Lỗ hổng Reth khiến các mạng layer-2 Ethereum khẩn trương vá lỗi

Một lỗ hổng trong Reth đã khiến các nhà phát triển phối hợp sửa lỗi trên hạ tầng Ethereum, do các giao dịch được tạo đặc biệt có thể dẫn đến tính toán sai trạng thái blockchain. Giám đốc công nghệ của Paradigm Georgios Konstantopoulos thông báo hôm 5 tháng 11 rằng các nhà phát triển đã vá Reth, Optimism, Base và Tempo. Paradigm phát triển Reth, một ứng dụng khách thực thi Ethereum cung cấp hạ tầng cho các mạng trong hệ sinh thái Ethereum Virtual Machine (EVM).

Konstantopoulos cho biết lỗi bắt nguồn từ hệ thống tính toán gốc trạng thái (state root) cũ của Reth, vốn có thể tính sai kết quả với một số cấu hình lưu trữ hợp đồng thông minh. Gốc trạng thái là biểu diễn mật mã về trạng thái hiện tại của blockchain, bao gồm số dư tài khoản và dữ liệu hợp đồng thông minh. Gốc trạng thái sai có thể khiến các nút bất đồng về tính hợp lệ của khối, từ đó có khả năng làm gián đoạn xử lý giao dịch hoặc đồng bộ mạng. Phần mềm xây dựng khối của Reth sử dụng phương pháp bị ảnh hưởng trên phần cứng cấp thấp hơn và các mạng OP Stack, khiến nguy cơ tiềm ẩn không chỉ giới hạn ở mạng chính Ethereum. Các mạng dùng chung phần mềm thực thi có thể cùng gặp một lỗi.

Nhóm phát triển Tempo phát hiện lỗ hổng thông qua kiểm thử bảo mật tự động. Kỹ thuật này, gọi là fuzzing, kiểm tra phần mềm bằng các dữ liệu đầu vào bất ngờ hoặc bất thường để phát hiện lỗi mà các phương pháp kiểm thử thông thường có thể bỏ sót. Các nhà phát triển Reth phát hành phiên bản 2.10.0. Optimism phát hành OP Reth v2.8.1. Base công bố phiên bản 1.5.3. Konstantopoulos cho biết các nhà phát triển cũng đã vá Tempo. Bản phát hành Reth đánh dấu bản cập nhật là cần được ưu tiên cài đặt cao đối với các đơn vị vận hành nút, bao gồm cả bên xây dựng khối.

Tuy nhiên, Konstantopoulos cho biết đoạn mã bị ảnh hưởng không khiến người dùng Base hoặc các mạng OP Stack khác có nguy cơ bị rút tiền sai. Ông giải thích rằng các hệ thống rút tiền trên những mạng này không bị ảnh hưởng bởi lỗi tính toán. Konstantopoulos cho biết các cầu nối trong hệ sinh thái thường sử dụng gốc biên nhận giao dịch hoặc cơ chế xác thực đa chữ ký thay vì các phép tính gốc trạng thái bị ảnh hưởng. Ông xin lỗi vì sự gián đoạn và nhấn mạnh trách nhiệm của Paradigm đối với hạ tầng được duy trì trên toàn hệ sinh thái Ethereum.

Base, mạng được Coinbase hậu thuẫn, cho biết trong cập nhật tình trạng hôm 5 tháng 11 rằng Base phát hiện vấn đề hôm 4 tháng 11 và lập tức vá các bộ xây dựng khối của mạng. Nhóm Base tính toán lại độc lập gốc trạng thái blockchain để kiểm tra độ chính xác. Base cho biết một cơ chế triển khai riêng trong hệ thống chứng minh của mạng xác minh gốc trạng thái và có thể phát hiện sai lệch trong các phép tính của Reth. Base xác nhận gốc trạng thái hiện tại chính xác và người dùng không bị ảnh hưởng. Phiên bản 1.5.3 của Base cũng ngăn các trình xác thực ngừng hoạt động khi gặp gốc trạng thái không hợp lệ. Các đơn vị vận hành nút được khuyến nghị nâng cấp. Base cho biết họ sẽ không cần đồng bộ lại nút hoặc thực hiện thêm công việc khôi phục.

Frax Finance cho biết hôm 5 tháng 11 rằng giao thức nhắn tin xuyên chuỗi LayerZero đã tạm thời đình chỉ một số tuyến chuyển tiền trong khi các nhà phát triển đánh giá tình hình. Frax cho biết tài sản và hợp đồng thông minh của Frax vẫn hoạt động, còn tiền của người dùng vẫn an toàn. Các hạn chế được áp dụng như biện pháp phòng ngừa và không chứng minh rằng các hợp đồng cầu nối LayerZero dễ bị ảnh hưởng bởi lỗ hổng Reth. Lo ngại về hạ tầng dùng chung có thể khiến các dịch vụ hạn chế hoạt động trong lúc đánh giá rủi ro vận hành. Chưa có vụ đánh cắp tiền nào được xác nhận là do lỗ hổng tính toán gốc trạng thái.

Konstantopoulos cho biết các bản sửa lỗi phối hợp đã bảo vệ hạ tầng dựa trên Reth, bao gồm cả những hệ thống phụ thuộc vào bằng chứng trạng thái blockchain. Tuy nhiên, việc các bản phát hành đã sửa lỗi được cung cấp không đồng nghĩa mọi nút do các bên độc lập vận hành đã cài đặt bản cập nhật. Các nhà cung cấp hạ tầng và đơn vị vận hành nút vẫn cần triển khai bản vá. Những dịch vụ đã hạn chế hoạt động vẫn cần xác định thời điểm có thể nối lại hoạt động bình thường.