patunay: ang isang maling tugon ay hindi awtomatikong isang wastong pahintulot upang ilipat ang mga pondo.
Halimbawa, ang withdrawal specification ng Optimism ay nangangailangan ng inclusion proof para sa isang withdrawal message at sinasabi na babalik ang transaksyon kung mabigo ang pag-verify ng proof. Ang masamang proof data ay maaaring pigilan ang pag-verify kaysa magtataguyod ng isang matagumpay na pagkakakita.
Ang mga pag-iingat ay nakuha na ng mga gumagamit ng DeFi. Sinabi ni Gauntlet na isasara nila ang mga queue ng supply ng V1 vault, ipapahinga ang mga alokasyon at babawasan ang eksposur sa mga asset na bridged sa LayerZero, ayon sa naunang inulat ng The Defiant. Sinabi ni Frax na walang epekto sa kanilang mga asset at contract at patuloy na gumagana, habang ang ilang LayerZero routes ay pansamantalang ipinahinga.
Sinabi ng Blockaid na ipinagbawal ng LayerZero ang offchain infrastructure sa ilang naapektuhang chains hanggang sa patunayan ng bawat isa na ito ay na-patch, at ilarawan ang mga mensahe bilang “nagkakaroon ng pagkaantay, hindi nawala.”