Ethereum-Entwickler haben den Glamsterdam-Hard-Fork im Hoodi-Testnetz verschoben, nachdem Forscher gasbezogene Sicherheitsrisiken identifiziert hatten, die beeinflussen könnten, wie bestehende Smart Contracts mit fehlgeschlagenen Transaktionen umgehen.
Die Ethereum Foundation (EF) erklärte, dass das ursprünglich für den 26. Oktober geplante Upgrade verschoben werde, damit Entwickler untersuchen können, wie einige Vorschläge mit auf Ethereum bereitgestellten Smart Contracts interagieren.
Am 13. Oktober warnte das Blockchain-Sicherheitsunternehmen ChainSecurity, dass zwei in Glamsterdam enthaltene Vorschläge, EIP-8037 und EIP-8038, Schutzmaßnahmen gegen eine Art von Angriff schwächen könnten, die als „Insufficient-Gas-Griefing“ bezeichnet wird.
Die Verschiebung sorgt für Unsicherheit hinsichtlich des Mainnet-Zeitplans von Glamsterdam. Ethereum-Entwickler hatten Anfang Dezember ins Auge gefasst und wollten den Zeitplan nach erfolgreichen Tests auf Hoodi festlegen.
Änderungen am Gas könnten bestehende Sicherheitsvorkehrungen für Smart Contracts untergraben
In seiner Analyse erklärte ChainSecurity, dass Gas nach den neuen Regeln einem Contract zurückerstattet werden könnte, wenn eine Operation fehlschlägt. Dadurch könnte dieser weiterlaufen, obwohl er zuvor angehalten worden wäre. Die Forscher sagten, die Änderungen könnten bestehende Sicherheitsprüfungen beeinträchtigen, die davon abhängen, wie viel Gas während einer Transaktion noch verfügbar ist.
Bei Angriffen, die als „Insufficient-Gas-Griefing“ bekannt sind, stellt ein böswilliger Aufrufer absichtlich zu wenig Gas bereit, damit eine legitime Smart-Contract-Operation erfolgreich ausgeführt werden kann. ChainSecurity warnte, die vorgeschlagenen Änderungen an Glamsterdam könnten Schutzmaßnahmen gegen solche Angriffe untergraben und es Contracts möglicherweise ermöglichen, fehlgeschlagene Operationen dauerhaft zu vermerken.
Ein betroffener Contract könnte beispielsweise den Anspruch eines Nutzers löschen oder die Möglichkeit deaktivieren, es erneut zu versuchen. Dadurch wäre der Nutzer nicht mehr in der Lage, eine ansonsten gültige Operation abzuschließen.
ChainSecurity zufolge würden durch Glamsterdam nicht alle gasbezogenen Sicherheitsprüfungen unzuverlässig. Einige Schutzmaßnahmen könnten weiterhin funktionieren, doch Entwickler müssten sie überprüfen, um sicherzustellen, dass sie die neuen Gasregeln des Upgrades berücksichtigen.
Die Erkenntnisse lösten bei Ethereum-Mitwirkenden Besorgnis aus. In einem Kommentar auf GitHub vom 21. Oktober bezeichnete der pseudonyme Sicherheitsforscher pcaversaccio die Risiken als „ernst“ und forderte eine Neubewertung der Hard Fork.
Am Freitag erklärte ChainSecurity, „13 Beispiele aus der Praxis“ identifiziert zu haben und die verantwortungsvolle Offenlegung mit den betroffenen Projekten abzustimmen. Die Sicherheitsfirma nannte weder Einzelheiten zu den 13 Beispielen aus der Praxis noch die betroffenen Projekte. Das Unternehmen sagte jedoch, Entwickler sollten ihre Contracts so bald wie möglich überprüfen.
Die Erkenntnisse folgen auf eine frühere Warnung der Ethereum Foundation, dass Glamsterdams Gasmodell Wallets, Indexer und Gas-Schätzer beeinträchtigen könnte, die auf festen Annahmen beruhen. Das Upgrade wurde zuvor am 6. Oktober auf Sepolia aktiviert, noch vor dem nun verschobenen Hoodi-Deployment.
Magazin: 5 Alternativen zu Ledger, um deine Bitcoin aufzubewahren