- Ethereum Foundation перенесла обновление Glamsterdam в тестовой сети Hoodi, изначально запланированное на 26 октября.
- Причиной стали два предложения по изменению газовой модели, которые могут ослабить защиту смарт-контрактов от атак с недостаточным газом.
- ChainSecurity выявила 13 реальных примеров контрактов, потенциально затронутых изменениями.
Разработчики Ethereum Foundation объявили о переносе активации Glamsterdam в тестовой сети Hoodi. Обновление должно было запуститься 26 октября, однако разработчики решили отложить форк, чтобы изучить, как некоторые предложения взаимодействуют со смарт-контрактами, уже развёрнутыми в Ethereum.
Проблема связана с двумя предложениями по улучшению сети EIP-8037 и EIP-8038. 13 октября специалисты компании ChainSecurity предупредили, что эти изменения могут ослабить защиту от атак типа insufficient gas griefing (грифинг из-за нехватки газа). В таких атаках злоумышленник намеренно передаёт слишком мало газа, чтобы легитимная операция контракта не выполнилась.
По новым правилам газ может возвращаться контракту после неудачной операции, и контракт продолжит работу там, где раньше остановился бы. Это способно сбить существующие проверки безопасности и позволить контракту навсегда зафиксировать неудачную операцию.
В ChainSecurity подчёркивают, что Glamsterdam не сделает все газовые проверки ненадёжными. Часть защитных механизмов продолжит работать, но разработчикам придётся проверить их с учётом новых правил. 23 октября компания сообщила, что нашла 13 реальных примеров контрактов, потенциально подверженных риску, и координирует ответственное раскрытие с затронутыми проектами. Детали и названия проектов не раскрываются, но разработчикам рекомендуют как можно скорее проверить свои контракты.
Находка вызвала беспокойство среди разработчиков Ethereum. 21 октября исследователь безопасности под псевдонимом pcaversaccio в комментарии на GitHub назвал риски «серьёзными» и призвал пересмотреть срок запуска хардфорка.
Перенос Hoodi ставит под вопрос и сроки запуска Glamsterdam в основной сети, поскольку разработчики рассматривали начало декабря, но финальное расписание должны были утвердить после успешного тестирования.
