Инженер Lido предупреждает о риске перехвата депозита стейкинга во время перехода ethereum на Glamsterdam

Инженер Lido предупреждает о риске перехвата депозита стейкинга во время перехода ethereum на Glamsterdam

Пользовательское изображение

Почему разработчики Ethereum отвергли исправление на уровне протокола

Следующая крупная модернизация сети ethereum направлена на масштабирование базового уровня за счет закрепленного разделения предложчика и билдера, а также повышения лимитов газа, однако временная уязвимость привлекла новое внимание одного из крупнейших провайдеров ликвидного стейкинга. 20 октября 2026 года Дима Гусаков, руководитель инженерного отдела Lido Finance, публично описал, как переход на Glamsterdam может позволить злонамеренному оператору ноды опередить депозит валидатора стейкера. Атака будет использовать депозиты билдера с withdrawal-данными, начинающимися на 0xB0, которые временно разделяют очередь депозитов, потенциально зачисляя ETH на аккаунт билдера вместо активации целевого валидатора. Окно уязвимости ограничено самим переходом на хард-форк. После обновления депозиты билдера будут перемещены в отдельный контрактный путь.
 
Предложенное исправление на уровне протокола в спецификациях консенсуса было закрыто как «не запланированное», переложив бремя защиты на стейкинг-протоколы. В этой статье рассматриваются технические механизмы риска, дизайн-решения обновления, создавшие временное перекрытие, причины, по которым разработчики ядра отказались от патча протокола, практические шаги, которые должны предпринять провайдеры ликвидного стейкинга, сроки тестнета, оставляющие операторам лишь несколько дней на подготовку, а также более широкие уроки для безопасности делегированного стейкинга по мере продвижения Ethereum в рамках своей дорожной карты масштабирования. Анализ основан исключительно на материалах и первичных заявлениях за последние 30 дней, с акцентом на проверенные детали, а не на предположения.

Руководитель инженерной команды Lido подробно описал вектор фронт-раннинга в X и на разработческих встречах

Дима Гусаков предупредил 20 октября 2026 года, обратившись непосредственно к стейкинг-протоколам и делегированным стейкерам. Он объяснил, что оператор ноды может отправить депозит билдера, используя тот же открытый ключ, до того как законный депозит валидатора будет зафиксирован. Поскольку Glamsterdam вводит депозиты билдера, основанные на withdrawal-учетных данных с префиксом 0xB0, и поскольку эти депозиты используют общую очередь депозитов валидаторов во время перехода, первый действительный депозит может забрать средства. В результате валидатор стейкера никогда не появляется на beacon-цепи, а ETH зачисляется на аккаунт билдера атакующего. Гусаков подчеркнул, что атака возможна только в момент форка. До Glamsterdam депозиты билдера проходят через существующую очередь депозитов валидаторов; после этого они направляются через отдельный контракт. Он отметил, что ограниченная продолжительность этого окна делает возможным внедрение мер по защите для подготовленных протоколов.
 
Та же проблема возникла на совещании All Core Devs Consensus (ACDC #189). Гусаков отметил, что одноразовый механизм онбординга строителей Glamsterdam может нарушить шаблоны защиты депозитов, на которые протоколы стейкинга долгое время полагались. Согласно текущим правилам, первый действительный депозит для публичного ключа навсегда устанавливает данные для вывода. Протоколы часто сначала вносят небольшую сумму, подтверждают появление ожидаемых данных, а затем пополняют оставшийся баланс. Во время перехода на форк специальный путь онбординга может привести к третьему исходу: валидатор не активируется, а весь депозит будет зачислен строителю. Ядро разработчиков отклонило позднее изменение спецификации, которое сохранило бы различие между депозитами валидатора и строителя во время одноразового онбординга, сославшись на то, что Sepolia уже активировалась по существующим правилам, а релизы клиента Hoodi уже находились в подготовке. Изменение поведения на этом этапе потребовало бы повторного развертывания Sepolia и дополнительных циклов тестирования.

Как учетные данные строителя 0xB0 взаимодействуют с общей очередью депозитов

Glamsterdam вводит депозиты для билдеров в рамках перехода на закреплённое разделение предложчика и билдера. Эти депозиты содержат данные для вывода, начинающиеся с префикса 0xB0, что отличает их от обычных учетных данных валидатора. В течение переходного периода оба типа депозитов используют один и тот же путь обработки в очереди. Оператор ноды, контролирующий или влияющий на порядок отправки депозитов, может таким образом вставить депозит с учетными данными билдера, соответствующий ожидающему публичному ключу стейкера. После принятия первого депозита сеть считает публичный ключ забранным по учетным данным билдера. Последующие депозиты под тем же ключом либо игнорируются для активации валидатора, либо перенаправляются в соответствии с новыми правилами интерпретации, действующими вокруг границы форка.
 
Практический эффект заключается в том, что стейкер теряет как ожидаемого валидатора, так и депонированный ETH, который теперь находится под контролем билдера. Существующие активированные валидаторы и уже обработанные депозиты остаются неизменными. Риск ограничен новыми или еще находящимися в очереди депозитами, которые пересекают эпоху активации. Поскольку поведение общей очереди прекращается после завершения форка, а депозиты билдера переводятся в их отдельный контракт, экспозиция является временной. Именно временный характер этого риска стал основной причиной, по которой Гусаков посоветовал не паниковать, но при этом настоятельно рекомендовал всем сервисам делегированного стейкинга внедрить или усилить проверку перед депозитом до активации мейннета.

Основные разработчики закрывают предложение по спецификациям консенсуса как не запланированное

Техническое обсуждение решения на уровне протокола появилось в вопросе #5735 consensus-specs. Предложение предусматривало проверки до депозита, которые должны были подтвердить определённые условия до принятия депозита в очередь. После рассмотрения вопрос был закрыт со статусом «не запланировано». Решение возлагает ответственность за защиту на уровень приложения, а не встраивает дополнительные проверки в ядро протокола. Поэтому публичные рекомендации Гусакова сосредоточены на том, чтобы стейкинг-протоколы проводили собственную предварительную валидацию депозитов. Временные ограничения сильно повлияли на исход. Sepolia уже форкнулась по существующему спецификации 6 октября 2026 года.
 
Релизы клиента Hoodi продвигались к активации 26 октября. Внесение позднего изменения поведения рисковало вызвать повторное развертывание Sepolia и дальнейшие задержки в тестировании. Основные разработчики сочли, что ограниченный временной интервал и возможность команд прикладного уровня добавлять проверки делают патч протокола на данном этапе ненужным. Результатом стала распределенная модель безопасности, в которой каждый провайдер ликвидного стейкинга должен подтвердить, что его канал депозитов корректно различает или блокирует депозиты с префиксом 0xB0, пытающиеся заявить публичные ключи валидаторов.

Предварительные проверки перед депозитом становятся основной защитой для сервисов ликвидного стейкинга

Lido сама реализовала Модуль безопасности депозитов и комитет опекунов еще до того, как несколько лет назад появились уязвимости, связанные с депозитами. Опекуны проверяют снимки корней депозитов перед тем, как пакеты будут обработаны, и один честный опекун может приостановить депозиты. Открытый вопрос заключается в том, учитывает ли уже существующая инфраструктура новый тип учетных данных 0xB0 и временные динамики общей очереди, или требуется дополнительная логика для перехода Glamsterdam. Другие протоколы, не имеющие сопоставимого многостороннего контроля, сталкиваются с более сложной задачей подготовки.
 
Проверки перед депозитом могут принимать различные конкретные формы. Протокол может отклонять любой депозит, у которого данные для вывода начинаются с 0xB0, если цель — активация стандартного валидатора. Он может требовать он-чейн или оф-чейн аттестацию, подтверждающую, что публичный ключ еще не был заявлен по данным билдера. Он может приостановить новые депозиты на короткий промежуток времени вокруг эпохи активации до окончания периода общей очереди. Поскольку поверхность атаки существует только во время перекрытия очередей, временное приостановление или усиленный контроль в этот интервал могут устранить большинство практических рисков. Меньшие или новые сервисы стейкинга, которые еще не создали комитеты типа «стражей», должны действовать быстро, если намерены принимать депозиты в течение перехода на мейннет.

График активации Glamsterdam оставляет мало маржи на подготовку

Фонд Ethereum подтвердил, что Glamsterdam активируется на тестнете Hoodi на эпохе 132 352, слоте 4 235 264, что соответствует 26 октября 2026 года в 17:42:48 по UTC. В ту же эпоху лимит газа Hoodi увеличится до 200 миллионов. Sepolia уже был активирован 6 октября. Время активации мейннета пока не определено; рассматриваются кандидатские даты в начале декабря, при условии чистого форка Hoodi. Таким образом, у операторов нод и команд стейкинга есть всего несколько дней после предупреждения Гусакова, чтобы проверить свои каналы депозитов на Hoodi.
 
Команды клиентов опубликовали совместимые релизы как для консенсусного, так и для исполнительного слоев. Операторы должны обновить как beacon-ноды, так и клиент валидатора, изучить все изменения в интерфейсах билдеров, введенные встроенным разделением proposer-builder, и убедиться, что логика отправки депозитов корректно обрабатывает новый префикс учетных данных. Короткий интервал между публичным предупреждением и первой публичной активацией тестнета подчеркивает, почему защитные меры на уровне приложений должны быть готовы до открытия окна перехода на мейннет.

Закреплённое разделение предложчика и билдера вводит новый путь депозита

Glamsterdam объединяет изменения уровня выполнения Amsterdam с изменениями уровня консенсуса Gloas. Её две ключевые функции — это закреплённое разделение предложителя и билдера (EIP-7732) и списки доступа на уровне блока. При ePBS билдеры регистрируются в цепочке со своими балансами и публичными ключами, подают ставки и позже раскрывают исполнительные полезные нагрузки. Протокол сам обрабатывает выплату предложителю, снижая зависимость от внешних реле. Депозиты и выходы билдеров становятся первоклассными запросами на выполнение, что объясняет появление префикса учетных данных 0xB0 и перекрытие временной очереди.
 
Дизайн улучшает масштабируемость, предоставляя валидаторам больше времени для обработки более крупных нагрузок и позволяя более высокие лимиты газа. В то же время он создает новый путь для подключений строителей, который необходимо тщательно отличать от обычных депозитов валидаторов. Механика одноразового перехода является источником временной неоднозначности. После полного переключения сети депозиты строителей проходят через собственный контракт, и риск общей очереди исчезает. Таким образом, обновление улучшает долгосрочную архитектуру, требуя краткосрочной бдительности от любого сервиса, который отправляет депозиты от имени пользователей.

Предыдущий опыт Lido в обеспечении безопасности депозитов информирует текущий ответ

Lido столкнулась с рисками фронт-раннинга депозитов в предыдущие годы и ответила на это формализацией Модуля безопасности депозитов вместе с комитетом опекунов. Комитет утверждает снимки корней депозитов; один опекун может инициировать приостановку. Эта инфраструктура уже зарекомендовала себя в других операционных инцидентах. Дело Glamsterdam проверяет, правильно ли эти меры распознают новый тип учетных данных и краткий период совместного использования очереди.
 
Протоколы, которые после ранних инцидентов внедрили похожие многоподписные или защитные схемы, находятся в более выгодном положении по сравнению с теми, кто еще не реализовал аналогичные меры безопасности. Более широкая закономерность знакома: обновления протоколов могут выявлять крайние случаи, которые системы прикладного уровня должны поглощать. Поскольку основные разработчики отклонили позднее изменение спецификации, отрасль должна рассматривать предварительную проверку депозитов как обязательное требование, а не как дополнительную возможность. Команды, которые уже отслеживают корни депозитов и могут быстро приостановить работу, столкнутся с меньшим операционным риском во время перехода.

Операторы нод и делегированные стейкеры сталкиваются с концентрированным риском в течение окна

Атака требует злонамеренного или скомпрометированного оператора ноды, который может отправить транзакцию депозита, попадающую раньше легитимной. Обычные стейкеры, просто вносящие депозит в протокол ликвидного стейкинга, не могут сами осуществить фронт-ран; риск лежит на операторе, который в конечном итоге подписывает или отправляет депозит в цепочке. Существующие активированные валидаторы и уже подтвержденные депозиты остаются вне зоны уязвимости. Подвержены только публичные ключи, у которых во время переходного эпохи остаются ожидающие или недавно отправленные депозиты.
 
Делегированные стейкеры должны подтвердить, что выбранный ими протокол опубликовал руководство по обработке депозитов вокруг активации Glamsterdam. Операторам самим следует тщательно проверить порядок подачи, ограничение скорости или последовательность депозитов, а также убедиться, что ни один депозит с префиксом 0xB0 не может претендовать на ключ, предназначенный для стандартного валидатора. Поскольку окно времени ограничено, временное снижение пропускной способности новых депозитов или усиленный мониторинг могут закрыть большинство практических путей атаки без долгосрочных нарушений в работе стейкинга.

Hoodi предоставляет первую живую среду для тестирования процесса депозита

Активация Hoodi 26 октября — это первая публичная возможность для стейкинг-команд наблюдать поведение общей очереди в реальных условиях. Протоколы могут отправлять тестовые депозиты как с обычными, так и с 0xB0 учетными данными, измерять результаты упорядочивания и подтверждать, что их предварительные фильтры депозитов отклоняют или изолируют нежелательный путь. Команды клиентов уже выпустили версии, совместимые с Hoodi; операторы должны обеспечить обновление как исполнительных, так и консенсусных клиентов, а также проверить любые внешние инструменты билдеров на совместимость с новыми интерфейсами.
 
Успешное тестирование на Hoodi повысит доверие отрасли перед открытием окна мейннета. Ошибки или неожиданные крайние случаи, обнаруженные на тестнете, можно устранить с помощью изменений на уровне приложения или коротких пауз, не требуя переработки протокола. Короткий срок между публичным предупреждением и активацией Hoodi делает координированное тестирование обязательным.

Ответственность за смягчение теперь лежит на каждом стейкинг-протоколе

Закрыв вопрос consensus-specs как незапланированный, основные разработчики сигнализировали, что временную угрозу лучше устранять на уровне приложения. Поставщикам ликвидного стейкинга, платформам для одиночных операторов и любым сервисам, которые отправляют депозиты от имени пользователей, необходимо реализовать собственные проверки. Поставщики, которые уже используют комитеты-хранители или процессы аттестации корня депозита, могут расширить эти процессы для охвата префикса 0xB0. Поставщикам, не имеющим такой инфраструктуры, необходимо добавить эквивалентные меры контроля в более сжатые сроки.
 
Распределённая модель имеет как преимущества, так и недостатки. Она позволяет быстро и точно реагировать, не дожидаясь изменения жёсткого форка во всей сети. Это также означает, что безопасность депозита любого стейкера зависит от конкретных практик выбранного им протокола. Прозрачность процедур обращения с депозитами вокруг эпохи активации поможет пользователям оценить остаточный риск.

Цели масштабирования и временные крайние случаи остаются связанными в обновлениях ethereum

Glamsterdam продвигает дорожную карту масштабирования Ethereum L1, повышая практический лимит газа до 200 миллионов, обеспечивая параллельную обработку транзакций через списки доступа на уровне блока и исключая внешние реле из критического пути создания блоков. Эти улучшения требуют новых ончейн-примитивов для разработчиков, что, в свою очередь, создает временное перекрытие очереди депозитов. Такой паттерн характерен для крупных обновлений: долгосрочные архитектурные улучшения могут вызывать кратковременные крайние случаи, которые команды приложений должны управлять.
 
Способность отрасли поглощать эти крайние случаи без потерь пользовательских средств повлияет на доверие к последующим обновлениям. Валидация депозитов до их внесения, временная приостановка депозитов и четкая коммуникация оператора — это практические инструменты, доступные в текущем случае. Поскольку риск ограничен известным, коротким интервалом, затраты на подготовку являются ограниченными, а выгода заключается в сохранении пользовательских депозитов в течение переходного периода.

Ожидающие депозиты требуют усиленного контроля до завершения перехода

Любой открытый ключ, у которого на момент активации правил Glamsterdam остается непроработанный депозит, находится внутри потенциального окна атаки. Протоколы могут снизить этот риск, опустошив или ускорив очереди депозитов до эпохи, отклонив учетные данные 0xB0 для намерений валидаторов или приостановив новые заявки на короткий период вокруг активации. Постоянный мониторинг изменений deposit-root и статуса заявок на открытые ключи в критические часы позволит оперативно реагировать при появлении аномальной активности.
 
После завершения форка и перемещения депозитов строителей на отдельный путь контракта общий вектор очереди закрывается. Таким образом, нагрузка на мониторинг имеет четкую дату окончания. Команды, которые рассматривают этот переход как период повышенного внимания, а не как обычное обновление, будут лучше подготовлены для защиты средств стейкеров.

🔥 За кулисами новостей: что значит KuCoin 5.0 для вас

Новости рынка движутся быстро — но то, где вы на них реагируете, имеет не меньшее значение. В этом октябре KuCoin запускает KuCoin 5.0, превращая KuCoin в перестроенную платформу. Вот что реально изменится для вас:
 
  • Один аккаунт для всего. Старые платформы разделяли ваши средства между отдельными аккаунтами «спот», «маржа» и «фьючерсы» и ожидали, что вы поймете почему. Единый аккаунт KuCoin 5.0 полностью устраняет это — сделайте депозит один раз, и всё будет просто доступно (на данный момент доступно только для VIP-пользователей).
  • Акции, индексы и товары. KuCoin 5.0 расширяется за пределы криптовалют на глобальные рынки. Когда криптовалюты движутся боком, а акции растут (или наоборот), вы переключаетесь за минуты, вместо того чтобы открывать брокерский аккаунт и ждать дней для вывода фиата.
  • Реальные активы (RWA). Токенизированная экспозиция к традиционным активам, таким как сырьё, прямо в вашем криптоаккаунте. Один из самых быстрорастущих сегментов мировой финансовой системы больше не доступен только институциональным инвесторам — вы получаете к нему доступ с того же баланса, с которого торгуете.
  • Зарабатывайте, пока учитесь. Еще не готовы торговать? KCUSD позволяет вашим стейблкоинам получать ежедневный автокомпаундный доход. Самый спокойный способ заставить ваши неиспользуемые депозиты работать с доходностью 4%.
  • Искусственный интеллект на простом языке. Задавайте вопросы, получайте контекст рынка, понимайте, что вы видите — всё интегрировано в платформу, без жаргона.
  • Приложение, которое не перегружает. Быстрее, чище и последовательно — интуитивно понятно с первого касания, а не после обучения.
  • Безопасность, которую можно проверить, а не просто доверять. Европейская организация с лицензией MiCAR, Proof of Reserves, которую вы можете проверить самостоятельно, и международно сертифицированная безопасность (SOC 2 Type II, ISO 27001:2022).
 
Создайте аккаунт за несколько минут — и начните работать на платформе, созданной для того, куда движется криптовалюта, а не туда, где она была.

ЧаВо

Что именно представляет собой обновление Glamsterdam и почему оно важно для стейкинга?

Glamsterdam — это объединённое название изменений в исполнительном слое Амстердама и консенсусном слое Gloas. Их основные цели — закрепление разделения предложчика и билдера, а также списки доступа на уровне блока, поддерживающие более высокие лимиты газа и более эффективную обработку блоков. Для стейкинга внедрение регистрации билдеров в цепочке и связанного с ней пути депозита создаёт временное поведение совместного использования очереди, лежащее в основе риска фронт-раннинга.
 

Как долго длится окно перехвата депозита?

Окно существует только до тех пор, пока депозиты билдеров проходят через очередь депозитов валидаторов. Это условие выполняется во время перехода на хард-форк. После завершения обновления депозиты билдеров обрабатываются через отдельный контракт, закрывая путь общей очереди. Практическая продолжительность, следовательно, измеряется в часах вокруг эпохи активации, а не в днях или неделях.
 

Влияет ли риск на уже активированных валидаторов или существующие заблокированные ETH?

Нет. Атака нацелена на новые или еще находящиеся в очереди депозиты для публичных ключей, которые еще не сгенерировали активного валидатора. Существующие валидаторы и их балансы остаются под управлением своих установленных учетных данных для вывода и не входят в описанный вектор атаки.
 

Что могут сделать обычные стейкеры, чтобы защитить себя?

Стейкеры, которые осуществляют депозит через протокол ликвидного стейкинга, должны убедиться, что протокол опубликовал конкретные рекомендации по обработке депозитов вокруг активации Glamsterdam. Выбор провайдера, который уже использует многопартийную безопасность депозитов или контроль в стиле «опекуна», снижает остаточный риск. Стейкеры, запускающие собственные валидаторы, должны убедиться, что их логика отправки депозита не позволяет конкурирующему депозиту 0xB0 заявить право на тот же открытый ключ.
 

Почему основные разработчики отказались от исправления на уровне протокола?

Предложение о предварительной проверке депозитов было закрыто как не запланированное, в основном из-за давления сроков. Sepolia уже была активирована в соответствии с существующими правилами, а релизы клиента Hoodi продвигались. Позднее изменение поведения могло привести к дополнительным развертываниям и задержкам тестнета. Разработчики сочли, что средства снижения рисков на уровне приложения были достаточными с учетом ограниченной продолжительности экспозиции.
 
Отказ от ответственности: Этот материал предоставлен исключительно в информационных целях и не является инвестиционной рекомендацией. Инвестиции в криптовалюты сопряжены с рисками. Проведите собственное исследование (DYOR).
 

Отказ от ответственности: Эта страница была переведена для вашего удобства с использованием технологии искусственного интеллекта. Для получения наиболее точной информации обратитесь к оригинальной английской версии.