Обязанность по обеспечению безопасности при обновлении Ethereum Glamsterdam постепенно переходит с уровня протокола на уровень приложений.
Как сообщает PANews со ссылкой на Crypto Briefing, руководитель инженерного направления Lido Дима Гусаков рассказал, что в Glamsterdam появятся депозиты билдера с учётными данными для вывода средств, начинающимися с префикса 0xB0. До и после форка такие депозиты будут использовать одну очередь с депозитами валидаторов. Злоумышленники — операторы узлов — смогут опередить других и зачислить средства стейкеров на собственный аккаунт билдера, из-за чего соответствующие валидаторы не смогут активироваться. Предложение по исправлению consensus-specs 5735 закрыли со статусом «не запланировано», поэтому каждой платформе для стейкинга придётся самостоятельно проверять депозиты до их внесения. Glamsterdam активируют в тестовой сети Hoodi ранним утром 27 октября, запуск в основной сети запланирован на четвёртый квартал.
На мой взгляд, в этой новости важно не столько появление нового способа атаки, сколько то, что после закрытия предложения о исправлении ответственность за риск перешла к другим участникам. Общая очередь означает, что на уровне протокола эти два типа депозитов не разделены изначально. Злоумышленники используют подходящий момент при обработке транзакций, а не уязвимость криптографии. Отсутствие планов по внедрению предложения фактически перекладывает инженерную обязанность «выявлять и блокировать подозрительные депозиты» на каждую платформу для стейкинга. Оценивая безопасность стейкингового продукта, читателям стоит учитывать не только число валидаторов и доходность, но и наличие предварительных проверок при внесении депозитов.
Из этого следует, что то, раскроют ли платформы свои методы проверки до запуска основной сети, определит, останется ли этот риск теоретическим или приведёт к реальным потерям. Проверить можно по двум признакам: во-первых, опубликуют ли крупные платформы для стейкинга конкретные правила предварительной проверки депозитов; во-вторых, удастся ли воспроизвести этот сценарий после активации тестовой сети Hoodi. Если в тестовой сети не будет зафиксировано случаев опережения, это ещё не означает, что основная сеть безопасна: условия и стимулы в тестовой и основной сетях различаются. В предоставленных материалах нет подробностей о том, какие меры защиты уже приняли отдельные платформы; эту информацию ещё предстоит проверить.
Пока исправление не запланировано, безопасность в переходный период обновления зависит от скорости действий на уровне приложений, а не от встроенной защиты на уровне протокола.
#ETH #Крипторынок
Источники:
PANews (первоначальная публикация: 20 октября, 16:56 по пекинскому времени)
https://www.panewslab.com/zh/articles/01a15886-c55a-7689-b560-1487173bc58f
Как сообщает PANews со ссылкой на Crypto Briefing, руководитель инженерного направления Lido Дима Гусаков рассказал, что в Glamsterdam появятся депозиты билдера с учётными данными для вывода средств, начинающимися с префикса 0xB0. До и после форка такие депозиты будут использовать одну очередь с депозитами валидаторов. Злоумышленники — операторы узлов — смогут опередить других и зачислить средства стейкеров на собственный аккаунт билдера, из-за чего соответствующие валидаторы не смогут активироваться. Предложение по исправлению consensus-specs 5735 закрыли со статусом «не запланировано», поэтому каждой платформе для стейкинга придётся самостоятельно проверять депозиты до их внесения. Glamsterdam активируют в тестовой сети Hoodi ранним утром 27 октября, запуск в основной сети запланирован на четвёртый квартал.
На мой взгляд, в этой новости важно не столько появление нового способа атаки, сколько то, что после закрытия предложения о исправлении ответственность за риск перешла к другим участникам. Общая очередь означает, что на уровне протокола эти два типа депозитов не разделены изначально. Злоумышленники используют подходящий момент при обработке транзакций, а не уязвимость криптографии. Отсутствие планов по внедрению предложения фактически перекладывает инженерную обязанность «выявлять и блокировать подозрительные депозиты» на каждую платформу для стейкинга. Оценивая безопасность стейкингового продукта, читателям стоит учитывать не только число валидаторов и доходность, но и наличие предварительных проверок при внесении депозитов.
Из этого следует, что то, раскроют ли платформы свои методы проверки до запуска основной сети, определит, останется ли этот риск теоретическим или приведёт к реальным потерям. Проверить можно по двум признакам: во-первых, опубликуют ли крупные платформы для стейкинга конкретные правила предварительной проверки депозитов; во-вторых, удастся ли воспроизвести этот сценарий после активации тестовой сети Hoodi. Если в тестовой сети не будет зафиксировано случаев опережения, это ещё не означает, что основная сеть безопасна: условия и стимулы в тестовой и основной сетях различаются. В предоставленных материалах нет подробностей о том, какие меры защиты уже приняли отдельные платформы; эту информацию ещё предстоит проверить.
Пока исправление не запланировано, безопасность в переходный период обновления зависит от скорости действий на уровне приложений, а не от встроенной защиты на уровне протокола.
#ETH #Крипторынок
Источники:
PANews (первоначальная публикация: 20 октября, 16:56 по пекинскому времени)
https://www.panewslab.com/zh/articles/01a15886-c55a-7689-b560-1487173bc58f