Ethereum устранил уязвимость в Glamsterdam: депозиты стейкинга больше не зачисляются на счета билдеров

По данным CoinDesk, разработчики Ethereum устранили уязвимость в обновлении Glamsterdam, которая могла позволить операторам выводить ETH, предназначенные для новых валидаторов, из стейкинг-сервиса. Исправление изменило правила обработки депозитов валидаторов и было объединено в понедельник после того, как неделей ранее разработчики отклонили эту модификацию. Исследователь avsetsin обнаружил, что если оператор сначала регистрируется как билдер с определенным публичным ключом, а стейкинг-сервис затем вносит ETH с использованием того же ключа для активации валидатора, черновые правила зачисляли оба депозита билдеру. Avsetsin заявил, что это условная находка в коде, а не подтвержденная эксплуатация в реальном времени; существующие проверки могут предотвратить атаку, и на данный момент сообщений о потерях нет. Новые правила обрабатывают депозиты в порядке, определяемом квитанциями о выводе, гарантируя, что депозиты валидаторов по-прежнему принадлежат валидаторам. Glamsterdam уже работает в тестовой сети Sepolia, но запуск в тестовой сети Hoodi отложен, новая дата будет определена до запуска основной сети.