Un depósito en staking casi acabó en la cuenta de otra persona.
La clave de contabilidad no se puede compartir.
El lunes, los desarrolladores de Ethereum incorporaron a Glamsterdam una corrección para los depósitos. En el borrador original, los builders y los validadores compartían una misma cola de depósitos pendientes. Un operador podía registrarse primero como builder con una clave pública y, después, el servicio de staking podía usar esa misma clave pública para depositar ETH para un nuevo validador. Así, ambos depósitos quedaban registrados a nombre del builder.
El builder podía retirar los fondos, el validador no podía ponerse en marcha y el proveedor del servicio ni siquiera tenía un comprobante con el que reclamarlos.
¿Por qué se había desactivado apenas una semana antes? La corrección se desactivó el 19 de octubre por falta de compatibilidad de los clientes. El día 23 se completaron las pruebas y el lunes volvió a incorporarse a la especificación de consenso.
Aclaremos algo: se trata de un hallazgo sobre código sujeto a ciertas condiciones, no de una vulnerabilidad confirmada en la red en producción. Los controles existentes pueden impedir algunos casos y, por ahora, no se ha informado de pérdidas.
La nueva norma ordena los depósitos pendientes según las credenciales de retiro. Si se usa la misma clave pública, cada depósito va a su correspondiente destinatario. Los clientes aún no han incorporado esta nueva norma al software, así que la fecha para la red principal se decidirá cuando estén al día.
La clave de contabilidad no se puede compartir.
La clave de contabilidad no se puede compartir.
El lunes, los desarrolladores de Ethereum incorporaron a Glamsterdam una corrección para los depósitos. En el borrador original, los builders y los validadores compartían una misma cola de depósitos pendientes. Un operador podía registrarse primero como builder con una clave pública y, después, el servicio de staking podía usar esa misma clave pública para depositar ETH para un nuevo validador. Así, ambos depósitos quedaban registrados a nombre del builder.
El builder podía retirar los fondos, el validador no podía ponerse en marcha y el proveedor del servicio ni siquiera tenía un comprobante con el que reclamarlos.
¿Por qué se había desactivado apenas una semana antes? La corrección se desactivó el 19 de octubre por falta de compatibilidad de los clientes. El día 23 se completaron las pruebas y el lunes volvió a incorporarse a la especificación de consenso.
Aclaremos algo: se trata de un hallazgo sobre código sujeto a ciertas condiciones, no de una vulnerabilidad confirmada en la red en producción. Los controles existentes pueden impedir algunos casos y, por ahora, no se ha informado de pérdidas.
La nueva norma ordena los depósitos pendientes según las credenciales de retiro. Si se usa la misma clave pública, cada depósito va a su correspondiente destinatario. Los clientes aún no han incorporado esta nueva norma al software, así que la fecha para la red principal se decidirá cuando estén al día.
La clave de contabilidad no se puede compartir.