Ethereum-розробники виявили втручання в розгортання Pectra на Sepolia
Проблеми з активацією 5 березня хардфорка Pectra в тестнеті Sepolia посилили дії зловмисника. Про це розповів розробник Ethereum Маріус ван дер Вейден.
Після розгортання оновлення клієнт Geth команди програміста почав повідомляти про помилки та добувати порожні блоки. Збій викликало неправильне генерування події депозитним контрактом. На нього було відправлено тестову транзакцію для перевірки функціональності зняття коштів.
Розробники створили патч і приблизно через три з половиною години скоординовано його розгорнули. Однак мережа незабаром знову почала виробляти порожні блоки. Програмісти виявили ще одну проблемну транзакцію, яка призвела до тієї ж помилки.
За словами ван дер Вейдена, спочатку вони вирішили, що хтось із довірених валідаторів припустився неточності. Але, як з’ясувалося, операція була проведена з нового, нещодавно поповненого рахунку.
Розробник зазначив, що зловмисник використав прикордонний випадок, який вони випустили з уваги. Стандарт ERC-20 дозволяє будь-кому здійснювати нульові перекази на інші адреси, навіть за відсутності токенів. Нападник знову викликав збій подібною транзакцією.
Команда Ethereum запідозрила, що зловмисник читає якісь із їхніх чатів, і вирішила провести оновлення без розголосу.
«Єдиний спосіб зупинити атаку — відфільтрувати всі транзакції, які взаємодіють із депозитним контрактом. Тому ми зробили приватне виправлення, яке розгорнули на кількох власних нодах», — пояснив ван дер Вейден.
Ці вузли становили приблизно 10% мережі, що дало змогу знову пропонувати повні блоки та використовувати тестнет для подальшого скоординованого виправлення.
«Ми не втрачали фіналізацію під час інциденту. Як уже говорилося раніше, проблема виникла тільки на Sepolia, оскільки ми використовуємо депозитний контракт із токен-замком на відміну від основної мережі», — додав розробник.
Нагадаємо, команда запланувала активацію Pectra в мейннеті Ethereum на початок квітня.