あるパッチは10月19日に開発者によって却下され、10月26日に緊急マージされた。その間、わずか7日 🦖
🚨 行情变了群里说
イーサリアムの次期大型アップグレード「Glamsterdam」には、ステーキング預入金が誤った口座に入る可能性のある脆弱性が潜んでいた。研究者のAvsetsin氏がテスト中に発見したもので、Lido、Origin、Rocket Poolという大手ステーキングプロトコル3社が影響を受ける。現時点で損失はゼロ ⚠️
問題は役割の分離にあった。アップグレードでは、ブロックを構築するビルダーと、ステーキングを行うバリデーターを別々の参加者に分ける。どちらもETHを預け入れるため、台帳も分けて記録する必要がある。ところが草案のルールでは、アップグレード中にまだ台帳へ反映されていない預入金を処理する際、公開鍵しか見ていなかった。
そのため、あるオペレーターが特定の公開鍵を使ってビルダーとして登録した後、ステーキングサービスが同じ公開鍵にETHを預け入れてバリデーターを立ち上げると、草案のルールでは2つの預入金がどちらもビルダーのものとして記録されてしまう。研究者の言葉を借りれば、「オペレーターがプロトコルの資金を引き出せる」状態だった。
さらに厄介なのは、バリデーター自体が作成されないことだ。ステーキングサービスは証明書を得られず、その資金が自分のものだと証明できなくなる 🔍
この脆弱性の修正過程そのものが、まさにどんでん返しだった。提案は10月19日に却下された。メンテナーのJustin Traglia氏は、当時はクライアントの対応が不十分だったことを理由に挙げた。10月23日に研究者がテストを追加し、月曜日にパッチが再び公開され、マージされた。新しいルールでは、未計上の預入金を出金認証情報に基づいて並べ替え、バリデーターの資金がバリデーター自身に帰属するよう変更された。
現在、パッチはコンセンサス仕様に取り込まれているが、各クライアントチームはそれぞれ実装する必要がある。Hoodiテストネットは当初10月26日の稼働予定だったが、すでに延期された。Sepoliaでは一度テストが行われており、メインネットのスケジュールは今後の状況を見守る必要がある。
私の見方では、今回はコードが破られたのではなく、ルールの適用範囲に抜けがあった。損失がゼロで済んだのは、メインネット稼働前に誰かが問題を見つけたからだ。研究者自身も、これは条件付きのコード上の発見であり、実際の攻撃が確認されたわけではないと述べている。ただ、逆に考えれば、AIを使った素早いスキャンで見つかるようなケースが大手3社のプロトコルに影響し得るということは、アップグレード前の境界テストがまだまだ不十分だということだ 📉
注目したいのは、今後のクライアント実装で同じような解釈の分岐が再び起きないか、そしてGlamsterdamのメインネット稼働が実際いつになるのかだ 👀
コメント欄で話そう。ステーキング分野で最大のリスクは、コードだと思う？それともルール？
プロフィール画像をタップしてライブ配信を見る
毎日、イーサリアムの注目ニュースをお届け。何が起きたかを追うだけでなく、その裏にある仕組みやチャンスもわかりやすく解説します 👀🚀
🚨 行情变了群里说
イーサリアムの次期大型アップグレード「Glamsterdam」には、ステーキング預入金が誤った口座に入る可能性のある脆弱性が潜んでいた。研究者のAvsetsin氏がテスト中に発見したもので、Lido、Origin、Rocket Poolという大手ステーキングプロトコル3社が影響を受ける。現時点で損失はゼロ ⚠️
問題は役割の分離にあった。アップグレードでは、ブロックを構築するビルダーと、ステーキングを行うバリデーターを別々の参加者に分ける。どちらもETHを預け入れるため、台帳も分けて記録する必要がある。ところが草案のルールでは、アップグレード中にまだ台帳へ反映されていない預入金を処理する際、公開鍵しか見ていなかった。
そのため、あるオペレーターが特定の公開鍵を使ってビルダーとして登録した後、ステーキングサービスが同じ公開鍵にETHを預け入れてバリデーターを立ち上げると、草案のルールでは2つの預入金がどちらもビルダーのものとして記録されてしまう。研究者の言葉を借りれば、「オペレーターがプロトコルの資金を引き出せる」状態だった。
さらに厄介なのは、バリデーター自体が作成されないことだ。ステーキングサービスは証明書を得られず、その資金が自分のものだと証明できなくなる 🔍
この脆弱性の修正過程そのものが、まさにどんでん返しだった。提案は10月19日に却下された。メンテナーのJustin Traglia氏は、当時はクライアントの対応が不十分だったことを理由に挙げた。10月23日に研究者がテストを追加し、月曜日にパッチが再び公開され、マージされた。新しいルールでは、未計上の預入金を出金認証情報に基づいて並べ替え、バリデーターの資金がバリデーター自身に帰属するよう変更された。
現在、パッチはコンセンサス仕様に取り込まれているが、各クライアントチームはそれぞれ実装する必要がある。Hoodiテストネットは当初10月26日の稼働予定だったが、すでに延期された。Sepoliaでは一度テストが行われており、メインネットのスケジュールは今後の状況を見守る必要がある。
私の見方では、今回はコードが破られたのではなく、ルールの適用範囲に抜けがあった。損失がゼロで済んだのは、メインネット稼働前に誰かが問題を見つけたからだ。研究者自身も、これは条件付きのコード上の発見であり、実際の攻撃が確認されたわけではないと述べている。ただ、逆に考えれば、AIを使った素早いスキャンで見つかるようなケースが大手3社のプロトコルに影響し得るということは、アップグレード前の境界テストがまだまだ不十分だということだ 📉
注目したいのは、今後のクライアント実装で同じような解釈の分岐が再び起きないか、そしてGlamsterdamのメインネット稼働が実際いつになるのかだ 👀
コメント欄で話そう。ステーキング分野で最大のリスクは、コードだと思う？それともルール？
プロフィール画像をタップしてライブ配信を見る
毎日、イーサリアムの注目ニュースをお届け。何が起きたかを追うだけでなく、その裏にある仕組みやチャンスもわかりやすく解説します 👀🚀
