Gli sviluppatori di Ethereum rinviano Glamsterdam su Hoodi dopo l'allarme dei ricercatori sui rischi per la sicurezza

Gli sviluppatori di Ethereum hanno rinviato l'hard fork Glamsterdam sulla rete di test Hoodi dopo che i ricercatori hanno individuato rischi per la sicurezza legati al gas che incidono sul modo in cui i contratti esistenti gestiscono le transazioni non riuscite. La Ethereum Foundation ha detto che l'aggiornamento era previsto per il 26 ottobre. La fondazione ha detto che il rinvio avrebbe dato agli sviluppatori il tempo di esaminare le interazioni tra alcune proposte di aggiornamento e gli smart contract già distribuiti su Ethereum.

Il 13 ottobre ChainSecurity ha avvertito che EIP-8037 ed EIP-8038, entrambe incluse in Glamsterdam, potrebbero indebolire le protezioni contro gli attacchi di griefing con gas insufficiente. ChainSecurity ha detto che le regole proposte potrebbero restituire gas a un contratto dopo un'operazione non riuscita, consentendogli di proseguire invece di fermarsi. I ricercatori hanno affermato che le modifiche potrebbero compromettere i controlli di sicurezza basati sulla quantità di gas rimanente durante una transazione.

Un aggressore che conduce un attacco di griefing con gas insufficiente fornisce deliberatamente una quantità di gas troppo bassa perché un'operazione legittima del contratto possa riuscire. ChainSecurity ha avvertito che, con le protezioni indebolite da Glamsterdam, i contratti potrebbero registrare in modo permanente operazioni non riuscite. Un contratto interessato potrebbe, per esempio, cancellare il diritto di un utente o impedire un nuovo tentativo, rendendo impossibile completare un'operazione altrimenti valida. ChainSecurity ha detto che Glamsterdam non invaliderà tutti i controlli di sicurezza legati al gas. Ha aggiunto che alcune protezioni potrebbero restare efficaci, ma gli sviluppatori dovranno verificarne la compatibilità con le nuove regole sul gas.

Le conclusioni hanno suscitato preoccupazione tra i contributori di Ethereum. Il ricercatore di sicurezza pseudonimo pcaversaccio ha definito i rischi «seri» in un commento su GitHub del 21 ottobre e ha esortato gli sviluppatori a riconsiderare l'hard fork. Venerdì ChainSecurity ha detto che la società aveva individuato 13 esempi reali potenzialmente interessati e stava coordinando la divulgazione responsabile con i progetti coinvolti. ChainSecurity non ha fornito né dettagli sugli esempi né i nomi dei progetti interessati. Ha tuttavia esortato gli sviluppatori a esaminare i propri contratti il prima possibile.

Il rinvio crea incertezza su quando Glamsterdam arriverà sulla mainnet. Gli sviluppatori di Ethereum avevano preso in considerazione l'inizio di dicembre e prevedevano di definire il calendario dopo il buon esito dei test su Hoodi. Glamsterdam era già stato attivato su Sepolia il 6 ottobre, prima del previsto aggiornamento su Hoodi. La Ethereum Foundation aveva già avvertito che il modello del gas di Glamsterdam potrebbe compromettere wallet, indicizzatori e stimatori del gas basati su presupposti fissi.