Un parche que los desarrolladores cerraron el 19 de octubre volvió a abrirse y se fusionó de emergencia el 26: solo pasaron 7 días 🦖
🚨 行情变了群里说
La próxima gran actualización de Ethereum, Glamsterdam, esconde una vulnerabilidad que podría hacer que los depósitos de staking acabaran en la cuenta equivocada. El investigador Avsetsin la descubrió durante unas pruebas. Afectaba a tres de los principales protocolos de staking: Lido, Origin y Rocket Pool. Por ahora, no ha habido pérdidas ⚠️
El problema estaba en la separación de roles. La actualización divide en dos grupos a los constructores de bloques y a los validadores de staking. Ambos grupos deben depositar ETH, y sus saldos deben registrarse por separado. Pero las reglas del borrador, al procesar los depósitos que aún no se habían contabilizado durante la actualización, solo tenían en cuenta la clave pública.
Así, un operador podía registrarse primero como constructor con una clave pública y, después, un servicio de staking podía depositar ETH en esa misma clave para activar un validador. Según las reglas del borrador, ambos depósitos se asignarían al constructor. En palabras del investigador: «Un operador podría retirar los fondos del protocolo».
Y lo que es peor: el validador ni siquiera llegaba a crearse. El servicio de staking no podía obtener las credenciales y, por tanto, tampoco demostrar que ese dinero le pertenecía 🔍
La reparación de esta vulnerabilidad fue toda una historia de giros. La propuesta se cerró el 19 de octubre. El mantenedor Justin Traglia explicó que, en ese momento, los clientes todavía no ofrecían suficiente compatibilidad. El 23 de octubre, el investigador añadió pruebas y, el lunes, el parche se volvió a abrir y se fusionó. La nueva regla ordena los depósitos pendientes según las credenciales de retiro, de modo que los fondos del validador permanezcan a su nombre.
Ahora el parche forma parte de la especificación de consenso, pero los equipos de clientes todavía tienen que implementarlo por su cuenta. El lanzamiento en la red de pruebas Hoodi, previsto para el 26 de octubre, ya se ha pospuesto. Ya se hizo una prueba en Sepolia; habrá que esperar para conocer el calendario de la red principal.
En mi opinión, esta vez no se trató de un ataque al código, sino de un vacío en los límites definidos por las reglas. Que no hubiera pérdidas se debió a que alguien detectó el problema antes del lanzamiento en la red principal. El propio investigador también dijo que se trataba de un hallazgo de código bajo ciertas condiciones, no de un ataque real confirmado. Pero, visto desde otro ángulo, que un escenario detectado rápidamente con IA pudiera afectar a tres de los principales protocolos demuestra que las pruebas de límites antes de una actualización siguen siendo insuficientes 📉
Conviene estar atentos a si las implementaciones posteriores de los clientes vuelven a generar interpretaciones divergentes y a cuándo llegará finalmente Glamsterdam a la red principal 👀
Cuéntanos en los comentarios: ¿cuál crees que es el mayor riesgo del sector del staking, el código o las reglas?
Haz clic en el avatar para ver la transmisión en directo
Cada día te traigo las novedades de Ethereum: no solo te cuento qué está pasando, sino que también te ayudo a entender la lógica y las oportunidades que hay detrás 👀🚀
🚨 行情变了群里说
La próxima gran actualización de Ethereum, Glamsterdam, esconde una vulnerabilidad que podría hacer que los depósitos de staking acabaran en la cuenta equivocada. El investigador Avsetsin la descubrió durante unas pruebas. Afectaba a tres de los principales protocolos de staking: Lido, Origin y Rocket Pool. Por ahora, no ha habido pérdidas ⚠️
El problema estaba en la separación de roles. La actualización divide en dos grupos a los constructores de bloques y a los validadores de staking. Ambos grupos deben depositar ETH, y sus saldos deben registrarse por separado. Pero las reglas del borrador, al procesar los depósitos que aún no se habían contabilizado durante la actualización, solo tenían en cuenta la clave pública.
Así, un operador podía registrarse primero como constructor con una clave pública y, después, un servicio de staking podía depositar ETH en esa misma clave para activar un validador. Según las reglas del borrador, ambos depósitos se asignarían al constructor. En palabras del investigador: «Un operador podría retirar los fondos del protocolo».
Y lo que es peor: el validador ni siquiera llegaba a crearse. El servicio de staking no podía obtener las credenciales y, por tanto, tampoco demostrar que ese dinero le pertenecía 🔍
La reparación de esta vulnerabilidad fue toda una historia de giros. La propuesta se cerró el 19 de octubre. El mantenedor Justin Traglia explicó que, en ese momento, los clientes todavía no ofrecían suficiente compatibilidad. El 23 de octubre, el investigador añadió pruebas y, el lunes, el parche se volvió a abrir y se fusionó. La nueva regla ordena los depósitos pendientes según las credenciales de retiro, de modo que los fondos del validador permanezcan a su nombre.
Ahora el parche forma parte de la especificación de consenso, pero los equipos de clientes todavía tienen que implementarlo por su cuenta. El lanzamiento en la red de pruebas Hoodi, previsto para el 26 de octubre, ya se ha pospuesto. Ya se hizo una prueba en Sepolia; habrá que esperar para conocer el calendario de la red principal.
En mi opinión, esta vez no se trató de un ataque al código, sino de un vacío en los límites definidos por las reglas. Que no hubiera pérdidas se debió a que alguien detectó el problema antes del lanzamiento en la red principal. El propio investigador también dijo que se trataba de un hallazgo de código bajo ciertas condiciones, no de un ataque real confirmado. Pero, visto desde otro ángulo, que un escenario detectado rápidamente con IA pudiera afectar a tres de los principales protocolos demuestra que las pruebas de límites antes de una actualización siguen siendo insuficientes 📉
Conviene estar atentos a si las implementaciones posteriores de los clientes vuelven a generar interpretaciones divergentes y a cuándo llegará finalmente Glamsterdam a la red principal 👀
Cuéntanos en los comentarios: ¿cuál crees que es el mayor riesgo del sector del staking, el código o las reglas?
Haz clic en el avatar para ver la transmisión en directo
Cada día te traigo las novedades de Ethereum: no solo te cuento qué está pasando, sino que también te ayudo a entender la lógica y las oportunidades que hay detrás 👀🚀
