Ethereum-Entwickler verschieben Glamsterdam auf Hoodi nach Warnung vor Sicherheitsrisiken

Ethereum-Entwickler haben den Glamsterdam-Hard-Fork im Hoodi-Testnetz verschoben, nachdem Forscher gasbezogene Sicherheitsrisiken identifiziert hatten, die sich darauf auswirken, wie bestehende Contracts mit fehlgeschlagenen Transaktionen umgehen. Die Ethereum Foundation erklärte, der Einsatz sei für den 26. Oktober geplant gewesen. Die Verzögerung solle den Entwicklern Zeit geben, die Wechselwirkungen zwischen einigen Upgrade-Vorschlägen und bereits auf Ethereum eingesetzten Smart Contracts zu untersuchen.

ChainSecurity warnte am 13. Oktober, EIP-8037 und EIP-8038, die beide Teil von Glamsterdam sind, könnten den Schutz vor Griefing-Angriffen mit unzureichendem Gas schwächen. Nach den vorgeschlagenen Regeln könnte Gas nach einem fehlgeschlagenen Vorgang an einen Contract zurückgegeben werden, sodass dieser weiterläuft, anstatt anzuhalten, warnte ChainSecurity. Die Forscher erklärten, die Änderungen könnten Sicherheitsprüfungen beeinträchtigen, die auf der während einer Transaktion verbleibenden Gasmenge beruhen.

Bei einem Griefing-Angriff mit unzureichendem Gas stellt ein Angreifer absichtlich zu wenig Gas bereit, damit ein legitimer Vorgang eines Contracts erfolgreich ausgeführt werden kann. Schwächere Schutzvorkehrungen unter Glamsterdam könnten dazu führen, dass Contracts fehlgeschlagene Vorgänge dauerhaft speichern, warnte ChainSecurity. Ein betroffener Contract könnte etwa den Anspruch eines Nutzers löschen oder einen weiteren Versuch verhindern und damit den Abschluss eines ansonsten gültigen Vorgangs unmöglich machen. Glamsterdam werde nicht jede gasbezogene Sicherheitsprüfung unwirksam machen, erklärte ChainSecurity. Einige Schutzvorkehrungen könnten weiterhin wirksam sein, doch Entwickler müssten die Kompatibilität mit den neuen Gasregeln überprüfen.

Die Erkenntnisse weckten bei Ethereum-Mitwirkenden Bedenken. Der pseudonyme Sicherheitsforscher pcaversaccio bezeichnete die Risiken in einem GitHub-Kommentar vom 21. Oktober als „ernst“ und forderte die Entwickler auf, den Hard Fork zu überdenken. ChainSecurity teilte am Freitag mit, das Unternehmen habe 13 potenziell betroffene Beispiele aus der Praxis gefunden und stimme eine verantwortungsvolle Offenlegung mit den betroffenen Projekten ab. ChainSecurity nannte weder Einzelheiten zu den Beispielen noch die Namen der betroffenen Projekte. Das Unternehmen forderte Entwickler jedoch auf, ihre Contracts so bald wie möglich zu überprüfen.

Die Verschiebung sorgt für Unsicherheit darüber, wann Glamsterdam das Mainnet erreichen wird. Ethereum-Entwickler hatten Anfang Dezember erwogen und wollten den Zeitplan nach erfolgreichen Tests auf Hoodi festlegen. Glamsterdam war am 6. Oktober bereits auf Sepolia aktiviert worden, bevor der Einsatz auf Hoodi geplant war. Die Ethereum Foundation hatte zuvor gewarnt, dass Glamsterdams Gasmodell Wallets, Indexer und Gas-Schätzer beeinträchtigen könnte, die auf festen Annahmen beruhen.