Исправление уязвимости Glamsterdam в Ethereum: предотвращение ошибочной записи залоговых депозитов на счета строителей

Согласно отчету CoinDesk, разработчики Ethereum исправили уязвимость в обновлении Glamsterdam, которая могла позволить операторам забрать ETH, предназначенный для новых валидаторов, из услуги стейкинга. Исправление изменило правила обработки депозитов валидаторов и было объединено в понедельник, хотя разработчики неделю назад отклонили это изменение.

Исследователь avsetsin обнаружил, что если оператор сначала зарегистрируется как строитель с определенным публичным ключом, а затем услуга стейкинга использует тот же ключ для внесения ETH для запуска валидатора, проектные правила засчитают оба депозита строителю. Avsetsin отметил, что это условное обнаружение кода, а не подтвержденная уязвимость в реальном времени, существующие проверки могут предотвратить атаку, в настоящее время нет сообщений о потерях. Новые правила обрабатывают депозиты в порядке, основанном на квитанциях о выводе, что позволяет депозитам валидаторов оставаться за валидаторами.

Glamsterdam уже работает в тестовой сети Sepolia, но запуск в тестовой сети Hoodi был отложен, новая дата должна быть определена перед запуском основной сети.