Ein Patch wurde am 19. Oktober von den Entwicklern geschlossen und am 26. Oktober dringend zusammengeführt – dazwischen lagen nur 7 Tage 🦖
🚨 行情变了群里说
In Glamsterdam, dem nächsten großen Ethereum-Upgrade, steckt eine Sicherheitslücke, durch die Staking-Einlagen möglicherweise dem falschen Konto zugeordnet werden könnten. Der Forscher Avsetsin entdeckte sie bei Tests. Betroffen sind drei führende Staking-Protokolle: Lido, Origin und Rocket Pool. Bislang ist kein Verlust entstanden ⚠️
Das Problem liegt in der Aufteilung der Rollen. Das Upgrade trennt Block-Builder und Staking-Validatoren in zwei Gruppen. Beide müssen ETH einzahlen, und die Einlagen müssen getrennt verbucht werden. Doch der Regelentwurf berücksichtigt bei Einlagen, die während des Upgrades noch nicht verbucht wurden, nur den öffentlichen Schlüssel.
So kann sich ein Operator zunächst mit einem öffentlichen Schlüssel als Builder registrieren. Anschließend kann ein Staking-Dienst ETH an denselben öffentlichen Schlüssel einzahlen, um einen Validator zu aktivieren. Nach dem Regelentwurf würden beide Beträge dem Builder gutgeschrieben. Der Forscher sagte dazu: „Ein Operator könnte die Gelder des Protokolls abziehen.“
Noch problematischer: Der Validator würde überhaupt nicht erstellt. Der Staking-Dienst hätte keinen Nachweis und könnte somit nicht belegen, dass ihm die Einlage gehört 🔍
Die Behebung der Sicherheitslücke war selbst eine Wendung: Der Vorschlag wurde am 19. Oktober geschlossen. Als Grund nannte der Maintainer Justin Traglia, dass die Unterstützung durch die Clients zu diesem Zeitpunkt noch nicht ausreichte. Am 23. Oktober ergänzte der Forscher Tests. Am Montag wurde der Patch wieder geöffnet und zusammengeführt. Die neue Regel sortiert noch nicht verbuchte Einlagen anhand der Auszahlungsdaten – das Geld der Validatoren bleibt den Validatoren zugeordnet.
Der Patch ist jetzt in die Konsensspezifikation aufgenommen worden, aber die Client-Teams müssen ihn noch jeweils selbst implementieren. Der Start im Hoodi-Testnetz war ursprünglich für den 26. Oktober geplant, wurde aber verschoben. Auf Sepolia wurde der Patch bereits einmal getestet. Wann das Upgrade im Mainnet kommt, bleibt abzuwarten.
Meine Einschätzung: Diesmal wurde kein Code gehackt – vielmehr wurde eine Lücke in den Regeln übersehen. Dass es zu keinen Verlusten kam, ist dem Umstand zu verdanken, dass jemand die Lücke vor dem Mainnet-Start aufgedeckt hat. Der Forscher selbst sagte auch, dass es sich um eine bedingte Entdeckung im Code und nicht um einen bestätigten realen Angriff handelt. Doch wenn ein Szenario, das sich mithilfe von KI schnell aufspüren lässt, gleich drei führende Protokolle betrifft, zeigt das, dass die Tests der Randfälle vor einem Upgrade noch lange nicht ausreichen 📉
Im Auge behalten sollte man, ob es bei der späteren Implementierung durch die einzelnen Clients erneut zu unterschiedlichen Auslegungen kommt – und wann Glamsterdam tatsächlich im Mainnet startet 👀
Schreibt in die Kommentare: Was ist eurer Meinung nach das größte Risiko im Staking-Bereich – der Code oder die Regeln?
Tippt auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag halte ich euch über die wichtigsten Ethereum-Themen auf dem Laufenden. Dabei geht es nicht nur um die Nachrichten, sondern auch darum, die Hintergründe und Chancen zu verstehen 👀🚀
🚨 行情变了群里说
In Glamsterdam, dem nächsten großen Ethereum-Upgrade, steckt eine Sicherheitslücke, durch die Staking-Einlagen möglicherweise dem falschen Konto zugeordnet werden könnten. Der Forscher Avsetsin entdeckte sie bei Tests. Betroffen sind drei führende Staking-Protokolle: Lido, Origin und Rocket Pool. Bislang ist kein Verlust entstanden ⚠️
Das Problem liegt in der Aufteilung der Rollen. Das Upgrade trennt Block-Builder und Staking-Validatoren in zwei Gruppen. Beide müssen ETH einzahlen, und die Einlagen müssen getrennt verbucht werden. Doch der Regelentwurf berücksichtigt bei Einlagen, die während des Upgrades noch nicht verbucht wurden, nur den öffentlichen Schlüssel.
So kann sich ein Operator zunächst mit einem öffentlichen Schlüssel als Builder registrieren. Anschließend kann ein Staking-Dienst ETH an denselben öffentlichen Schlüssel einzahlen, um einen Validator zu aktivieren. Nach dem Regelentwurf würden beide Beträge dem Builder gutgeschrieben. Der Forscher sagte dazu: „Ein Operator könnte die Gelder des Protokolls abziehen.“
Noch problematischer: Der Validator würde überhaupt nicht erstellt. Der Staking-Dienst hätte keinen Nachweis und könnte somit nicht belegen, dass ihm die Einlage gehört 🔍
Die Behebung der Sicherheitslücke war selbst eine Wendung: Der Vorschlag wurde am 19. Oktober geschlossen. Als Grund nannte der Maintainer Justin Traglia, dass die Unterstützung durch die Clients zu diesem Zeitpunkt noch nicht ausreichte. Am 23. Oktober ergänzte der Forscher Tests. Am Montag wurde der Patch wieder geöffnet und zusammengeführt. Die neue Regel sortiert noch nicht verbuchte Einlagen anhand der Auszahlungsdaten – das Geld der Validatoren bleibt den Validatoren zugeordnet.
Der Patch ist jetzt in die Konsensspezifikation aufgenommen worden, aber die Client-Teams müssen ihn noch jeweils selbst implementieren. Der Start im Hoodi-Testnetz war ursprünglich für den 26. Oktober geplant, wurde aber verschoben. Auf Sepolia wurde der Patch bereits einmal getestet. Wann das Upgrade im Mainnet kommt, bleibt abzuwarten.
Meine Einschätzung: Diesmal wurde kein Code gehackt – vielmehr wurde eine Lücke in den Regeln übersehen. Dass es zu keinen Verlusten kam, ist dem Umstand zu verdanken, dass jemand die Lücke vor dem Mainnet-Start aufgedeckt hat. Der Forscher selbst sagte auch, dass es sich um eine bedingte Entdeckung im Code und nicht um einen bestätigten realen Angriff handelt. Doch wenn ein Szenario, das sich mithilfe von KI schnell aufspüren lässt, gleich drei führende Protokolle betrifft, zeigt das, dass die Tests der Randfälle vor einem Upgrade noch lange nicht ausreichen 📉
Im Auge behalten sollte man, ob es bei der späteren Implementierung durch die einzelnen Clients erneut zu unterschiedlichen Auslegungen kommt – und wann Glamsterdam tatsächlich im Mainnet startet 👀
Schreibt in die Kommentare: Was ist eurer Meinung nach das größte Risiko im Staking-Bereich – der Code oder die Regeln?
Tippt auf mein Profilbild, um den Livestream anzusehen.
Jeden Tag halte ich euch über die wichtigsten Ethereum-Themen auf dem Laufenden. Dabei geht es nicht nur um die Nachrichten, sondern auch darum, die Hintergründe und Chancen zu verstehen 👀🚀
