Уязвимость в программном обеспечении, которая может позволить специально созданным транзакциям вызывать неверные расчеты состояния блокчейна, спровоцировала скоординированные исправления в инфраструктуре Ethereum.
5 ноября Георгиос Константопулос, главный технологический директор криптоинвестиционной фирмы Paradigm, сказал, что разработчики выпустили исправления для Reth, Optimism, Base и Tempo после обнаружения ошибки в программном обеспечении, используемом для обработки транзакций блокчейна.
Уязвимость затронула Reth — клиент выполнения Ethereum, разработанный Paradigm, который обеспечивает критически важную инфраструктуру для сетей, работающих в рамках Ethereum Virtual Machine (EVM) экосистемы.
Ошибку Reth
Согласно Константопулосу, ошибка возникла в устаревшей системе вычисления state-root в Reth, которая могла возвращать неверный результат при обработке определенных конфигураций хранилища смарт-контрактов.
Связанная компания Paradigm — инвестиционная фирма в области криптовалют и Web3.
Корень состояния — это криптографический отпечаток, представляющий текущее состояние блокчейна, включая балансы аккаунтов и данные смарт-контрактов. Неправильный расчет может вызвать расхождения между нодами относительно валидности блока, что потенциально нарушит обработку транзакций или синхронизацию сети.
«У кода корня состояния наследия Reth был крайний случай», — объяснил Константопулос, добавив, что тщательно сконструированная транзакция может вызвать ошибку при определенных условиях.
Программное обеспечение Reth для построения блоков использовало уязвимый метод вычислений на менее мощном оборудовании и в сетях, построенных на базе OP Stack Optimism, расширив потенциальную уязвимость за пределы инфраструктуры мейннета ethereum.
Связанный актив Optimism OP $0,11 Изменение за 24 часа: рост на 3,47%
Команда разработчиков Tempo обнаружила проблему с помощью автоматизированного тестирования безопасности. Техника тестирования, известная как фаззинг, заключается в подаче программному обеспечению необычных или неожиданных входных данных для выявления ошибок, которые могут быть пропущены при обычном тестировании.
Константопулос заявил, что Tempo также было исправлено, а разработчики Reth выпустили версию 2.10.0, Optimism опубликовала OP Reth v2.8.1, а Base выпустила версию 1.5.3.
Релиз Reth классифицировал обновление как высокий приоритет для операторов нод, включая тех, кто отвечает за создание блоков.
Скоординированная реакция подчеркивает уязвимость в все более взаимосвязанной программной экосистеме Ethereum: несколько блокчейн-сетей могут наследовать одну и ту же базовую ошибку, когда они полагаются на общее программное обеспечение для выполнения.
Однако Константопулос заявил, что затронутый код не подвергал пользователей Base и других сетей OP Stack риску некорректных выводов.
Он объяснил, что системы вывода этих сетей не подвержены этой ошибке, в то время как мосты экосистемы, как правило, полагаются на корни подтверждений транзакций или мультиподпись, а не на затронутые вычисления state-root.
Он также извинился за возникшие проблемы, подчеркнув ответственность Paradigm за поддержание инфраструктуры, используемой в экосистеме Ethereum.
Base подтверждает, что средства пользователей в безопасности, поскольку LayerZero ограничивает межцепочечную активность
Base отдельно подтвердила, что уязвимость не затронула её пользователей, предоставив дополнительные сведения о том, как её системы безопасности предотвратили угрозу целостности сети.
Команда также независимо пересчитала корень состояния блокчейна, чтобы проверить его точность.
Base заявила, что ее система доказательств использует отдельную реализацию для проверки корней состояния, обеспечивая дополнительную проверку, способную выявлять расхождения в вычислениях, произведенных Reth.
Сеть сказала:
Мы подтвердили, что текущий корень состояния является правильным, и пользователи не пострадали.
Выпуск версии 1.5.3 также устраняет отдельное операционное последствие дефекта, предотвращая остановку базовых валидаторов при обнаружении недопустимых корней состояния.
Операторам нод рекомендовали обновиться, хотя Base заявила, что им не потребуется повторная синхронизация нод или дополнительные действия по восстановлению.
Тем не менее, опасения по поводу программного сбоя вызвали превентивные меры в отдельных частях экосистемы децентрализованных финансов.
Frax Finance сообщила 5 ноября, что межцепной протокол передачи сообщений LayerZero временно приостановил некоторые маршруты переводов, пока разработчики оценивают ситуацию.
Frax заявила, что её активы и смарт-контракты продолжают работать в штатном режиме, а средства пользователей остаются в безопасности.
Ограничения не подтвердили, что мостовые контракты LayerZero уязвимы к дефекту Reth. Вместо этого они показали, как опасения, связанные с общей инфраструктурой блокчейна, могут побудить другие сервисы ограничивать деятельность при оценке операционных рисков.
Не было подтвержденных сообщений о краже средств из-за уязвимости в расчете state-root.
Константопулос заявил, что скоординированные усилия по применению исправлений обеспечили безопасность инфраструктуры на базе Reth, включая системы, зависящие от доказательств состояния блокчейна.
Однако наличие исправленного программного обеспечения не означает, что каждая независимо управляемая нода его установила.
Оставшийся приоритет — для поставщиков инфраструктуры и операторов нод развернуть исправленные версии, в то время как сервисы, ограничившие деятельность, определяют, когда они смогут возобновить нормальную работу.