Os desenvolvedores do Ethereum decidiram adiar o hard fork Glamsterdam no testnet Hoodi após a ChainSecurity identificar riscos de segurança relacionados ao gás que podem impactar como contratos inteligentes existentes lidam com transações falhadas.
A Ethereum Foundation (EF) anunciou que a atualização, que estava programada para o dia 26 de outubro, será postergada para que os desenvolvedores possam investigar como algumas propostas interagem com contratos inteligentes já implantados na rede Ethereum.
No dia 13 de outubro, a empresa de segurança blockchain ChainSecurity alertou que duas propostas incluídas no Glamsterdam, EIP-8037 e EIP-8038, poderiam enfraquecer as salvaguardas contra um tipo de ataque conhecido como insuficiência de gás.
Esse adiamento gera incertezas sobre o cronograma do mainnet do Glamsterdam. Os desenvolvedores do Ethereum estavam considerando o início de dezembro, com planos de finalizar um cronograma após testes bem-sucedidos no Hoodi.
A análise da ChainSecurity indicou que, sob as novas regras, o gás poderia ser devolvido a um contrato após uma operação falhar, permitindo que ele continuasse em execução quando anteriormente teria parado. Os pesquisadores afirmaram que as mudanças poderiam interferir nas verificações de segurança existentes que dependem de quanto gás permanece disponível durante uma transação.
Em ataques conhecidos como insuficiência de gás, um chamador malicioso fornece deliberadamente gás insuficiente para que uma operação legítima de contrato inteligente tenha sucesso. A ChainSecurity alertou que as mudanças propostas pelo Glamsterdam poderiam comprometer as salvaguardas contra tais ataques, permitindo que contratos registrassem permanentemente operações falhadas.
Por exemplo, um contrato afetado poderia remover a reivindicação de um usuário ou desabilitar a opção de reattempt, deixando o usuário incapaz de completar uma operação que, de outra forma, seria válida.
A ChainSecurity afirmou que o Glamsterdam não tornaria todas as verificações de segurança relacionadas ao gás não confiáveis. Algumas salvaguardas ainda poderiam funcionar, mas os desenvolvedores precisariam revisá-las para garantir que levem em conta as novas regras de gás da atualização.
As descobertas geraram preocupação entre os colaboradores do Ethereum. Em um comentário no GitHub no dia 21 de outubro, o pesquisador de segurança pseudônimo pcaversaccio descreveu os riscos como “sérios” e pediu uma reavaliação do hard fork.
Na sexta-feira, a ChainSecurity informou que havia identificado “13 exemplos do mundo real” e estava coordenando a divulgação responsável com os projetos afetados. A empresa de segurança não divulgou detalhes sobre os 13 exemplos do mundo real ou identificou os projetos afetados. No entanto, a empresa afirmou que os desenvolvedores devem verificar seus contratos o mais rápido possível.
Essas descobertas seguem um alerta anterior da Ethereum Foundation de que o modelo de gás do Glamsterdam poderia quebrar carteiras, indexadores e estimadores de gás que dependem de suposições fixas. A atualização foi ativada anteriormente no Sepolia em 6 de outubro, antes de seu agora adiado lançamento no Hoodi.
