#ETH
Eth corrige un bug de Glamsterdam qui aurait pu envoyer des dépôts de staking aux constructeurs
Les développeurs d’Eth ont corrigé une faille dans la prochaine mise à niveau Glamsterdam qui aurait pu permettre à quelqu’un de s’emparer d’ETH destinés par des services de staking à de nouveaux validateurs.
Le correctif, qui a modifié les règles de traitement des dépôts de validateurs, a été fusionné lundi, une semaine après que les développeurs l’eurent rejeté.
Glamsterdam sépare deux tâches qui sont aujourd’hui regroupées. Les constructeurs assemblent des blocs de transactions, tandis que les validateurs, qui mettent en staking des ETH pour contribuer à la sécurité du réseau, les sélectionnent et les confirment. Les deux peuvent déposer des ETH, et leurs fonds sont censés être suivis séparément.
Comment les fonds auraient pu disparaître
Le problème est apparu pendant la mise à niveau elle-même, lorsque Eth aurait traité des dépôts qui attendaient encore d’être crédités.
Le chercheur avsetsin a identifié un scénario dans lequel un opérateur s’enregistre d’abord comme constructeur à l’aide d’une clé publique particulière, l’identifiant associé à un validateur ou à un constructeur. Si un service de staking dépose ensuite des ETH pour lancer un validateur sous cette clé, les règles proposées créditeraient les deux dépôts au constructeur.
« L’opérateur peut retirer les fonds du protocole », a écrit avsetsin. Aucun validateur n’est créé, le service de staking ne peut donc pas produire la preuve dont il aurait besoin pour récupérer ses fonds.
Avsetsin, qui figure comme membre de l’organisation GitHub de Lido, a examiné les répercussions possibles pour Lido, Origin et Rocket Pool, dans le cadre de ce que le chercheur a appelé une « recherche rapide avec l’IA ». Les conclusions dépendaient de la façon dont chaque protocole traite les dépôts.
« Il s’agit de constats conditionnels sur le code, et non d’exploits actifs confirmés », a écrit avsetsin, ajoutant que des contrôles existants rejetant un dépôt antérieur du constructeur pourraient empêcher l’attaque. Aucune perte n’a été signalée.
Rejeté, puis fusionné
Les développeurs ont clôturé la proposition de correctif le 19 octobre. « Les clients n’étaient pas assez nombreux à soutenir cette modification pour qu’elle soit adoptée pour le moment », a écrit Justin Traglia, qui assure la maintenance des spécifications de consensus d’Eth. Les clients sont les différents logiciels que les validateurs exécutent pour participer au réseau.
#Write2Earn #EarningsSeason #W2E $ETH
Eth corrige un bug de Glamsterdam qui aurait pu envoyer des dépôts de staking aux constructeurs
Les développeurs d’Eth ont corrigé une faille dans la prochaine mise à niveau Glamsterdam qui aurait pu permettre à quelqu’un de s’emparer d’ETH destinés par des services de staking à de nouveaux validateurs.
Le correctif, qui a modifié les règles de traitement des dépôts de validateurs, a été fusionné lundi, une semaine après que les développeurs l’eurent rejeté.
Glamsterdam sépare deux tâches qui sont aujourd’hui regroupées. Les constructeurs assemblent des blocs de transactions, tandis que les validateurs, qui mettent en staking des ETH pour contribuer à la sécurité du réseau, les sélectionnent et les confirment. Les deux peuvent déposer des ETH, et leurs fonds sont censés être suivis séparément.
Comment les fonds auraient pu disparaître
Le problème est apparu pendant la mise à niveau elle-même, lorsque Eth aurait traité des dépôts qui attendaient encore d’être crédités.
Le chercheur avsetsin a identifié un scénario dans lequel un opérateur s’enregistre d’abord comme constructeur à l’aide d’une clé publique particulière, l’identifiant associé à un validateur ou à un constructeur. Si un service de staking dépose ensuite des ETH pour lancer un validateur sous cette clé, les règles proposées créditeraient les deux dépôts au constructeur.
« L’opérateur peut retirer les fonds du protocole », a écrit avsetsin. Aucun validateur n’est créé, le service de staking ne peut donc pas produire la preuve dont il aurait besoin pour récupérer ses fonds.
Avsetsin, qui figure comme membre de l’organisation GitHub de Lido, a examiné les répercussions possibles pour Lido, Origin et Rocket Pool, dans le cadre de ce que le chercheur a appelé une « recherche rapide avec l’IA ». Les conclusions dépendaient de la façon dont chaque protocole traite les dépôts.
« Il s’agit de constats conditionnels sur le code, et non d’exploits actifs confirmés », a écrit avsetsin, ajoutant que des contrôles existants rejetant un dépôt antérieur du constructeur pourraient empêcher l’attaque. Aucune perte n’a été signalée.
Rejeté, puis fusionné
Les développeurs ont clôturé la proposition de correctif le 19 octobre. « Les clients n’étaient pas assez nombreux à soutenir cette modification pour qu’elle soit adoptée pour le moment », a écrit Justin Traglia, qui assure la maintenance des spécifications de consensus d’Eth. Les clients sont les différents logiciels que les validateurs exécutent pour participer au réseau.
#Write2Earn #EarningsSeason #W2E $ETH
