Uma falha de software que poderia permitir que transações especialmente criadas produzissem cálculos incorretos do estado da blockchain motivou correções coordenadas na infraestrutura Ethereum.
Em 5 de novembro, Georgios Konstantopoulos, diretor de tecnologia da empresa de investimento em criptomoedas Paradigm, disse que desenvolvedores lançaram correções para Reth, Optimism, Base e Tempo após descobrir um erro no software usado para processar transações na blockchain.
A vulnerabilidade afetou o Reth, um cliente de execução Ethereum desenvolvido pela Paradigm que fornece infraestrutura crítica para redes operando dentro do Ethereum Virtual Machine (EVM) ecosystem.
O bug do Reth
Segundo Konstantopoulos, a falha originou-se no sistema legado de cálculo da raiz de estado do Reth, que poderia retornar um resultado incorreto ao processar certas configurações de armazenamento de contrato inteligente.
Empresa relacionada Paradigm — uma empresa de investimento em cripto/Web3.
Uma state root é uma impressão digital criptográfica que representa o estado atual de uma blockchain, incluindo saldos de contas e dados de contratos inteligentes. Um cálculo incorreto pode causar desacordos entre nodes sobre a validade de um bloco, potencialmente interrompendo o processamento de transações ou a sincronização da rede.
“A código da raiz de estado legado do Reth tinha um caso limite,” explicou Konstantopoulos, acrescentando que uma transação cuidadosamente elaborada poderia acionar o erro sob condições específicas.
O software de construção de blocos do Reth utilizou o método de cálculo vulnerável em hardware de baixo desempenho e em redes construídas com Optimism's OP Stack, ampliando a exposição potencial além da infraestrutura do mainnet do ethereum.
Ativo relacionado Optimism OP $0,11 – variação em 24 horas: alta de 3,47%
A equipe de desenvolvimento do Tempo descobriu o problema por meio de testes de segurança automatizados. A técnica de teste, conhecida como fuzzing, envolve fornecer ao software entradas incomuns ou inesperadas para identificar erros que testes comuns poderiam perder.
Konstantopoulos disse que o Tempo também foi corrigido, enquanto os desenvolvedores do Reth lançaram a versão 2.10.0, a Optimism publicou o OP Reth v2.8.1, e a Base emitiu a versão 1.5.3.
A liberação do Reth classificou a atualização como de alta prioridade para operadores de nodes, incluindo aqueles responsáveis por construir blocos.
A resposta coordenada destaca uma vulnerabilidade no ecossistema de software cada vez mais interconectado do Ethereum: várias redes blockchain podem herdar o mesmo defeito subjacente quando dependem de software de execução compartilhado.
No entanto, Konstantopoulos disse que o código afetado não expôs os usuários da Base e outras redes OP Stack a saques incorretos.
Ele explicou que os sistemas de retirada dessas redes não eram vulneráveis ao erro, enquanto as pontes do ecossistema geralmente dependem de raízes de comprovantes de transação ou autorização multisignature, em vez dos cálculos de raiz de estado afetados.
Ele também se desculpou pelo transtorno, enfatizando a responsabilidade da Paradigm em manter a infraestrutura utilizada em todo o ecossistema Ethereum.
A Base confirma que os fundos dos usuários estão seguros, pois a LayerZero restringe a atividade entre cadeias
A Base confirmou separadamente que a vulnerabilidade não afetou seus usuários, fornecendo detalhes adicionais sobre como seus sistemas de segurança impediram que o erro ameaçasse a integridade da rede.
A equipe também recalculou independentemente a raiz do estado da blockchain para verificar sua precisão.
A Base afirmou que seu sistema de prova utiliza uma implementação separada para verificar raízes de estado, fornecendo uma verificação adicional capaz de detectar discrepâncias nos cálculos produzidos pelo Reth.
A rede disse:
Verificamos que a raiz do estado atual está correta e os usuários não foram afetados.
A versão 1.5.3 também resolve uma consequência operacional separada do defeito, impedindo que validadores Base parem ao encontrar raízes de estado inválidas.
Os operadores de nodes foram incentivados a atualizar, embora a Base tenha dito que não precisariam ressincronizar seus nodes ou realizar etapas adicionais de recuperação.
No entanto, preocupações com a falha de software levaram à adoção de medidas preventivas em partes do ecossistema de finanças descentralizadas.
Frax Finance relatou em 5 de novembro que o protocolo de mensagens entre cadeias LayerZero havia suspensão temporária de certas rotas de transferência enquanto os desenvolvedores avaliavam a situação.
Frax afirmou que seus ativos e contratos inteligentes continuaram operando normalmente e que os fundos dos usuários permaneceram seguros.
As restrições não estabeleceram que os contratos de ponte do LayerZero eram vulneráveis ao defeito do Reth. Em vez disso, demonstraram como preocupações sobre infraestrutura de blockchain compartilhada podem levar outros serviços a restringir atividades enquanto avaliam riscos operacionais.
Não houve relatos confirmados de fundos roubados por meio da falha no cálculo do state-root.
Konstantopoulos disse que o esforço coordenado de correção havia garantido a infraestrutura baseada em Reth, incluindo sistemas que dependem de provas de estado da blockchain.
No entanto, a disponibilidade do software corrigido não significa que cada node operado independentemente o tenha instalado.
A prioridade restante é para provedores de infraestrutura e operadores de nodes implantarem as versões corrigidas, enquanto os serviços que restringiram atividades determinam quando poderão retomar as operações normais.