Ethereum adia lançamento da testnet Hoodi do Glamsterdam devido a riscos de segurança

Os desenvolvedores da Ethereum adiaram o hard fork Glamsterdam na testnet Hoodi depois que pesquisadores identificaram riscos de segurança relacionados ao gas que poderiam afetar a forma como os contratos inteligentes existentes lidam com transações malsucedidas.

A Ethereum Foundation (EF) disse que a atualização, originalmente programada para 26 de outubro, seria adiada para permitir que os desenvolvedores investigassem como algumas propostas interagem com contratos inteligentes implantados na Ethereum. 

Em 13 de outubro, a empresa de segurança em blockchain ChainSecurity alertou que duas propostas incluídas no Glamsterdam, a EIP-8037 e a EIP-8038, poderiam enfraquecer as proteções contra um tipo de ataque chamado griefing por gas insuficiente. 

O adiamento gera incerteza sobre o cronograma do Glamsterdam na mainnet. Os desenvolvedores da Ethereum consideravam o início de dezembro e planejavam definir o cronograma após testes bem-sucedidos na Hoodi. 

Mudanças no gas podem enfraquecer as proteções existentes dos contratos inteligentes

Em sua análise, a ChainSecurity disse que, sob as novas regras, o gas poderia ser devolvido a um contrato depois que uma operação falhasse, permitindo que ele continuasse em execução quando antes teria parado. Os pesquisadores disseram que as mudanças poderiam interferir em verificações de segurança existentes que dependem da quantidade de gas ainda disponível durante uma transação. 

Nos ataques conhecidos como griefing por gas insuficiente, um chamador malicioso fornece deliberadamente gas insuficiente para que uma operação legítima de contrato inteligente seja concluída. A ChainSecurity alertou que as mudanças propostas pelo Glamsterdam poderiam enfraquecer as proteções contra esses ataques, permitindo potencialmente que os contratos registrassem permanentemente operações malsucedidas. 

Por exemplo, um contrato afetado poderia remover a reivindicação de um usuário ou desativar a opção de tentar novamente, deixando o usuário incapaz de concluir uma operação que, de outra forma, seria válida.

A ChainSecurity disse que o Glamsterdam não tornaria não confiáveis todas as verificações de segurança relacionadas ao gas. Algumas proteções ainda poderiam funcionar, mas os desenvolvedores precisariam revisá-las para garantir que levem em conta as novas regras de gas da atualização.

Relacionado: Ethereum Foundation alerta que algumas ferramentas podem parar de funcionar com a atualização Glamsterdam

As descobertas geraram preocupação entre os colaboradores da Ethereum. Em um comentário publicado no GitHub em 21 de outubro, o pesquisador de segurança pseudônimo pcaversaccio descreveu os riscos como “sérios” e pediu uma reavaliação do hard fork.  

Na sexta-feira, a ChainSecurity disse ter identificado “13 exemplos do mundo real” e estar coordenando a divulgação responsável com os projetos afetados. A empresa de segurança não divulgou detalhes dos 13 exemplos do mundo real nem identificou os projetos afetados. No entanto, a empresa disse que os desenvolvedores deveriam verificar seus contratos assim que possível. 

As descobertas seguem um alerta anterior da Ethereum Foundation de que o modelo de gas do Glamsterdam poderia quebrar carteiras, indexadores e estimadores de gas que dependem de premissas fixas. A atualização havia sido anteriormente ativada na Sepolia em 6 de outubro, antes de sua implantação agora adiada na Hoodi.

Revista: 5 alternativas à Ledger para armazenar seu Bitcoin