تعویق هارد فورک Glamsterdam به دلیل نگرانی‌های امنیتی
توسعه‌دهندگان اتریوم، هارد فورک Glamsterdam را در شبکه آزمایشی Hoodi به تعویق انداختند. این تصمیم پس از آن اتخاذ شد که محققان، ریسک‌های امنیتی مرتبط با “گس” (کارمزد تراکنش) را شناسایی کردند که می‌تواند بر نحوه مدیریت تراکنش‌های ناموفق توسط قراردادهای هوشمند موجود تأثیر بگذارد.
بنیاد اتریوم (EF) اعلام کرد که این ارتقاء که در ابتدا برای ۲۶ اکتبر برنامه‌ریزی شده بود، به منظور بررسی نحوه تعامل برخی پیشنهادات با قراردادهای هوشمند مستقر شده بر روی اتریوم، به تعویق افتاده است.
در تاریخ ۱۳ اکتبر، شرکت امنیتی بلاکچین ChainSecurity هشدار داد که دو پیشنهاد گنجانده شده در Glamsterdam، یعنی EIP-8037 و EIP-8038، می‌توانند محافظت‌ها در برابر نوعی حمله موسوم به “گرفتن گس ناکافی” (insufficient gas griefing) را تضعیف کنند.
این تعویق، عدم قطعیت را در مورد جدول زمانی اصلی Glamsterdam افزایش می‌دهد. توسعه‌دهندگان اتریوم در حال بررسی اوایل دسامبر بودند و قصد داشتند پس از آزمایش موفقیت‌آمیز Hoodi، برنامه نهایی را مشخص کنند.
ChainSecurity در تحلیل خود اعلام کرد که تحت قوانین جدید، گس پس از شکست یک عملیات می‌تواند به قرارداد بازگردانده شود و به آن اجازه دهد تا به اجرا ادامه دهد، در حالی که قبلاً متوقف می‌شد. محققان گفتند که این تغییرات می‌تواند با بررسی‌های امنیتی موجود که به میزان گس موجود در طول یک تراکنش متکی هستند، تداخل ایجاد کند.
در حملاتی که به عنوان گرفتن گس ناکافی شناخته می‌شوند، یک مهاجم مخرب به طور عمدی گس بسیار کمی را برای موفقیت یک عملیات قانونی قرارداد هوشمند فراهم می‌کند. ChainSecurity هشدار داد که تغییرات پیشنهادی Glamsterdam می‌تواند محافظت‌ها در برابر چنین حملاتی را تضعیف کند و به طور بالقوه به قراردادها اجازه دهد تا عملیات ناموفق را به طور دائم ثبت کنند.
به عنوان مثال، یک قرارداد متأثر می‌تواند ادعای کاربر را حذف کند یا گزینه تلاش مجدد آن را غیرفعال کند و کاربر را قادر به تکمیل عملیاتی که در غیر این صورت معتبر بود، نکند.
ChainSecurity گفت که Glamsterdam تمام بررسی‌های امنیتی مرتبط با گس را غیرقابل اعتماد نخواهد کرد. برخی از محافظت‌ها همچنان می‌توانند کار کنند، اما توسعه‌دهندگان باید آن‌ها را بازبینی کنند تا اطمینان حاصل شود که قوانین جدید گس ارتقاء را در نظر می‌گیرند.
این یافته‌ها نگرانی‌هایی را در میان مشارکت‌کنندگان اتریوم برانگیخت. در اظهارنظری در تاریخ ۲۱ اکتبر در GitHub، محقق امنیتی با نام مستعار pcaversaccio، این ریسک‌ها را “جدی” توصیف کرد و خواستار ارزیابی مجدد هارد فورک شد.
روز جمعه، ChainSecurity اعلام کرد که “۱۳ نمونه واقعی” را شناسایی کرده و در حال هماهنگی برای افشای مسئولانه با پروژه‌های متأثر است. این شرکت امنیتی جزئیات ۱۳ نمونه واقعی یا پروژه‌های متأثر را فاش نکرد. با این حال، این شرکت گفت که توسعه‌دهندگان باید قراردادهای خود را در اسرع وقت بررسی کنند.
این یافته‌ها به دنبال هشدار قبلی بنیاد اتریوم مبنی بر اینکه مدل گس Glamsterdam می‌تواند کیف پول‌ها، ایندکسرها و تخمین‌گرهای گس را که به مفروضات ثابت متکی هستند، مختل کند، صورت می‌گیرد. این ارتقاء قبلاً در تاریخ ۶ اکتبر در Sepolia فعال شده بود، پیش از استقرار اکنون به تعویق افتاده آن در Hoodi.
