イーサリアムのGlamsterdamアップグレードをめぐる防御責任が、プロトコル層からアプリケーション層へと移りつつある。

PANewsがCrypto Briefingを引用して報じたところによると、Lidoのエンジニアリング責任者Dima Gusakov氏は、Glamsterdamでは0xB0プレフィックスの出金認証情報を使用するビルダーのデポジットが導入されると明らかにした。フォークの前後を通じて、こうしたデポジットはバリデーターのデポジットと同じデポジットキューを共有する。悪意あるノード運営者は先回りしてステーカーの資金を自分のビルダーアカウントに計上でき、その資金に対応するバリデーターは有効化できなくなる。関連する修正提案consensus-specs 5735は「not planned」としてクローズされており、防御は各ステーキングプロトコルがデポジット前のチェックを独自に行う必要がある。Glamsterdamは10月27日未明にHoodiテストネットで有効化される予定で、メインネットへの導入は第4四半期を計画している。

私の見方では、このニュースで本当に注目すべきなのは新たな攻撃手法そのものではなく、修正が見送られたことでリスクを負う主体が変わった点だ。同じキューを共有するということは、プロトコル層で2種類のデポジットが本質的に分離されていないということだ。先回りする側が利用するのは、暗号技術の脆弱性ではなく、処理順序のタイミングである。提案が予定に組み込まれなかったことで、「不審なデポジットを検知して阻止する」という実装上の義務が各ステーキングプロトコルに委ねられた。読者がステーキング商品の安全性を判断する際は、バリデーター数や利回りだけでなく、デポジットの受付時に事前チェックを行っているかどうかも確認する必要がある。

このことから、メインネットへの導入前に各プロトコルがチェックの仕組みを公表するかどうかが、今回のリスクが理論上のものにとどまるか、実際の損失につながるかを左右すると推測できる。追跡できる検証条件は2つある。1つ目は、主要なステーキングプロトコルがデポジット前チェックの具体的なルールを公開するかどうか。2つ目は、Hoodiテストネットの有効化後にこのシナリオが再現されるかどうかだ。テストネットで先回りの事例が確認されなくても、メインネットが安全だと直ちに推論することはできない。テストネットとメインネットではインセンティブ環境が異なるためだ。今回の情報には、各プロトコルがどのような防御策をすでに講じているかの詳細は含まれておらず、この点は引き続き検証が必要だ。

修正が予定に組み込まれていない以上、アップグレード移行期間の安全性は、プロトコル層の標準的な保護ではなく、アプリケーション層がどれだけ迅速に対応するかにかかっている。

#ETH #暗号資産市場

出典：
PANews（初出 10-20 16:56 北京時間）
https://www.panewslab.com/zh/articles/01a15886-c55a-7689-b560-1487173bc58f