Les développeurs d’Ethereum ont décidé de différer le lancement de la mise à jour Glamsterdam sur le testnet Hoodi après que des chercheurs aient identifié des risques de sécurité liés au gaz, pouvant affecter la gestion des transactions échouées par certains contrats intelligents. La Fondation Ethereum (EF) a annoncé que cette mise à jour, initialement prévue pour le 26 octobre, sera reportée pour permettre aux développeurs d’examiner comment certaines propositions interagissent avec les contrats intelligents déjà déployés sur Ethereum.
Risques identifiés par ChainSecurity
Le 13 octobre, la société de sécurité blockchain ChainSecurity a averti que deux propositions incluses dans Glamsterdam, EIP-8037 et EIP-8038, pourraient compromettre les protections contre une attaque connue sous le nom de griefing pour insuffisance de gaz. Ce report engendre une incertitude sur la date de lancement de Glamsterdam sur le mainnet, alors que les développeurs envisageaient début décembre, avec un calendrier à finaliser après des tests concluants sur Hoodi.
Impact potentiel sur les contrats intelligents
Dans son analyse, ChainSecurity a expliqué que, sous les nouvelles règles, il serait possible que le gaz soit retourné à un contrat après qu’une opération ait échoué, permettant ainsi à celui-ci de continuer à s’exécuter. Les chercheurs ont indiqué que ces modifications pourraient interférer avec les vérifications de sécurité existantes qui dépendent de la quantité de gaz disponible durant une transaction. Dans des attaques connues sous le nom de griefing pour insuffisance de gaz, un appelant malveillant fournit délibérément trop peu de gaz pour qu’une opération légitime d’un contrat intelligent puisse aboutir. ChainSecurity a mis en garde que les changements proposés par Glamsterdam pourraient affaiblir les protections contre de telles attaques, entraînant la possibilité que des contrats enregistrent de manière permanente des opérations échouées.
Réactions de la communauté Ethereum
Les résultats ont suscité des préoccupations parmi les contributeurs d’Ethereum. Dans un commentaire sur GitHub le 21 octobre, un chercheur en sécurité anonyme, pcaversaccio, a qualifié ces risques de « sérieux » et a appelé à une réévaluation de la mise à jour. Le vendredi précédant, ChainSecurity a déclaré avoir identifié « 13 exemples concrets » et coordonnait la divulgation responsable avec les projets concernés. Les détails de ces exemples ou l’identification des projets affectés n’ont pas été dévoilés, mais la société a conseillé aux développeurs de vérifier leurs contrats le plus rapidement possible. Ces conclusions font suite à un précédent avertissement de la Fondation Ethereum indiquant que le modèle de gaz de Glamsterdam pourrait perturber les portefeuilles, les indexeurs et les estimateurs de gaz qui reposent sur des hypothèses fixes.
Historique des mises à jour
La mise à jour avait été activée sur Sepolia le 6 octobre, avant son déploiement attendu sur Hoodi, désormais reporté.