Blockaid warned on Nov. 5 कि reth एक्जीक्यूशन क्लाइंट और इस पर बनाए गए सॉफ्टवेयर, जिसमें op-reth शामिल है, में एक बग हो सकता है जो नोड्स को गलत स्टेट रूट्स की गणना करने की अनुमति दे सकता है। कंपनी ने कहा कि अपचेटेड नोड्स ठहर सकते हैं या गलत स्टेट प्रूफ्स लौटा सकते हैं।
"यह एक सहीता दोष है, न कि एक दुरुपयोग," ब्लॉकेड ने कहा, जिसने कोई ज्ञात धन नुकसान नहीं बताया। इसकी चेतावनी ईथेरियम-अनुकूल कई नेटवर्क्स पर reth-आधारित क्लाइंट्स को कवर करती है, जिसमें कई OP स्टैक शृंखलाएँ शामिल हैं।
https://x.com/i/status/2118405438291198020
जोखिम उस सॉफ्टवेयर से संबंधित है जो लेनदेन निष्पादित करता है और ब्लॉकचेन का नोड का दृश्य बनाए रखता है। ऑप्टिमिसम के op-reth दस्तावेज़ के अनुसार, क्लाइंट लेयर 2 ब्लॉक्स को निष्पादित करता है, चेन स्टेट को बनाए रखता है और एप्लिकेशन्स से अनुरोधों का उत्तर देता है। गलत साबिती से उन एप्लिकेशन्स की पुष्टि प्रभावित हो सकती है जिन पर वे निर्भर करते हैं।
पैच किए गए बिल्ड उपलब्ध हैं
Blockaid ने तीन ठीक किए गए रिलीज़ की पहचान की:
अपस्ट्रीम reth fix was merged Nov. 3। बेस के रिलीज नोट्स में स्पष्ट रूप से कहा गया है कि इस अपडेट से स्टेट-रूट असंगति रोकी जाती है और बेस मेननेट और सेपोलिया ऑपरेटर्स को अपनी सुविधा के अनुसार जल्द से जल्द अपग्रेड करने की सिफारिश की गई है।
Celo और Mantle डेवलपर्स ने बैकपोर्ट्स को भी मर्ज किया, जिससे पुराने सॉफ्टवेयर लाइनों में सुधार लागू हुआ। Mantle का पैच इसकी v1.6.2 उत्पादन लाइन को लक्षित करता है। Blockaid की चेतावनी में सभी वुल्नरेबल वर्जन्स की पूरी सीमा नहीं बताई गई थी।
Blockaid ने नोड ऑपरेटर्स और RPC प्रदाताओं को अपग्रेड करने और प्रोटोकॉल और ब्रिज्स को सुनिश्चित करने के लिए आह्वान किया कि उनके प्रदाता अपडेट हैं।
क्यों गलत साबिती महत्वपूर्ण हैं
सेलो के पैच की व्याख्या में बताया गया है कि बग कैसे एक नवीनतम डाली गई प्रविष्टि को छोड़ सकता है जब यह एक स्टेट रूट की गणना के लिए उपयोग किए जाने वाले डेटा संरचना को अपडेट करता है—जो कि एक क्रिप्टोग्राफिक सारांश है जिसके खिलाफ खाता और कॉन्ट्रैक्ट-स्टोरेज डेटा की जांच की जा सकती है।
eth_getProof स्पेसिफिकेशन प्रूफ्स का वर्णन करता है जो एप्लिकेशन्स को ब्लॉक के स्टेट रूट के खिलाफ खाते और स्टोरेज वैल्यूज की पुष्टि करने की अनुमति देते हैं। इससे एक नोड के रिस्पॉन्स और एक विश्वसनीय रूट के बीच का अंतर, ब्रिजेस, लाइट क्लाइंट्स और ऐसे प्रूफ्स पर निर्भर कॉन्ट्रैक्ट्स के लिए महत्वपूर्ण हो जाता है: एक गलत रिस्पॉन्स स्वतः ही फंड्स स्थानांतरित करने की मान्यता नहीं है।
उदाहरण के लिए, ऑप्टिमिज़म का निकास विनिर्देश एक निकास संदेश के लिए शामिल सबूत की आवश्यकता करता है और कहता है कि यदि सबूत की पुष्टि असफल हो जाती है, तो लेन-देन पलट जाता है। इसलिए, खराब सबूत डेटा पुष्टि को रोक सकता है, बजाय सफल चोरी स्थापित करने के।
सावधानियाँ पहले ही DeFi उपयोगकर्ताओं तक पहुँच चुकी हैं। Gauntlet ने कहा कि वह V1 वॉल्ट आपूर्ति क्यू को बंद कर रहा है, आवंटनों को रोक रहा है और LayerZero-ब्रिज किए गए संपत्तियों के प्रति जोखिम कम कर रहा है, जैसा कि The Defiant ने पहले रिपोर्ट किया था। Frax ने कहा कि उसकी संपत्तियाँ और स्मार्ट कॉन्ट्रैक्ट प्रभावित नहीं हुए हैं और सामान्य रूप से संचालित हो रहे हैं, जबकि कुछ LayerZero मार्गों को अस्थायी रूप से रोक दिया गया है।
Blockaid ने कहा कि LayerZero ने कुछ प्रभावित श्रृंखलाओं पर ऑफ़चेन बुनियादी ढांचे को रोक दिया है, जब तक कि प्रत्येक यह पुष्टि न कर ले कि इसे पैच कर लिया गया है, और संदेशों को “देरी से, नष्ट नहीं” के रूप में वर्णित किया।