أُغلق أحد المقترحات من قِبل المطوّرين في 19 أكتوبر، ثم دُمج على نحو عاجل في 26 أكتوبر؛ سبعة أيام فقط تفصل بينهما 🦖
🚨 行情变了群里说
تخبّئ ترقية إيثيريوم الكبرى القادمة، Glamsterdam، ثغرة قد تجعل إيداعات التخزين تُسجَّل في الحساب الخطأ. اكتشفها الباحث Avsetsin أثناء الاختبارات، وهي تمسّ ثلاثًا من كبرى بروتوكولات التخزين: Lido وOrigin وRocket Pool. وحتى الآن، لم تقع أي خسائر ⚠️
تكمن المشكلة في فصل الأدوار. فالترقية تقسم المشاركين إلى فئتين: منشئو الكتل المجمّعة ومدققو التخزين. ويتعين على كلتا الفئتين إيداع ETH، لذا ينبغي تسجيل الأموال في دفاتر منفصلة. لكن مسودة القواعد، عند التعامل مع الإيداعات التي لم تُسجَّل بعد خلال فترة الترقية، لا تنظر إلا إلى المفتاح العام.
وبالتالي، يمكن لمشغّل أن يسجّل نفسه أولًا كمنشئ باستخدام مفتاح عام معيّن، ثم تودع خدمة التخزين ETH في المفتاح العام نفسه لإنشاء مدقق. ووفقًا لمسودة القواعد، ستُسجَّل الأموال في العمليتين كلتيهما باسم منشئ الكتل. وعلى حد تعبير الباحث: «يمكن للمشغّل سحب أموال البروتوكول».
والأشد إشكالًا أن المدقق لا يُنشأ أصلًا، فلا تملك خدمة التخزين مستندًا يثبت حقها، ولا تستطيع إثبات أن تلك الأموال تخصها 🔍
أما مسار إصلاح الثغرة نفسه، فكان مليئًا بالمفاجآت. أُغلق المقترح في 19 أكتوبر، وكان السبب الذي ذكره المشرف Justin Traglia هو عدم كفاية دعم العملاء البرمجية آنذاك. وفي 23 أكتوبر، أضاف الباحث اختبارات، ثم أُعيد فتح التصحيح يوم الاثنين ودُمج. وتنص القاعدة الجديدة على ترتيب الإيداعات المعلّقة وفقًا لبيانات السحب، بحيث تبقى أموال المدقق مسجّلة باسمه.
أُدرج التصحيح الآن في مواصفات الإجماع، لكن لا يزال على فرق العملاء البرمجية تطبيقه كلٌّ على حدة. وكان من المقرر إطلاق شبكة الاختبار Hoodi في 26 أكتوبر، لكن الموعد تأجّل. وقد جرى اختبار التصحيح مرة على Sepolia، أما موعد الشبكة الرئيسية فما زال غير محسوم.
برأيي، لم يكن ما حدث اختراقًا للشفرة، بل ثغرة نتجت عن إغفال حدود القواعد. ولم تقع خسائر لأن أحدهم اكتشف المشكلة قبل إطلاق الشبكة الرئيسية. وقد قال الباحث نفسه إن هذا مجرد اكتشاف لثغرة مشروطة، وليس هجومًا حقيقيًا مؤكدًا. لكن إذا نظرنا إلى الأمر من زاوية أخرى، فإن سيناريو اكتُشف بسرعة باستخدام الذكاء الاصطناعي استطاع أن يمسّ ثلاثة من كبرى البروتوكولات، ما يدل على أن اختبارات الحدود قبل الترقية لا تزال غير كافية على الإطلاق 📉
ما يستحق المتابعة هو ما إذا كان تطبيق فرق العملاء للقواعد سيؤدي إلى تفسيرات متباينة مشابهة، ومتى ستُطلق Glamsterdam على الشبكة الرئيسية 👀
شاركونا في التعليقات: ما أكبر المخاطر في مجال التخزين، الشفرة أم القواعد؟
اضغطوا على الصورة الشخصية لمشاهدة البث المباشر
أتابع معكم يوميًا أبرز أخبار إيثيريوم؛ فلا نكتفي بمعرفة ما يحدث، بل نفهم أيضًا المنطق والفرص الكامنة وراءه 👀🚀
🚨 行情变了群里说
تخبّئ ترقية إيثيريوم الكبرى القادمة، Glamsterdam، ثغرة قد تجعل إيداعات التخزين تُسجَّل في الحساب الخطأ. اكتشفها الباحث Avsetsin أثناء الاختبارات، وهي تمسّ ثلاثًا من كبرى بروتوكولات التخزين: Lido وOrigin وRocket Pool. وحتى الآن، لم تقع أي خسائر ⚠️
تكمن المشكلة في فصل الأدوار. فالترقية تقسم المشاركين إلى فئتين: منشئو الكتل المجمّعة ومدققو التخزين. ويتعين على كلتا الفئتين إيداع ETH، لذا ينبغي تسجيل الأموال في دفاتر منفصلة. لكن مسودة القواعد، عند التعامل مع الإيداعات التي لم تُسجَّل بعد خلال فترة الترقية، لا تنظر إلا إلى المفتاح العام.
وبالتالي، يمكن لمشغّل أن يسجّل نفسه أولًا كمنشئ باستخدام مفتاح عام معيّن، ثم تودع خدمة التخزين ETH في المفتاح العام نفسه لإنشاء مدقق. ووفقًا لمسودة القواعد، ستُسجَّل الأموال في العمليتين كلتيهما باسم منشئ الكتل. وعلى حد تعبير الباحث: «يمكن للمشغّل سحب أموال البروتوكول».
والأشد إشكالًا أن المدقق لا يُنشأ أصلًا، فلا تملك خدمة التخزين مستندًا يثبت حقها، ولا تستطيع إثبات أن تلك الأموال تخصها 🔍
أما مسار إصلاح الثغرة نفسه، فكان مليئًا بالمفاجآت. أُغلق المقترح في 19 أكتوبر، وكان السبب الذي ذكره المشرف Justin Traglia هو عدم كفاية دعم العملاء البرمجية آنذاك. وفي 23 أكتوبر، أضاف الباحث اختبارات، ثم أُعيد فتح التصحيح يوم الاثنين ودُمج. وتنص القاعدة الجديدة على ترتيب الإيداعات المعلّقة وفقًا لبيانات السحب، بحيث تبقى أموال المدقق مسجّلة باسمه.
أُدرج التصحيح الآن في مواصفات الإجماع، لكن لا يزال على فرق العملاء البرمجية تطبيقه كلٌّ على حدة. وكان من المقرر إطلاق شبكة الاختبار Hoodi في 26 أكتوبر، لكن الموعد تأجّل. وقد جرى اختبار التصحيح مرة على Sepolia، أما موعد الشبكة الرئيسية فما زال غير محسوم.
برأيي، لم يكن ما حدث اختراقًا للشفرة، بل ثغرة نتجت عن إغفال حدود القواعد. ولم تقع خسائر لأن أحدهم اكتشف المشكلة قبل إطلاق الشبكة الرئيسية. وقد قال الباحث نفسه إن هذا مجرد اكتشاف لثغرة مشروطة، وليس هجومًا حقيقيًا مؤكدًا. لكن إذا نظرنا إلى الأمر من زاوية أخرى، فإن سيناريو اكتُشف بسرعة باستخدام الذكاء الاصطناعي استطاع أن يمسّ ثلاثة من كبرى البروتوكولات، ما يدل على أن اختبارات الحدود قبل الترقية لا تزال غير كافية على الإطلاق 📉
ما يستحق المتابعة هو ما إذا كان تطبيق فرق العملاء للقواعد سيؤدي إلى تفسيرات متباينة مشابهة، ومتى ستُطلق Glamsterdam على الشبكة الرئيسية 👀
شاركونا في التعليقات: ما أكبر المخاطر في مجال التخزين، الشفرة أم القواعد؟
اضغطوا على الصورة الشخصية لمشاهدة البث المباشر
أتابع معكم يوميًا أبرز أخبار إيثيريوم؛ فلا نكتفي بمعرفة ما يحدث، بل نفهم أيضًا المنطق والفرص الكامنة وراءه 👀🚀
