Atualização Constantinople do Ethereum enfrenta atraso devido a vulnerabilidade de segurança

A tão esperada atualização Constantinople do Ethereum acaba de ser adiada depois que uma vulnerabilidade crítica foi descoberta em uma das mudanças planejadas.

Empresa de auditoria de contratos inteligentes ChainSecurityterça-feira sinalizada que a Proposta de Melhoria do Ethereum (EIP) 1283, se implementada, poderia fornecer aos invasores uma brecha no código para roubar fundos de usuários. Falando em uma chamada, os desenvolvedores do Ethereum , assim como os desenvolvedores de clientes e outros projetos que executam a rede, concordaram em atrasar o hard fork – pelo menos temporariamente – enquanto avaliavam o problema.

Os participantes incluíram o criador do Ethereum Vitalik Buterin, os desenvolvedores Hudson Jameson, Nick Johnson e Evan Van Ness, e o gerente de lançamento do Parity Afri Schoedon, entre outros. Uma nova data de fork será decidida durante outra chamada de desenvolvimento do Ethereum na sexta-feira.

Ao discutir a vulnerabilidade online, os CORE desenvolvedores do projeto chegaram à conclusão de que levaria muito tempo para corrigir o bug antes do hard fork, que deveria ser executado por volta de 04:00 UTC em 17 de janeiro.

Chamado de ataque de reentrada, a vulnerabilidade essencialmente permite que um invasor "reentre" na mesma função várias vezes sem atualizar o usuário sobre o estado das coisas. Sob esse cenário, um invasor poderia essencialmente estar "retirando fundos para sempre", disse Joanes Espanol, CTO da empresa de análise de blockchain Amberdata em uma entrevista anterior com a CoinDesk.

Ele explicou:

"Imagine que meu contrato tem uma função que faz uma chamada para outro contrato... Se eu for um hacker e conseguir acionar uma função enquanto a função anterior ainda estiver em execução, talvez eu consiga sacar fundos."

Isso é semelhante

a uma das vulnerabilidades encontradas no agora infame Ataque DAO de 2016.

A publicação da ChainSecurity explicou que antes de Constantinopla, as operações de armazenamento na rede custavam 5.000 GAS, excedendo os 2.300 GAS normalmente enviados ao chamar um contrato usando as funções "transferir" ou "enviar".

No entanto, se a atualização fosse implementada, as operações de armazenamento "sujas" custariam 200 GAS. Um "contrato de invasor pode usar o estipêndio de 2300 GAS para manipular a variável do contrato vulnerável com sucesso."

A ativação de Constantinopla estava prevista para o ano passado, mas foi adiada após problemas encontrados durante o lançamento das atualizações noRede de teste Ropsten.

Ethereumimagem via Shutterstock