#ETH
Eth behebt Glamsterdam-Fehler, der Staking-Einlagen an Block-Builder hätte umleiten können
Eth-Entwickler haben eine Schwachstelle im bevorstehenden Glamsterdam-Upgrade behoben. Sie hätte es jemandem ermöglichen können, sich mit Eth aus dem Staub zu machen, das Staking-Dienste für neue Validatoren vorgesehen hatten.
Die Korrektur, mit der die Regeln für den Umgang mit Validator-Einlagen geändert wurden, wurde am Montag zusammengeführt – eine Woche, nachdem Entwickler sie zunächst abgelehnt hatten.
Glamsterdam trennt zwei Aufgaben, die heute noch gebündelt sind. Block-Builder stellen Blöcke aus Transaktionen zusammen. Validatoren, die Eth staken, um das Netzwerk abzusichern, wählen diese aus und bestätigen sie. Beide können ETH einzahlen, und ihre Einlagen sollen getrennt erfasst werden.
Wie das Geld hätte verschwinden können
Das Problem trat während des Upgrades selbst auf, wenn Eth Einlagen verarbeitet, deren Gutschrift noch ausstand.
Der Forscher avsetsin identifizierte ein Szenario, in dem sich ein Betreiber zunächst mit einem bestimmten öffentlichen Schlüssel als Block-Builder registriert – einer Kennung, die einem Validator oder Block-Builder zugeordnet ist. Zahlt ein Staking-Dienst anschließend unter diesem Schlüssel Eth ein, um einen Validator zu starten, würden die Entwurfsregeln beide Einlagen dem Block-Builder gutschreiben.
„Der Betreiber kann die Gelder des Protokolls abheben“, schrieb avsetsin. Es wird kein Validator erstellt, sodass der Staking-Dienst den Nachweis, den er zur Rückforderung seines Geldes bräuchte, nicht erbringen kann.
Avsetsin, der als Mitglied der GitHub-Organisation von Lido aufgeführt ist, untersuchte, wie sich das auf Lido, Origin und Rocket Pool auswirken könnte. Der Forscher bezeichnete die Untersuchung als „kurze KI-Recherche“. Die Ergebnisse hingen davon ab, wie die einzelnen Protokolle Einlagen handhaben.
„Das sind bedingte Erkenntnisse aus der Codeanalyse, keine bestätigten aktiven Exploits“, schrieb avsetsin und fügte hinzu, dass bestehende Prüfungen, die eine frühere Einlage des Block-Builders ablehnen, den Angriff verhindern könnten. Es wurden keine Verluste gemeldet.
Zunächst abgelehnt, dann zusammengeführt
Die Entwickler schlossen den Vorschlag für die Korrektur am 19. Oktober. „Es gab derzeit nicht genügend Unterstützung von den Clients, um diese Änderung vorzunehmen“, schrieb Justin Traglia, der die Eth-Konsensspezifikationen betreut. Clients sind eigenständige Softwareprogramme, die Validatoren ausführen, um am Netzwerk teilzunehmen.
#Write2Earn #EarningsSeason #W2E $ETH
Eth behebt Glamsterdam-Fehler, der Staking-Einlagen an Block-Builder hätte umleiten können
Eth-Entwickler haben eine Schwachstelle im bevorstehenden Glamsterdam-Upgrade behoben. Sie hätte es jemandem ermöglichen können, sich mit Eth aus dem Staub zu machen, das Staking-Dienste für neue Validatoren vorgesehen hatten.
Die Korrektur, mit der die Regeln für den Umgang mit Validator-Einlagen geändert wurden, wurde am Montag zusammengeführt – eine Woche, nachdem Entwickler sie zunächst abgelehnt hatten.
Glamsterdam trennt zwei Aufgaben, die heute noch gebündelt sind. Block-Builder stellen Blöcke aus Transaktionen zusammen. Validatoren, die Eth staken, um das Netzwerk abzusichern, wählen diese aus und bestätigen sie. Beide können ETH einzahlen, und ihre Einlagen sollen getrennt erfasst werden.
Wie das Geld hätte verschwinden können
Das Problem trat während des Upgrades selbst auf, wenn Eth Einlagen verarbeitet, deren Gutschrift noch ausstand.
Der Forscher avsetsin identifizierte ein Szenario, in dem sich ein Betreiber zunächst mit einem bestimmten öffentlichen Schlüssel als Block-Builder registriert – einer Kennung, die einem Validator oder Block-Builder zugeordnet ist. Zahlt ein Staking-Dienst anschließend unter diesem Schlüssel Eth ein, um einen Validator zu starten, würden die Entwurfsregeln beide Einlagen dem Block-Builder gutschreiben.
„Der Betreiber kann die Gelder des Protokolls abheben“, schrieb avsetsin. Es wird kein Validator erstellt, sodass der Staking-Dienst den Nachweis, den er zur Rückforderung seines Geldes bräuchte, nicht erbringen kann.
Avsetsin, der als Mitglied der GitHub-Organisation von Lido aufgeführt ist, untersuchte, wie sich das auf Lido, Origin und Rocket Pool auswirken könnte. Der Forscher bezeichnete die Untersuchung als „kurze KI-Recherche“. Die Ergebnisse hingen davon ab, wie die einzelnen Protokolle Einlagen handhaben.
„Das sind bedingte Erkenntnisse aus der Codeanalyse, keine bestätigten aktiven Exploits“, schrieb avsetsin und fügte hinzu, dass bestehende Prüfungen, die eine frühere Einlage des Block-Builders ablehnen, den Angriff verhindern könnten. Es wurden keine Verluste gemeldet.
Zunächst abgelehnt, dann zusammengeführt
Die Entwickler schlossen den Vorschlag für die Korrektur am 19. Oktober. „Es gab derzeit nicht genügend Unterstützung von den Clients, um diese Änderung vorzunehmen“, schrieb Justin Traglia, der die Eth-Konsensspezifikationen betreut. Clients sind eigenständige Softwareprogramme, die Validatoren ausführen, um am Netzwerk teilzunehmen.
#Write2Earn #EarningsSeason #W2E $ETH
