Разработчики Ethereum исправили серьёзную уязвимость в апгрейде Glamsterdam, который разделяет роли билдеров (те, кто собирает транзакции в блоки) и валидаторов (те, кто подтверждает блоки, застейкив ETH). Баг мог позволить оператору перенаправить депозиты, предназначенные для новых валидаторов, себе в качестве билдера. Патч был слит в основную ветку в понедельник, спустя неделю после того, как разработчики сначала его отклонили.
Суть проблемы была в обработке депозитов во время самого апгрейда. Если оператор сначала регистрировался как билдер с определённым публичным ключом, а затем стейкинг-сервис пытался создать валидатора на том же ключе, старые правила кредитовали оба депозита билдеру. Это оставляло стейкинг-сервисы без возможности восстановить свои средства. Исследователь Avsetsin выявил этот сценарий, и это дало разработчикам неделю для пересмотра подхода.
Первоначально разработчики изменение отклонили, но задержки с тестированием дали им дополнительное время разобраться в проблеме. Это редкий случай, когда плотный график фактически помог вовремя поймать баг — без такой задержки уязвимость могла бы дойти до мейннета. Никаких убытков не было, поскольку апгрейд пока находится в стадии разработки.
Glamsterdam — часть более широкой стратегии Ethereum по модульной архитектуре сети и снижению централизации. Разделение ролей билдера и валидатора позволяет лучше управлять монопольной власти крупных операторов. Однако чем сложнее становится экосистема, тем больше поверхность для ошибок — и эта находка это подтверждает.
Теперь все клиент-команды должны внедрить исправленные правила депозитов перед тем, как Glamsterdam сможет двигаться к запуску на мейннете. Это означает дополнительные раунды тестирования и проверки, но это предпочтительнее, чем обнаружить проблему уже в боевых условиях.
Для российского крипто-бизнеса, работающего с ETH-стейкингом или предоставляющего услуги валидирования, это напоминание о важности тщательной проверки условий депозитов при любых обновлениях протокола. Если ваш сервис взаимодействует с контрактами Ethereum, имеет смысл следить за такими исправлениями и обновлять интеграцию соответственно. Фактически любой серьёзный инструмент автоматизации или системы управления контрактами должны периодически пересматриваться на предмет совместимости с новыми правилами протокола.