Ethereum corrige le bug Glamsterdam qui aurait pu envoyer les dépôts de staking aux builders

Avsetsin, qui est répertorié comme membre de l'organisation GitHub de Lido, a examiné comment Lido, Origin et Rocket Pool pourraient être affectés, dans ce que le chercheur a appelé une « recherche IA rapide ». Les conclusions dépendaient de la manière dont chaque protocole gère les dépôts.

« Ce sont des conclusions de code conditionnelles, et non des exploits réels confirmés », a écrit avsetsin, ajoutant que les vérifications existantes rejetant un dépôt de constructeur antérieur pourraient stopper l'attaque. Aucune perte n'a été signalée.

Rejeté, puis fusionné

Les développeurs ont clôturé le correctif proposé le 19 oct.. « Il n'y avait pas assez de soutien de la part des clients pour effectuer ce changement pour le moment », a écrit Justin Traglia, qui maintient les spécifications de consensus d'Ethereum. Les clients sont les programmes logiciels distincts que les validateurs exécutent pour participer au réseau.

Le correctif a été rouvert après un examen plus approfondi, avsetsin a ajouté des tests le 23 oct., et Traglia l'a fusionné lundi.

Selon les nouvelles règles, les dépôts en attente sont triés par leurs identifiants de retrait, le paramètre qui indique où l'argent d'un dépôt peut finalement aller. Les dépôts des validateurs restent chez les validateurs même si un constructeur utilise la même clé.

Le changement fait désormais partie des spécifications de consensus d'Ethereum, et les équipes clientes doivent encore l'intégrer dans leurs logiciels. Glamsterdam a déjà fonctionné sur le réseau de test Sepolia, mais son lancement le 26 oct. sur Hoodi, un deuxième réseau de test, a été reporté.