Ethereum відклав тест Glamsterdam у Hoodi через ризик для смартконтрактів

Розробники Ethereum скасували оновлення Glamsterdam у тестовій мережі Hoodi, заплановане на 26 жовтня, після того як дослідники безпеки показали, що нові правила газу можуть змінити поведінку смартконтрактів, які вже працюють у мейннеті, коли операція завершується невдало, повідомляє CoinDesk. Рішення ухвалили на четверговому дзвінку All Core Devs Execution. Нової дати не оголошено.

Hoodi мав стати останньою публічною репетицією перед мейннетом — про це ми писали в огляді того, що змінює Glamsterdam. У тестнеті Sepolia оновлення запрацювало ще 6 жовтня.

Що знайшли дослідники

Безпекова компанія ChainSecurity 13 жовтня опублікувала аналіз двох змін газу в оновленні:

• EIP-8037 підвищує вартість створення нових записів у стані Ethereum — базі даних, яку зберігає кожен вузол, — щоб стримати її зростання з більшими блоками.
• EIP-8038 змінює ціну доступу до цього стану.

Разом вони змінюють те, скільки газу лишається, коли один контракт викликає інший, а тому бракує газу. Багато контрактів перехоплюють таку помилку й працюють далі: наприклад, записують, що спроба не вдалася, або вимикають повтори. Частина з них розраховує, що залишку газу не вистачить на цей крок, і вся транзакція відкотиться. За правилами Glamsterdam газ, витрачений на нові записи, може повертатися, коли зміна скасовується, — і тоді газу може вистачити, щоб крок обробки помилки завершився. В атаці, відомій як insufficient gas griefing, зловмисник навмисно надсилає замало газу, і контракт може назавжди позначити чинну заявку користувача як невдалу.

Ризик є і в протилежний бік. За розрахунком ChainSecurity, створення нової комірки сховища може коштувати 110 020 газу після вичерпання окремого ліміту проти 22 100 зараз, тож контракт із фіксованим бюджетом газу може не виконати звичайну операцію.

13 реальних контрактів

У п'ятницю ChainSecurity повідомила, що знайшла 13 реальних прикладів контрактів, які можуть бути вражені, і узгоджує відповідальне розкриття з проєктами, не називаючи їх. Компанія показала, як працює проблема, але не стверджує, що якийсь великий протокол можна атакувати, а сьогодні нічого не загрожує, бо в мейннеті цих правил немає. Дослідник безпеки pcaversaccio 21 жовтня назвав ризики «серйозними» в коментарі на GitHub і закликав переглянути форк.

Що це означає для графіка

Заплановане підвищення ліміту газу в Hoodi до 200 млн теж відкладено. За даними Cointelegraph, розробники розглядали для мейннету початок грудня з остаточним рішенням після успішного тесту в Hoodi; тепер це під питанням. Такі оновлення — це скоординовані хардфорки, тож перед новою датою всі клієнти мають випустити однакові правила. Паралельно дослідники працюють над планом скоротити фінальність Ethereum приблизно до чотирьох хвилин.