Програмна вада, яка може дозволити спеціально створеним транзакціям викликати неправильні обчислення стану блокчейну, спонукала до координованих виправлень у інфраструктурі Ethereum.
5 листопада Георгіос Константопулос, головний технологічний офіцер криптоінвестиційної фірми Paradigm, сказав, що розробники випустили патчі для Reth, Optimism, Base і Tempo після виявлення помилки в програмному забезпеченні, яке використовується для обробки транзакцій у блокчейні.
Уразливість вплинула на Reth — виконавчий клієнт Ethereum, розроблений Paradigm, який забезпечує критичну інфраструктуру для мереж, що функціонують у межах Ethereum Virtual Machine (EVM) екосистеми.
Баг Reth
За словами Константопулоса, недолік виник у старій системі розрахунку state-root у Reth, яка могла повертати неправильний результат під час обробки певних конфігурацій сховища смартконтрактів.
Пов’язана компанія Paradigm — інвестиційна фірма в галузі криптовалют та Web3.
Корінь стану — це криптографічний відбиток, що представляє поточний стан блокчейну, включаючи баланси акаунтів та дані смартконтрактів. Неправильний розрахунок може призвести до розбіжностей між нодами щодо дійсності блоку, що потенційно порушує обробку транзакцій або синхронізацію мережі.
«Код кореневого стану спадщини Reth мав крайній випадок», — пояснив Константопулос, додавши, що уважно створена транзакція може спровокувати помилку за певних умов.
Програмне забезпечення для побудови блоків Reth використовувало вразливий метод обчислення на обладнанні нижчого рівня та в мережах, побудованих на базі OP Stack від Optimism, що розширило потенційний вплив за межі інфраструктури мейннету ethereum.
Пов’язаний актив Optimism OP $0,11 Зміна за 24 години: зростання на 3,47%
Команда розробників Tempo виявила проблему за допомогою автоматизованого тестування безпеки. Техніка тестування, відома як фаззинг, полягає у наданні програмному забезпеченню незвичних або неочікуваних вхідних даних для виявлення помилок, які звичайне тестування може пропустити.
Константопулос сказав, що Tempo також було виправлено, тоді як розробники Reth випустили версію 2.10.0, Optimism опублікувала OP Reth v2.8.1, а Base випустила версію 1.5.3.
Випуск Reth класифікував оновлення як високопріоритетне для операторів нод, включаючи тих, хто відповідає за побудову блоків.
Загальна відповідь підкреслює вразливість у все більш інтерконектованій програмній екосистемі Ethereum: кілька блокчейн-мереж можуть успадковувати ту саму базову недолік, коли вони залежать від спільного програмного забезпечення виконання.
Однак Константопулос сказав, що вразливий код не виставляв на ризик користувачів Base та інших мереж OP Stack у зв’язку з несправними виведеннями.
Він пояснив, що системи виведення цих мереж не були вразливі до цієї помилки, тоді як мости екосистеми зазвичай залежать від коренів отриманих транзакцій або мультипідписової авторизації, а не від впливових обчислень state-root.
Він також вибачився за перерву, підкресливши відповідальність Paradigm за підтримку інфраструктури, яка використовується в екосистемі ethereum.
Base підтверджує, що кошти користувачів безпечні, оскільки LayerZero обмежує міжланцюгову діяльність
Base окремо підтвердила, що вразливість не вплинула на її користувачів, надавши додаткові деталі про те, як її системи безпеки запобігли тому, щоб помилка загрожувала цілісності мережі.
Команда також самостійно перерахувала корінь стану блокчейну, щоб перевірити його точність.
Base сказала, що її система доведення використовує окрему реалізацію для перевірки коренів стану, забезпечуючи додаткову перевірку, здатну виявляти розбіжності у обчисленнях, згенерованих Reth.
Мережа сказала:
Ми підтвердили, що поточний корінь стану є правильним, і користувачі не постраждали.
Версія 1.5.3 також вирішує окремий операційний наслідок дефекту, запобігаючи зупинці базових валідаторів при зустрічі недійсних коренів стану.
Операторів нод закликали оновити систему, хоча Base зазначила, що їм не потрібно буде повторно синхронізувати свої ноди або виконувати додаткові дії з відновлення.
Тим не менш, занепокоєння щодо помилки в програмному забезпеченні спонукали до заходів обережності в частинах екосистеми децентралізованого фінансування.
Frax Finance повідомив 5 листопада, що міжланцюговий протокол передачі повідомлень LayerZero тимчасово призупинив певні маршрути переказу, поки розробники оцінюють ситуацію.
Frax повідомив, що його активи та смартконтракти продовжували працювати нормально, а кошти користувачів залишилися безпечними.
Обмеження не підтвердили, що мостові контракти LayerZero є вразливими до дефекту Reth. Навпаки, вони продемонстрували, як занепокоєння щодо спільної інфраструктури блокчейну можуть спонукати інші сервіси обмежувати діяльність під час оцінки операційних ризиків.
Не було підтверджених повідомлень про вкрадені кошти через ваду розрахунку state-root.
Константопулос сказав, що координований зусилля з виправленням забезпечило інфраструктуру на основі Reth, включаючи системи, які залежать від доказів стану блокчейну.
Однак наявність виправленого програмного забезпечення не означає, що кожна незалежно керована нода його встановила.
Залишковий пріоритет — для постачальників інфраструктури та операторів нод щодо розгортання виправлених версій, тоді як сервіси, які обмежили діяльність, визначають, коли зможуть відновити нормальну роботу.