Ethereum исправил баг Glamsterdam, который мог отправить депозиты стейкинга строителям блоков.

Разработчики Ethereum исправили уязвимость в предстоящем обновлении Glamsterdam, которая могла позволить оператору перехватывать ETH, предназначенные для новых стейкинг-валидаторов. Исправление влили в понедельник, после того как неделей ранее его поначалу отклонили.

Ошибка возникала при обработке ожидающих депозитов: если билдер регистрировался с публичным ключом, а затем стейкинг-сервис вносил ETH для валидатора с тем же ключом, оба депозита зачислялись билдеру, и оператор мог вывести средства, не создавая валидатора.

Исследователь avsetsin, участник Lido на GitHub, описал сценарий и проверил его на Lido, Origin и Rocket Pool. О потерях не сообщалось, а существующие проверки могли бы заблокировать атаку. Пересмотренные правила теперь сортируют ожидающие депозиты по учётным данным для вывода, держа депозиты валидаторов отдельно. Изменение внесено в спецификации консенсуса Ethereum, но командам клиентов ещё предстоит его реализовать. Glamsterdam уже работает в Sepolia, а запуск в Hoodi отложен до назначения новой даты перед развёртыванием в мейннете.

Краткое изложение переписано ИИ по оригинальной статье CoinDesk.