Arbitrum sospende le nuove attivazioni di Stylus per i rischi di attacchi assistiti dall'IA

Il Security Council di Arbitrum ha bloccato temporaneamente le nuove attivazioni di contratti Stylus su Arbitrum One e Nova con un provvedimento d'emergenza del 2 ottobre. La restrizione riguarda i programmi e gli aggiornamenti delle applicazioni che richiedono una nuova attivazione. Le applicazioni Stylus già attive possono continuare a funzionare, secondo il rapporto del Consiglio sul provvedimento. La normale distribuzione e l'esecuzione di contratti Solidity restano invariate, secondo il rapporto. I registri delle transazioni collegate su Ethereum, Arbitrum One e Nova mostrano esecuzioni riuscite il 2 ottobre, intorno alle 15:30-15:31 UTC.

Arbitrum ha attribuito la misura precauzionale ad attacchi sempre più sofisticati assistiti dall'IA, che coinvolgono programmi WebAssembly realizzati su misura al di fuori della toolchain standard del compilatore Stylus. Arbitrum ha affermato che le vulnerabilità Stylus note minacciano principalmente la continuità operativa della chain, anche con rischi di denial of service. Arbitrum ha dichiarato che non è stato individuato alcun attacco che consenta il furto di fondi degli utenti.

I contratti Stylus eseguono programmi WebAssembly che devono essere attivati per diventare eseguibili. La documentazione di Arbitrum distingue l'attivazione dalla distribuzione, che memorizza il codice on-chain. Nuove istanze di contratti che usano lo stesso codice di programma possono riutilizzare un'attivazione esistente, purché questa resti valida. Una nuova versione di un'applicazione che richiede una nuova attivazione non può diventare eseguibile durante la sospensione. Il Consiglio ha affermato che la restrizione impedisce anche la riattivazione dei programmi scaduti e di quelli che devono essere riattivati in seguito a una modifica della versione di Stylus. La misura riguarda l'attivazione, non la distribuzione di ogni nuova istanza di contratto.

I programmi esistenti restano utilizzabili fino alla scadenza. L'avviso ufficiale sulla sospensione afferma che gli sviluppatori possono prolungare la durata di un programma attivo tramite il meccanismo permissionless keepalive, prima della scadenza. La riattivazione di un programma già scaduto è invece bloccata. Il Consiglio ha dichiarato di aver imposto la restrizione portando il requisito di gas per l'attivazione a un livello proibitivo. Ha descritto la misura come una modifica di configurazione che non richiede un aggiornamento di ArbOS, il software operativo della rete.

Lo stesso provvedimento d'emergenza ha introdotto una misura di sicurezza distinta per le prove a un singolo passaggio di BoLD su Arbitrum One. Il Consiglio ha affermato che chiunque può presentare due risposte in conflitto allo stesso passaggio di una contestazione aperta. Ha dichiarato che la misura sospende il settlement di One verso Ethereum se la prova a un singolo passaggio accetta entrambe le risposte. Arbitrum ha affermato che One continuerebbe a elaborare le transazioni normalmente durante la sospensione. Tuttavia, i messaggi non confermati da One a Ethereum, compresi i prelievi, resterebbero in attesa mentre il Consiglio distribuisce una correzione e riprende il settlement, secondo Arbitrum. L'installazione della misura non sospende di per sé i prelievi: un ritardo dipende dal verificarsi della condizione di conflitto.

Il rapporto sul provvedimento del 2 ottobre e l'avviso per gli sviluppatori non indicano una data per il ripristino delle attivazioni. Gli avvisi affermano che la Arbitrum Foundation collaborerà con ArbitrumDAO per stabilire tempi e modalità del ripristino.