$ETH 開発者は北京時間10月27日未明、コンセンサス層の仕様に修正をマージし、Glamsterdamアップグレードへの切り替え時に、ステーキング預け入れ分が他人の口座に記録される可能性のある脆弱性を塞いだ。

ETHはイーサリアムのネイティブ通貨で、バリデーターはETHをステークしてネットワークのブロック生成に参加し、報酬を受け取る。

今回のアップグレードでは、ブロックの組み立てを専門に担う「ビルダー」という役割が新たに加わり、登録時には預け入れも必要となる。また、同じ公開鍵がバリデーターとビルダーの両方に使われる可能性がある。

問題は、アップグレードの切り替え時点で処理待ちになっている預け入れにあった。同じ公開鍵で先にビルダー向けの預け入れが行われていると、その後のバリデーター向け預け入れもビルダーの残高に加算され、バリデーターが作成されない。

修正を報告した開発者は、ステーキングプロトコルがノード運営者に代わってバリデーターの預け入れ金を出したものの、運営者が先に同じ鍵でビルダー登録を済ませていた場合、その資金が運営者の手に渡り、引き出せてしまう例を挙げた。

修正後は、預け入れ時の引き出し認証情報に基づいて振り分けるようになり、バリデーター向けの資金はバリデーターのキューに、ビルダー向けの資金はビルダーの口座に入る。

この修正は先週、クライアントチームから十分な支持を得られず一度取り下げられた。その後、ある開発者がGlamsterdamのスケジュール変更を理由に再提出を求め、最終的に仕様メンテナーの承認を得てマージされた。