イーサリアム開発者、研究者がセキュリティーリスク指摘でHoodi上のGlamsterdamを延期

研究者が、既存のコントラクトがトランザクションの失敗を処理する方法に影響する、ガス関連のセキュリティーリスクを特定したことを受け、イーサリアム開発者はHoodiテストネットでのハードフォーク「Glamsterdam」を延期した。イーサリアム財団によると、実施は10月26日に予定されていた。同財団は、一部のアップグレード提案とイーサリアム上にすでにデプロイされたスマートコントラクトとの相互作用を開発者が調査する時間を確保するため、延期すると述べた。

ChainSecurityは10月13日、Glamsterdamに含まれるEIP-8037とEIP-8038によって、ガス不足を利用したグリーフィング攻撃に対する防御が弱まる可能性があると警告した。ChainSecurityによると、提案されたルールでは、操作に失敗した後にコントラクトへガスが返され、処理が停止せずに続く可能性がある。研究者らは、この変更によって、トランザクション中に残っているガス量を基準とするセキュリティーチェックが妨げられる恐れがあると述べた。

ガス不足を利用したグリーフィング攻撃では、攻撃者が正規のコントラクト操作を成功させるには足りない量のガスを意図的に提供する。ChainSecurityは、Glamsterdamで保護策が弱まれば、コントラクトが失敗した操作を恒久的に記録する可能性があると警告した。影響を受けるコントラクトは、例えばユーザーの請求権を消去したり、再試行を阻止したりし、本来有効な操作を完了できなくする恐れがある。ChainSecurityは、Glamsterdamによってガス関連のセキュリティーチェックがすべて無効になるわけではないと述べた。一部の保護策は引き続き有効な可能性があるが、開発者は新たなガスルールとの互換性を確認する必要があるという。

この調査結果を受け、イーサリアム関係者の間で懸念が広がった。仮名のセキュリティー研究者pcaversaccio氏は10月21日のGitHub上のコメントで、リスクを「深刻」と呼び、開発者にハードフォークの再検討を促した。ChainSecurityは金曜日、影響を受ける可能性のある実例を13件特定し、関係するプロジェクトと責任ある情報開示に向けて調整していると述べた。ChainSecurityは、実例の詳細も影響を受けるプロジェクト名も明らかにしなかった。一方で、開発者に対し、できるだけ早く自らのコントラクトを調べるよう促した。

延期により、Glamsterdamがいつメインネットに導入されるかは不透明になった。イーサリアム開発者は12月初旬を検討しており、Hoodiでのテストが成功した後に日程を決める計画だった。Glamsterdamは、予定されていたHoodiへの導入に先立ち、10月6日にSepoliaで有効化されていた。イーサリアム財団は以前、Glamsterdamのガスモデルにより、固定された前提に基づいて構築されたウォレット、インデクサー、ガス推定ツールに支障が出る可能性があると警告していた。