Una vulnerabilità in Reth spinge le reti layer 2 di Ethereum a installare urgentemente le patch

Una vulnerabilità in Reth ha indotto a coordinare correzioni software per le infrastrutture di Ethereum, perché transazioni appositamente predisposte potevano produrre calcoli errati dello stato della blockchain. Il direttore tecnologico di Paradigm, Georgios Konstantopoulos, ha annunciato il 5 novembre che gli sviluppatori avevano aggiornato Reth, Optimism, Base e Tempo. Paradigm ha sviluppato Reth come client di esecuzione di Ethereum, che fornisce infrastruttura alle reti dell'ecosistema Ethereum Virtual Machine.

Konstantopoulos ha ricondotto il difetto al sistema legacy di Reth per il calcolo della radice dello stato, che poteva calcolare in modo errato i risultati per alcune configurazioni di archiviazione degli smart contract. Una radice dello stato rappresenta crittograficamente lo stato corrente di una blockchain, compresi i saldi dei conti e i dati degli smart contract. Radici dello stato errate possono far sì che i nodi non concordino sulla validità dei blocchi, interrompendo potenzialmente l'elaborazione delle transazioni o la sincronizzazione della rete. Il software di Reth per la creazione dei blocchi usava il metodo interessato su hardware di fascia bassa e sulle reti OP Stack, estendendo la potenziale esposizione oltre la mainnet di Ethereum. Le reti che condividono software di esecuzione possono ereditare un difetto comune.

Il team di sviluppo di Tempo ha individuato la vulnerabilità con test di sicurezza automatizzati. La tecnica, chiamata fuzzing, sottopone il software a input imprevisti o insoliti per rilevare errori che i test convenzionali potrebbero non individuare. Gli sviluppatori di Reth hanno rilasciato la versione 2.10.0. Optimism ha pubblicato OP Reth v2.8.1. Base ha rilasciato la versione 1.5.3. Konstantopoulos ha detto che gli sviluppatori avevano aggiornato anche Tempo. Il rilascio di Reth indicava l'aggiornamento come prioritario per gli operatori dei nodi, compresi quelli che creano i blocchi.

Tuttavia, Konstantopoulos ha detto che il codice interessato non esponeva Base né gli utenti delle altre reti OP Stack al rischio di prelievi errati. Ha spiegato che i sistemi di prelievo su queste reti non erano vulnerabili all'errore di calcolo. Konstantopoulos ha detto che, in genere, i bridge dell'ecosistema usano le radici delle ricevute delle transazioni o l'autorizzazione multisig, anziché i calcoli della radice dello stato interessati. Si è scusato per i disagi e ha sottolineato la responsabilità di Paradigm per l'infrastruttura mantenuta nell'ecosistema Ethereum.

Base, una rete sostenuta da Coinbase, ha dichiarato in un aggiornamento sullo stato del 5 novembre di aver individuato il problema il 4 novembre e di aver aggiornato immediatamente i propri sistemi di creazione dei blocchi. Il team di Base ha ricalcolato in modo indipendente la radice dello stato della blockchain per verificarne l'accuratezza. Base ha detto che un'implementazione separata nel proprio sistema di prova verifica le radici dello stato e può rilevare discrepanze nei calcoli di Reth. Base ha confermato che la radice dello stato corrente era corretta e che gli utenti non erano stati interessati. La versione 1.5.3 di Base impedisce inoltre ai validatori di fermarsi quando incontrano radici dello stato non valide. Gli operatori dei nodi sono stati invitati ad aggiornare il software. Base ha detto che non sarebbe stato necessario risincronizzare i nodi né effettuare ulteriori interventi di ripristino.

Frax Finance ha detto il 5 novembre che il protocollo di messaggistica cross-chain LayerZero aveva sospeso temporaneamente alcuni percorsi di trasferimento mentre gli sviluppatori valutavano la situazione. Frax ha detto che i propri asset e smart contract continuavano a funzionare e che i fondi degli utenti erano al sicuro. Le restrizioni erano precauzionali e non dimostravano che i contratti dei bridge di LayerZero fossero vulnerabili al difetto di Reth. Le preoccupazioni per le infrastrutture condivise possono indurre i servizi a limitare l'attività mentre valutano i rischi operativi. Non era stato confermato alcun furto di fondi dovuto alla vulnerabilità nel calcolo della radice dello stato.

Konstantopoulos ha detto che le correzioni coordinate avevano messo in sicurezza le infrastrutture basate su Reth, compresi i sistemi che dipendono dalle prove dello stato della blockchain. Tuttavia, la disponibilità delle versioni corrette non significa che ogni nodo gestito in modo indipendente abbia installato gli aggiornamenti. I fornitori di infrastruttura e gli operatori dei nodi devono ancora distribuire le patch. I servizi che hanno limitato l'attività devono ancora stabilire quando potranno riprendere le normali operazioni.