Ethereum Glamsterdam'daki staking mevduatı hatasını kapattı

Ethereum geliştiricileri, bekleyen Glamsterdam yükseltmesinde yer alan ve staking hizmetlerinin yeni doğrulayıcılar için yatırdığı ETH'nin bir operatör tarafından çekilmesine izin verebilecek bir hatayı kapattı. Konsensüs şartnamesinin sorumlularından Justin Traglia, bir hafta önce reddedilen düzeltmeyi pazartesi günü birleştirdi. Ethereum Glamsterdam güvenlik açığı, herhangi bir kayıp yaşanmadan kapatılmış oldu.

Hata nasıl çalışıyordu?

Sorun, builder (blok oluşturucu) ve doğrulayıcı mevduatlarının aynı ortak anahtarı paylaşabilmesinden kaynaklanıyordu. Araştırmacı avsetsin'in tespit ettiği senaryoda, önce bir operatör belirli bir anahtarla builder olarak kayıt oluyordu. Bir staking hizmeti daha sonra aynı anahtar altında doğrulayıcı başlatmak için ETH yatırdığında, taslak kurallar her iki mevduatı da builder hesabına yazıyordu.

İlgili: Bitcoin Core üç güvenlik açığını duyurdu: Windows ve Mac düğümleri etkileniyor

avsetsin, "Operatör, protokolün fonlarını çekebilir" diye yazdı. Doğrulayıcı oluşturulamadığı için staking hizmeti, parasını geri almak için gerekli kanıtı üretemiyordu.

Lido ve Rocket Pool incelemesi koşullu sonuç verdi

Lido'nun GitHub organizasyonunda listelenen avsetsin, Lido, Origin ve Rocket Pool'un bu durumdan nasıl etkilenebileceğine baktı ve incelemeyi "hızlı yapay zekâ araştırması" olarak tanımladı. Sonuçlar her protokolün mevduat işleyişine bağlıydı. Araştırmacı, bulguların "doğrulanmış canlı istismar değil, koşullu kod tespitleri" olduğunu ve mevcut kontrollerin erken bir builder mevduatını reddederek saldırıyı engelleyebileceğini belirtti. Herhangi bir kayıp bildirilmedi.

Önce reddedilmişti, sonra kabul edildi

Önerilen düzeltme 19 Ekim'de kapatılmıştı. Traglia, o tarihli karar için "İstemcilerden bu değişikliği şu an yapmak için yeterli destek yok" yazmıştı. İstemciler, ağda doğrulayıcı olarak yer almak için çalışan ayrı yazılımlar. Dosya, avsetsin'in 23 Ekim'de eklediği testlerin ardından yeniden açıldı ve pazartesi günü Traglia tarafından birleştirildi.

Yeni kurallara göre bekleyen mevduatlar, paranın nereye gidebileceğini belirten çekim kimlik bilgilerine göre ayrıştırılıyor. Builder aynı anahtarı kullanıyor olsa bile doğrulayıcı mevduatı doğrulayıcıda kalıyor. Değişiklik artık Ethereum'un konsensüs şartnamesinin parçası; ancak istemci ekiplerinin bu kuralları kendi yazılımlarına işlemesi gerekiyor.

Glamsterdam'ın ana ağ yolu hâlâ belirsiz

Glamsterdam, bugün tek elde toplanmış iki işi ayırıyor: Builder'lar işlem bloklarını hazırlıyor, ETH stake ederek ağı güvenceye alan doğrulayıcılar ise bu blokları seçip onaylıyor. İki rolün mevduatlarının ayrı izlenmesi gerekiyor.

Yükseltme Sepolia test ağında zaten çalıştırıldı; ancak Hoodi adlı ikinci test ağındaki 26 Ekim lansmanı ertelendi. Ana ağ lansmanı takvimi, yeni bir Hoodi tarihi belirlenmeden planlanamıyor. Bu gelişmelerin üzerine Ethereum, güncel piyasa verilerine göre gün içinde yüzde 0,41 gerileyerek yaklaşık 2.421 dolar seviyesinde işlem görüyor.