• Reth đã hợp nhất bản sửa lỗi state root qua pull request #28264 vào ngày 3 tháng 11 lúc 21:00 UTC.

• Reth phát hành bản sửa lỗi trong v2.10.0, được xếp mức ưu tiên cao cho các node tạo payload và các node không tạo payload.

• Base phát hành phiên bản node v1.5.3, loại bỏ nguy cơ trình xác thực bị dừng do state root không hợp lệ.

Reth v2.10.0 mang đến bản sửa lỗi ưu tiên cao

Reth đã phát hành bản sửa lỗi ưu tiên cao cho một lỗi đôi khi có thể khiến node blockchain lưu state root sai — hash duy nhất tóm tắt toàn bộ trạng thái của một chuỗi — và đến thứ Năm, Base đã đưa bản phát hành node đã vá của mình đến tay các nhà vận hành. State root là cách một chuỗi kiểu Ethereum chứng minh tính chính xác của sổ cái: nếu máy khách tính sai, nó sẽ không còn đồng bộ với các nút ngang hàng, và trình xác thực chạy trên máy khách đó có thể đề xuất hoặc chứng thực các khối mà phần còn lại của mạng lưới từ chối. Máy khách thực thi là lớp phần mềm xử lý giao dịch và theo dõi số dư; vì vậy, một phép tính sai ở lớp này nằm ở đáy của toàn bộ hệ thống. Bản vá được đưa vào v2.10.0, và các nhà bảo trì đánh giá đây là bản nâng cấp ưu tiên cao cho tất cả các loại node, gồm cả node tạo khối lẫn node chỉ xác thực khối, nên không nhóm nhà vận hành nào được yêu cầu chờ đến đợt cập nhật định kỳ. Thay đổi nền tảng được đưa vào qua pull request #28264, được hợp nhất ngày 3 tháng 11 lúc 21:00 UTC; dấu thời gian của lần hợp nhất đó và thông báo trạng thái của Base cho thấy khoảng thời gian từ khi có bản sửa lỗi đến khi cảnh báo được công khai là khoảng 43 giờ. Base phát hiện lỗi vào ngày 4 tháng 11 và vá tất cả các máy tạo khối của mình — những máy lắp ráp các khối mới — ngay trong ngày hôm đó. Sau đó, Base hướng dẫn các nhà vận hành chuyển sang bản phát hành node riêng của mình, v1.5.3, giúp loại bỏ khả năng trình xác thực của Base bị dừng do state root không hợp lệ, đồng thời cho biết không cần đồng bộ lại để áp dụng bản cập nhật. Base chạy trên OP Stack và dựa vào op-reth, phiên bản Reth được xây dựng cho OP Stack; sự cố được báo cáo xảy ra tại đây. Cả hai phần trong hướng dẫn này đều quan trọng: bản nâng cấp khắc phục lỗi, còn việc miễn yêu cầu đồng bộ lại giúp chi phí áp dụng bản cập nhật gần như bằng không đối với các nhà vận hành bận rộn.

Base xác nhận gốc trạng thái, DeFi đề phòng

Thông báo tình trạng của Base, đăng hôm thứ Năm, gửi đi cùng lúc hai thông điệp: trấn an người dùng và hướng dẫn các đơn vị vận hành. Về điều thứ nhất, mạng lưới cho biết đã tính toán lại gốc trạng thái và xác nhận kết quả chính xác. “Chúng tôi đã xác minh gốc trạng thái hiện tại là chính xác và người dùng không bị ảnh hưởng,” thông báo viết — một câu nói nhắm thẳng đến việc ngăn FUD xoay quanh sự cố. Base củng cố tuyên bố đó bằng kiến trúc của mình: hệ thống chứng minh của Base kiểm tra từng gốc trạng thái bằng một cách triển khai riêng biệt, vì vậy nếu có sai lệch thực sự thì hệ thống đã phát hiện được; bước kiểm tra độc lập này là cơ sở then chốt cho thông báo rằng mọi thứ đã ổn. Về điều thứ hai, Base nhắc lại lời kêu gọi nâng cấp lên v1.5.3 và xác nhận không cần đồng bộ lại. Phản ứng lan rộng ra ngoài phạm vi của chính mạng lưới. Frax Finance cho biết LayerZero “đã tạm thời dừng một số tuyến liên chuỗi để đề phòng và dự kiến sẽ sớm khôi phục,” đồng thời liên hệ biện pháp này với sự cố được báo cáo trong op-reth và khẳng định không tài sản hay hợp đồng thông minh nào của họ bị ảnh hưởng. LayerZero chuyển tài sản giữa các mạng lưới, nên việc tạm dừng đã khiến token không thể đi qua các tuyến đó trong một thời gian ngắn. Gauntlet, đơn vị quản lý rủi ro, hạn chế các khoản nạp mới vào những vault V1, đồng thời vẫn cho phép rút tiền; họ tạm dừng phân bổ vốn và đang giảm mức độ tiếp xúc với tài sản được chuyển qua LayerZero, đồng thời cho biết chưa biết về bất kỳ vụ khai thác nào được báo cáo. Bài đăng về các biện pháp này sau đó đã bị xóa. Việc giới hạn tiền nạp nhưng vẫn mở rút tiền là cách ứng phó tiêu chuẩn của một bộ phận quản lý rủi ro khi chưa thể mô hình hóa đầy đủ một hệ thống. Bản tóm tắt các bài đăng của Blockaid, được đăng trên một bảng tin tức của sàn giao dịch tiền mã hóa, mô tả lỗi này là lỗi tính toán bên trong các node chứ không phải một cuộc tấn công; hiện chưa ghi nhận tổn thất quỹ nào. Bản tóm tắt cũng cảnh báo rằng các client vẫn dùng mã cũ có thể bị treo hoặc phát ra bằng chứng trạng thái sai. Các biện pháp tạm dừng để đề phòng được đưa ra hơn sáu tháng sau vụ khai thác cầu nối rsETH trị giá 292 triệu đô la tại Kelp DAO — vụ tấn công mà LayerZero quy cho nhóm Lazarus của Triều Tiên; chưa có gì cho thấy lỗi Reth có liên quan đến bất kỳ vụ khai thác nào.

Sự việc cho thấy đây là một phép thử áp lực đối với tình trạng phụ thuộc vào một client duy nhất. Base, một trong những mạng layer 2 bận rộn nhất, dựa vào một client viết bằng Rust để xử lý thực thi; chỉ một lỗi ở lớp này đã khiến rủi ro lan sang các đơn vị vận hành cầu nối và quản lý rủi ro chỉ trong vài giờ, dù chưa có vụ khai thác nào được ghi nhận. Kiến trúc đã phát huy tác dụng: việc hệ thống chứng minh tự tính toán lại một cách độc lập là lý do không ghi nhận ảnh hưởng nào đến người dùng. Và vì bản sửa lỗi được phát hành dưới dạng bản cập nhật client chứ không phải một đợt hard fork của mạng lưới, nên không cần đồng bộ lại để áp dụng v1.5.3. Ghi chú phát hành hoàn tất phần còn lại: nêu rõ thay đổi và xếp mức ưu tiên cao cho mọi loại đơn vị vận hành. Con số tóm lược câu chuyện là 43 giờ — khoảng thời gian từ lúc bản vá thượng nguồn được hợp nhất đến khi thông báo công khai yêu cầu các đơn vị vận hành cập nhật.