Ethereum verschiebt Start des Glamsterdam-Hoodi-Testnetzes wegen Sicherheitsrisiken

Ethereum-Entwickler haben den Glamsterdam-Hardfork im Hoodi-Testnet verschoben, nachdem Forscher gasbezogene Sicherheitsrisiken identifiziert hatten, die beeinflussen könnten, wie bestehende Smart Contracts mit fehlgeschlagenen Transaktionen umgehen.

Die Ethereum Foundation (EF) erklärte, dass das ursprünglich für den 26. Oktober geplante Upgrade verschoben werde, damit Entwickler untersuchen können, wie einige Vorschläge mit auf Ethereum eingesetzten Smart Contracts interagieren. 

Am 13. Oktober warnte das Blockchain-Sicherheitsunternehmen ChainSecurity, dass zwei in Glamsterdam enthaltene Vorschläge, EIP-8037 und EIP-8038, Schutzmechanismen gegen eine als „Insufficient-Gas-Griefing“ bezeichnete Angriffsart schwächen könnten. 

Die Verschiebung sorgt für Unsicherheit hinsichtlich des Zeitplans für Glamsterdams Mainnet-Start. Ethereum-Entwickler hatten Anfang Dezember in Betracht gezogen und wollten den Zeitplan nach erfolgreichen Hoodi-Tests festlegen. 

Gasänderungen könnten bestehende Schutzmechanismen von Smart Contracts beeinträchtigen

In seiner Analyse erklärte ChainSecurity, dass Gas nach den neuen Regeln an einen Contract zurückgegeben werden könnte, nachdem eine Operation fehlschlägt, sodass dieser weiterläuft, obwohl er zuvor gestoppt hätte. Die Forscher erklärten, die Änderungen könnten bestehende Sicherheitsprüfungen beeinträchtigen, die davon abhängen, wie viel Gas während einer Transaktion noch verfügbar ist. 

Bei Angriffen, die als „Insufficient-Gas-Griefing“ bekannt sind, stellt ein böswilliger Aufrufer absichtlich zu wenig Gas bereit, damit eine legitime Smart-Contract-Operation erfolgreich ausgeführt werden kann. ChainSecurity warnte, dass Glamsterdams vorgeschlagene Änderungen Schutzmechanismen gegen solche Angriffe beeinträchtigen könnten, sodass Contracts möglicherweise fehlgeschlagene Operationen dauerhaft aufzeichnen. 

Beispielsweise könnte ein betroffener Contract den Anspruch eines Nutzers entfernen oder die Möglichkeit deaktivieren, ihn erneut zu versuchen, wodurch der Nutzer eine ansonsten gültige Operation nicht abschließen könnte.

ChainSecurity erklärte, Glamsterdam werde nicht alle gasbezogenen Sicherheitsprüfungen unzuverlässig machen. Einige Schutzmechanismen könnten weiterhin funktionieren, Entwickler müssten sie jedoch überprüfen, um sicherzustellen, dass sie die neuen Gasregeln des Upgrades berücksichtigen.

Verwandt: Ethereum Foundation warnt, dass einige Tools beim Glamsterdam-Upgrade ausfallen könnten

Die Erkenntnisse lösten unter den Ethereum-Mitwirkenden Besorgnis aus. In einem Kommentar auf GitHub vom 21. Oktober bezeichnete der pseudonyme Sicherheitsforscher pcaversaccio die Risiken als „ernst“ und forderte eine Neubewertung des Hardforks.  

Am Freitag erklärte ChainSecurity, es habe „13 Beispiele aus der Praxis“ identifiziert und stimme die verantwortungsvolle Offenlegung mit den betroffenen Projekten ab. Das Sicherheitsunternehmen machte keine Angaben zu den 13 Beispielen aus der Praxis und nannte die betroffenen Projekte nicht. Es erklärte jedoch, Entwickler sollten ihre Contracts so bald wie möglich überprüfen. 

Die Erkenntnisse folgen auf eine frühere Warnung der Ethereum Foundation, dass Glamsterdams Gasmodell Wallets, Indexer und Gas-Schätzer beschädigen könnte, die auf festen Annahmen beruhen. Das Upgrade wurde zuvor am 6. Oktober auf Sepolia aktiviert, bevor es nun verspätet auf Hoodi bereitgestellt werden soll.

Magazin: 5 Alternativen zu Ledger zur Aufbewahrung deiner Bitcoin