Оновлення Ethereum Constantinople затримується через вразливість безпеки

Довгоочікуване оновлення Ethereum Constantinople було щойно відкладено після виявлення критичної вразливості в ONE із запланованих змін.

Аудиторська фірма смарт-контрактів ChainSecurity позначено вівторок що Пропозиція щодо вдосконалення Ethereum (EIP) 1283, якщо її впровадити, може надати зловмисникам лазівку в коді для крадіжки коштів користувачів. Під час телефонної розмови розробники Ethereum , а також розробники клієнтів та інших проектів, які керують мережею, погодилися відкласти хардфорк – принаймні тимчасово – поки вони оцінять проблему.

Серед учасників були творець Ethereum Віталік Бутерін, розробники Хадсон Джеймсон, Нік Джонсон і Еван Ван Несс, а також менеджер з випуску Parity Афрі Шоедон. Нова дата розгалуження буде визначена під час чергової консультації розробників Ethereum у п’ятницю.

Обговорюючи вразливість в Інтернеті, CORE розробники проекту дійшли висновку, що знадобиться надто багато часу, щоб виправити помилку до хардфорка, який мав бути виконаний близько 04:00 UTC 17 січня.

Уразливість, яка називається атакою повторного входу, по суті дозволяє зловмиснику «повторно входити» до однієї функції кілька разів, не інформуючи користувача про стан справ. Згідно з цим сценарієм, зловмисник може фактично «забирати кошти назавжди», сказав Джоанес Еспаньол, технічний директор аналітичної фірми Amberdata в попередньому інтерв’ю CoinDesk.

Він пояснив:

«Уявіть, що в моєму контракті є функція, яка здійснює виклик іншого контракту… Якщо я хакер і зможу запустити функцію, коли попередня функція все ще виконується, я міг би зняти кошти».

Це схоже

до ONE з вразливостей, виявлених у тепер сумно відомому DAO атака 2016 року.

У дописі ChainSecurity пояснювалося, що до Константинополя операції зі зберігання в мережі коштували б 5000 GAS, що перевищує 2300 GAS , які зазвичай надсилаються під час виклику контракту за допомогою функцій «передавання» або «надсилання».

Однак, якби модернізацію було здійснено, «брудні» операції зі зберігання коштували б 200 GAS. «Контракт зловмисника може використовувати стипендію 2300 GAS , щоб успішно маніпулювати змінною вразливого контракту».

Раніше очікувалося, що Constantinople буде активовано минулого року, але було відкладено через виявлення проблем під час запуску оновлень на Тестова мережа Ропстена.

Ethereum зображення через Shutterstock