Sebuah patch ditutup oleh developer pada 19 Oktober, lalu digabungkan secara darurat pada 26 Oktober—jaraknya hanya 7 hari 🦖
🚨 行情变了群里说
Dalam Glamsterdam, upgrade besar Ethereum berikutnya, tersembunyi sebuah bug yang berpotensi membuat deposit staking masuk ke akun yang salah. Peneliti Avsetsin menemukannya saat pengujian. Bug ini melibatkan tiga protokol staking terkemuka: Lido, Origin, dan Rocket Pool. Sejauh ini, tidak ada kerugian ⚠️
Masalahnya terletak pada pemisahan peran. Upgrade ini membagi pembangun blok dan validator staking menjadi dua kelompok. Keduanya perlu menyetor ETH, dan pencatatannya harus dipisahkan. Namun, aturan dalam draf hanya memeriksa kunci publik saat memproses deposit yang belum tercatat selama upgrade berlangsung.
Akibatnya, seorang operator bisa lebih dulu mendaftar sebagai pembangun dengan kunci publik tertentu. Lalu, layanan staking menyetor ETH ke kunci publik yang sama untuk mengaktifkan validator. Aturan dalam draf akan mencatat kedua setoran itu atas nama pembangun. Menurut peneliti, “Operator bisa menarik dana milik protokol.”
Yang lebih parah, validatornya bahkan tidak pernah dibuat. Layanan staking tidak memiliki bukti, sehingga tak bisa membuktikan bahwa dana tersebut miliknya 🔍
Proses perbaikan bug ini sendiri penuh kejutan. Usulan ditutup pada 19 Oktober. Pemelihara Justin Traglia beralasan bahwa dukungan klien saat itu belum memadai. Pada 23 Oktober, peneliti menambahkan pengujian. Pada hari Senin, patch dibuka kembali dan digabungkan. Aturan baru mengurutkan deposit yang menunggu pencatatan berdasarkan kredensial penarikan, sehingga dana milik validator tetap tercatat atas nama validator.
Kini patch tersebut telah masuk ke spesifikasi konsensus, tetapi tim klien masih perlu menerapkannya masing-masing. Peluncuran testnet Hoodi yang semula dijadwalkan pada 26 Oktober telah ditunda. Patch ini sudah pernah dijalankan di Sepolia. Jadwal mainnet masih perlu ditunggu.
Menurut saya, kali ini bukan kode yang dibobol, melainkan batasan aturan yang luput ditetapkan. Tidak ada kerugian karena seseorang menemukannya sebelum peluncuran mainnet. Peneliti itu sendiri juga mengatakan bahwa ini hanyalah temuan kode bersyarat, bukan serangan nyata yang telah dikonfirmasi. Namun, jika dipikir-pikir, sebuah skenario yang ditemukan lewat pemindaian cepat menggunakan AI saja bisa berdampak pada tiga protokol terkemuka. Ini menunjukkan bahwa pengujian batas sebelum upgrade masih jauh dari cukup 📉
Yang patut dipantau adalah apakah implementasi klien berikutnya akan kembali menimbulkan perbedaan pemahaman serupa, dan kapan Glamsterdam benar-benar diluncurkan di mainnet 👀
Yuk, diskusi di kolom komentar: menurutmu, risiko terbesar di sektor staking itu kode atau aturan?
Klik foto profil untuk menonton siaran langsung
Setiap hari, saya mengajakmu mengikuti perkembangan terbaru Ethereum. Bukan sekadar melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
🚨 行情变了群里说
Dalam Glamsterdam, upgrade besar Ethereum berikutnya, tersembunyi sebuah bug yang berpotensi membuat deposit staking masuk ke akun yang salah. Peneliti Avsetsin menemukannya saat pengujian. Bug ini melibatkan tiga protokol staking terkemuka: Lido, Origin, dan Rocket Pool. Sejauh ini, tidak ada kerugian ⚠️
Masalahnya terletak pada pemisahan peran. Upgrade ini membagi pembangun blok dan validator staking menjadi dua kelompok. Keduanya perlu menyetor ETH, dan pencatatannya harus dipisahkan. Namun, aturan dalam draf hanya memeriksa kunci publik saat memproses deposit yang belum tercatat selama upgrade berlangsung.
Akibatnya, seorang operator bisa lebih dulu mendaftar sebagai pembangun dengan kunci publik tertentu. Lalu, layanan staking menyetor ETH ke kunci publik yang sama untuk mengaktifkan validator. Aturan dalam draf akan mencatat kedua setoran itu atas nama pembangun. Menurut peneliti, “Operator bisa menarik dana milik protokol.”
Yang lebih parah, validatornya bahkan tidak pernah dibuat. Layanan staking tidak memiliki bukti, sehingga tak bisa membuktikan bahwa dana tersebut miliknya 🔍
Proses perbaikan bug ini sendiri penuh kejutan. Usulan ditutup pada 19 Oktober. Pemelihara Justin Traglia beralasan bahwa dukungan klien saat itu belum memadai. Pada 23 Oktober, peneliti menambahkan pengujian. Pada hari Senin, patch dibuka kembali dan digabungkan. Aturan baru mengurutkan deposit yang menunggu pencatatan berdasarkan kredensial penarikan, sehingga dana milik validator tetap tercatat atas nama validator.
Kini patch tersebut telah masuk ke spesifikasi konsensus, tetapi tim klien masih perlu menerapkannya masing-masing. Peluncuran testnet Hoodi yang semula dijadwalkan pada 26 Oktober telah ditunda. Patch ini sudah pernah dijalankan di Sepolia. Jadwal mainnet masih perlu ditunggu.
Menurut saya, kali ini bukan kode yang dibobol, melainkan batasan aturan yang luput ditetapkan. Tidak ada kerugian karena seseorang menemukannya sebelum peluncuran mainnet. Peneliti itu sendiri juga mengatakan bahwa ini hanyalah temuan kode bersyarat, bukan serangan nyata yang telah dikonfirmasi. Namun, jika dipikir-pikir, sebuah skenario yang ditemukan lewat pemindaian cepat menggunakan AI saja bisa berdampak pada tiga protokol terkemuka. Ini menunjukkan bahwa pengujian batas sebelum upgrade masih jauh dari cukup 📉
Yang patut dipantau adalah apakah implementasi klien berikutnya akan kembali menimbulkan perbedaan pemahaman serupa, dan kapan Glamsterdam benar-benar diluncurkan di mainnet 👀
Yuk, diskusi di kolom komentar: menurutmu, risiko terbesar di sektor staking itu kode atau aturan?
Klik foto profil untuk menonton siaran langsung
Setiap hari, saya mengajakmu mengikuti perkembangan terbaru Ethereum. Bukan sekadar melihat apa yang terjadi, tetapi juga memahami logika dan peluang di baliknya 👀🚀
