La actualización Constantinopla de Ethereum se retrasa debido a una vulnerabilidad de seguridad

La tan esperada actualización Constantinople de Ethereum acaba de retrasarse después de que se descubriera una vulnerabilidad crítica en ONE de los cambios planificados.

Empresa de auditoría de contratos inteligentes ChainSecuritymarcado el martes La Propuesta de Mejora de Ethereum (EIP) 1283, de implementarse, podría proporcionar a los atacantes una vulnerabilidad en el código para robar los fondos de los usuarios. En una llamada, los desarrolladores de Ethereum , así como los desarrolladores de clientes y otros proyectos que gestionan la red, acordaron retrasar la bifurcación dura, al menos temporalmente, mientras evaluaban el problema.

Entre los participantes se encontraban Vitalik Buterin, creador de Ethereum; Hudson Jameson, Nick Johnson y Evan Van Ness, desarrolladores; y Afri Schoedon, gestor de lanzamiento de Parity, entre otros. La nueva fecha de bifurcación se decidirá durante otra conferencia de desarrolladores de Ethereum el viernes.

Al discutir la vulnerabilidad en línea, los desarrolladores CORE del proyecto llegaron a la conclusión de que tomaría demasiado tiempo corregir el error antes de la bifurcación dura, que se esperaba que se ejecutara alrededor de 04:00 UTC del 17 de enero.

Esta vulnerabilidad, denominada ataque de reentrada, permite a un atacante reingresar a la misma función varias veces sin informar al usuario sobre la situación. En este escenario, un atacante podría estar retirando fondos para siempre, según declaró Joanes Español, director de tecnología de la firma de análisis blockchain Amberdata, en una entrevista previa con CoinDesk.

Él explicó:

Imaginemos que mi contrato tiene una función que realiza una llamada a otro contrato... Si soy un hacker y logro activar una función mientras la anterior aún se está ejecutando, podría retirar fondos.

Esto es similar

a una de las vulnerabilidades encontradas en el ahora infame Ataque DAO de 2016.

La publicación de ChainSecurity explicó que antes de Constantinopla, las operaciones de almacenamiento en la red costaban 5.000 GAS, superando los 2.300 GAS que normalmente se envían cuando se llama a un contrato usando las funciones de "transferencia" o "envío".

Sin embargo, si se implementara la actualización, las operaciones de almacenamiento "sucias" costarían 200 de GAS. Un contrato de atacante podría usar el estipendio de 2300 de GAS para manipular con éxito la variable del contrato vulnerable.

Se esperaba que Constantinopla se activara el año pasado, pero se retrasó después de que se encontraron problemas al lanzar las actualizaciones en elRed de pruebas de Ropsten.

Ethereumimagen vía Shutterstock