Une faille logicielle qui pourrait permettre à des transactions spécialement conçues de produire des calculs incorrects d'état de blockchain a incité à des correctifs coordonnés au sein de l'infrastructure Ethereum.
Le 5 novembre, Georgios Konstantopoulos, directeur technologique de la société d'investissement crypto Paradigm, a déclaré que des correctifs avaient été publiés pour Reth, Optimism, Base et Tempo après la découverte d'une erreur dans le logiciel utilisé pour traiter les transactions blockchain.
La vulnérabilité a affecté Reth, un client d'exécution Ethereum développé par Paradigm qui fournit une infrastructure essentielle pour les réseaux opérant au sein de l'Ethereum Virtual Machine (EVM) ecosystem.
Le bogue Reth
Selon Konstantopoulos, la faille provient du système de calcul hérité de la racine d'état de Reth, qui pouvait renvoyer un résultat incorrect lors du traitement de certaines configurations de stockage de contrats intelligents.
Entreprise associée Paradigm, un fonds d'investissement en crypto/Web3.
Une racine d'état est uneempreinte cryptographique représentant l'état actuel d'une blockchain, incluant les soldes de comptes et les données de contrats intelligents. Un calcul incorrect peut provoquer un désaccord entre les nœuds sur la validité d'un bloc, pouvant perturber le traitement des transactions ou la synchronisation du réseau.
« Le code de la racine d'état héritée de Reth présentait un cas limite », a expliqué Konstantopoulos, ajoutant qu'une transaction soigneusement conçue pouvait déclencher cette erreur dans des conditions spécifiques.
Le logiciel de construction de blocs de Reth a utilisé la méthode de calcul vulnérable sur du matériel moins performant et dans les réseaux construits avec Optimism's OP Stack, étendant ainsi la surface d'exposition au-delà de l'infrastructure du mainnet d'ethereum.
Actif associé Optimism OP 0,11 $ — variation sur 24 heures : +3,47 %
L'équipe de développement Tempo a détecté le problème grâce à des tests de sécurité automatisés. La technique de test, appelée fuzzing, consiste à fournir au logiciel des entrées inhabituelles ou inattendues afin de révéler des erreurs que les tests ordinaires pourraient manquer.
Konstantopoulos a déclaré que Tempo avait également été corrigé, tandis que les développeurs de Reth ont publié la version 2.10.0, Optimism a publié OP Reth v2.8.1, et Base a publié la version 1.5.3.
La sortie de Reth a classé la mise à jour comme prioritaire pour les opérateurs de nœuds, y compris ceux responsables de la construction des blocs.
La réponse coordonnée met en évidence une vulnérabilité dans l'écosystème logiciel de plus en plus interconnecté d'Ethereum : plusieurs réseaux blockchain peuvent hériter du même défaut sous-jacent lorsqu'ils s'appuient sur un logiciel d'exécution partagé.
Cependant, Konstantopoulos a déclaré que le code affecté n'exposait pas les utilisateurs de Base et d'autres réseaux OP Stack à des retraits défectueux.
Il a expliqué que les systèmes de retrait de ces réseaux n'étaient pas vulnérables à cette erreur, tandis que les ponts écosystème reposent généralement sur des racines de reçus de transaction ou une autorisation multisignature plutôt que sur les calculs de racine d'état affectés.
Il s'est également excusé pour la perturbation, en soulignant la responsabilité de Paradigme dans le maintien de l'infrastructure utilisée dans l'écosystème ethereum.
Base confirme que les fonds des utilisateurs sont sécurisés alors que LayerZero restreint les activités interchaînes
Base a confirmé séparément que la vulnérabilité n'avait pas affecté ses utilisateurs, en fournissant des détails supplémentaires sur la manière dont ses systèmes de sécurité ont empêché l'erreur de menacer l'intégrité du réseau.
L'équipe a également recalculé indépendamment la racine d'état de la blockchain pour en vérifier l'exactitude.
Base a déclaré que son système de preuve utilise une implémentation distincte pour vérifier les racines d'état, offrant une vérification supplémentaire capable de détecter les écarts dans les calculs produits par Reth.
Le réseau a dit :
Nous avons vérifié que la racine d'état actuelle est correcte et que les utilisateurs n'ont pas été affectés.
La version 1.5.3 corrige également une conséquence opérationnelle distincte du défaut, empêchant les validateurs Base de s'arrêter lorsqu'ils rencontrent des racines d'état invalides.
Les opérateurs de nœuds ont été encouragés à effectuer une mise à jour, bien que Base ait indiqué qu'ils n'auraient pas besoin de resynchroniser leurs nœuds ni d'effectuer des étapes de récupération supplémentaires.
Néanmoins, les préoccupations concernant la faille logicielle ont incité à prendre des mesures préventives dans certaines parties de l'écosystème de la finance décentralisée.
Frax Finance a signalé le 5 novembre que le protocole de messagerie interchaînes LayerZero avait temporairement suspendu certaines routes de transfert tandis que les développeurs évaluaient la situation.
Frax a déclaré que ses actifs et ses contrats intelligents continuaient de fonctionner normalement et que les fonds des utilisateurs restaient sécurisés.
Les restrictions n'ont pas établi que les contrats pont de LayerZero étaient vulnérables au défaut Reth. Elles ont plutôt démontré comment les préoccupations concernant l'infrastructure blockchain partagée peuvent amener d'autres services à restreindre leurs activités tout en évaluant les risques opérationnels.
Il n'y a eu aucun rapport confirmé de fonds volés à cause de la faille de calcul de la racine d'état.
Konstantopoulos a déclaré que l'effort coordonné de correctifs avait sécurisé l'infrastructure basée sur Reth, y compris les systèmes qui dépendent des preuves d'état de la blockchain.
Cependant, la disponibilité du logiciel corrigé ne signifie pas que chaque nœud exploité indépendamment l'a installé.
La priorité restante est pour les fournisseurs d’infrastructure et les opérateurs de nœuds de déployer les versions corrigées, tandis que les services ayant restreint leurs activités déterminent quand ils pourront reprendre leurs opérations normales.