رفع باگی حیاتی در ارتقای گلمستردام اتریوم؛ خطر سرقت سپرده‌های استیکینگ برطرف شد

خلاصه خبر

•  توسعه‌دهندگان اتریوم نقصی را در ارتقای گلمستردام اصلاح کردند که می‌توانست سپرده‌های استیکینگ را به حساب‌های تحت کنترل سازندگان بلاک منتقل کند.
  پیشنهاد اولیه برای رفع این مشکل در ۱۹ اکتبر رد شده بود، اما پس از بررسی‌های بیشتر و انجام آزمایش‌های جدید، دوباره مورد بررسی قرار گرفت و در نهایت تأیید شد.
  تاکنون هیچ خسارتی گزارش نشده است؛ با این حال، اجرای ارتقای گلمستردام در شبکه آزمایشی هودی همچنان به تعویق افتاده است.

توسعه‌دهندگان اتریوم یک نقض امنیتی بحرانی را در ارتقای گلمستردام (Glamsterdam) برطرف کرده‌اند. این آسیب‌پذیری به سازندگان بلاک اجازه می‌داد اترهای سپرده‌گذاری‌شده برای راه‌اندازی اعتبارسنج‌های جدید و استیکینگ را برداشت کنند.

این آسیب‌پذیری نگرانی‌هایی درباره امنیت سپرده‌های استیکینگ در جریان انتقال اتریوم به یک سازوکار جدید تولید بلاک ایجاد کرد. با این حال، تاکنون گزارشی از ازدست‌رفتن دارایی‌ها منتشر نشده است. شناسایی این مشکل بار دیگر نشان می‌دهد که پیش از اجرای ارتقاهای مهم بلاک‌چین در شبکه اصلی، انجام آزمایش‌های گسترده تا چه اندازه اهمیت دارد.

اصلاحیه این آسیب‌پذیری پس از بررسی و آزمایش‌های بیشتر توسعه‌دهندگان، در تاریخ ۲۶ اکتبر به مشخصات فنی اتریوم اضافه شد.

در این رابطه بخوانید‌ : اجماع اثبات سهام نامزد شده (NPoS) چیست؟ و چگونه کار میکند؟

باگ گلمستردام چگونه امنیت سپرده‌های استیکینگ اتریوم را تهدید می‌کرد؟

ارتقای گلمستردام تغییرات مهمی در نحوه ساخت و اعتبارسنجی بلاک‌ها در شبکه اتریوم ایجاد می‌کند.

یکی از قابلیت‌های اصلی این ارتقا، جداسازی ساختاریافته پیشنهاددهنده و سازنده بلاک (ePBS) است. این سازوکار مسئولیت‌های سازندگان بلاک و اعتبارسنج‌ها را به‌صورت رسمی در پروتکل اجماع اتریوم از یکدیگر جدا می‌کند.

سازندگان بلاک، تراکنش‌ها را جمع‌آوری و در قالب بلاک مرتب می‌کنند؛ در مقابل، اعتبارسنج‌ها در تأمین امنیت شبکه و تأیید بلاک‌های پیشنهادی نقش دارند.

اما توسعه‌دهندگان متوجه شدند که قوانین پیشنهادی برای پردازش سپرده‌ها می‌توانند در شرایطی خاص مشکل‌ساز شوند؛ به‌ویژه زمانی که یک سازنده بلاک و یک اعتبارسنج از کلید عمومی یکسانی استفاده کنند.

نقص فنی که می‌توانست ETH سپرده‌گذاری‌شده را به حساب دیگری منتقل کند

این مشکل را پژوهشگری با نام Avsetsin شناسایی کرد. او سناریویی را توضیح داد که در آن، هنگام انتقال اتریوم به سازوکار جدید گلمستردام، برخی سپرده‌ها هنوز در انتظار پردازش بودند.

در این سناریو، یک اپراتور ابتدا با استفاده از کلید عمومی مشخصی به‌عنوان سازنده بلاک ثبت‌نام می‌کرد.

اگر پس از آن، یک پروتکل استیکینگ برای ایجاد اعتبارسنجی جدید، اتر را با همان کلید عمومی واریز می‌کرد، قوانین اولیه ارتقا ممکن بود هر دو سپرده را به موجودی حساب سازنده بلاک اضافه کنند.

در چنین شرایطی، اپراتور می‌توانست دارایی‌هایی را برداشت کند که در اصل برای اعتبارسنج پروتکل استیکینگ در نظر گرفته شده بودند.

مشکل به همین‌جا ختم نمی‌شد. از آنجا که اعتبارسنج موردنظر ممکن بود اصلاً راه‌اندازی نشود، سرویس استیکینگ نیز احتمالاً نمی‌توانست مدرک لازم برای بازیابی سپرده خود را ارائه کند.

این پژوهشگر پیامدهای احتمالی مشکل را برای سامانه‌های استیکینگ مرتبط با Lido، Origin و Rocket Pool بررسی کرد.

با این حال، یافته‌های او مشروط به شرایط خاصی بودند و ثابت نمی‌کردند که نسخه‌های فعال این پروتکل‌ها در شبکه اصلی واقعاً در برابر چنین حمله‌ای آسیب‌پذیر هستند. همچنین، بسته به نحوه مدیریت سپرده‌ها در هر سرویس استیکینگ، تدابیر امنیتی موجود می‌توانستند از وقوع این سناریو جلوگیری کنند.

همچنین بخوانید : متادیتا (metadata) در تراکنش های بلاک چین چیست؟

چرا راه‌اندازی گلمستردام به تعویق افتاده است؟

اگرچه نقص مربوط به سپرده‌ها در سطح مشخصات فنی اصلاح شده، ارتقای گلمستردام همچنان به آزمایش‌های بیشتری نیاز دارد.

این ارتقا پیش‌تر در تاریخ ۶ اکتبر در شبکه آزمایشی سپولیا (Sepolia) فعال شده بود. قرار بود مرحله بعدی آزمایش آن در شبکه هودی (Hoodi) در ۲۶ اکتبر انجام شود، اما این برنامه به تعویق افتاد.

دلیل این تأخیر، نگرانی‌هایی درباره تعامل تغییرات پیشنهادی در هزینه گس با قراردادهای هوشمند موجود بود.

علاوه بر این، اصلاحیه جدید مربوط به سپرده‌ها باید در نرم‌افزار کلاینت‌های مرتبط اتریوم نیز پیاده‌سازی شود تا ارتقا بتواند مراحل بعدی خود را طی کند.

توسعه‌دهندگان هنوز تاریخ جدیدی برای فعال‌سازی گلمستردام در شبکه آزمایشی هودی اعلام نکرده‌اند. همچنین، زمان‌بندی مشخصی برای راه‌اندازی این ارتقا در شبکه اصلی اتریوم وجود ندارد.

ترجمه شده توسط مجله خبری نیپوتو