تأخیر در ارتقای گلمستردام اتریوم به دلیل مخاطرات امنیتی

۱ آبان ۱۴۰۵۱۸بازدید۴دقیقه مطالعه

توسعه‌دهندگان اتریوم پس از کشف ریسک‌های امنیتی مرتبط با نحوه محاسبه کارمزد و آسیب‌پذیری قراردادهای هوشمند، راه‌اندازی هاردفورک گلمستردام روی شبکه تست هودی را به تعویق انداختند. این تصمیم زمان‌بندی انتشار شبکه اصلی را در هاله‌ای از ابهام قرار داده است.

توسعه‌دهندگان بنیاد اتریوم راه‌اندازی ارتقای گلمستردام اتریوم را روی شبکه تست هودی (Hoodi) به تعویق انداختند. این ارتقا که ابتدا برای ۲۶ اکتبر برنامه‌ریزی شده بود، پس از هشدارهای پژوهشگران درباره ریسک‌های امنیتی مرتبط با کارمزد (Gas) معلق شد. این تصمیم به تیم فنی اجازه می‌دهد برهمکنش پیشنهادهای جدید را با قراردادهای هوشمند فعال مورد بررسی دقیق‌تر قرار دهند.

علت تعویق هاردفورک گلمستردام در شبکه تست هودی

در تاریخ ۱۳ اکتبر، شرکت امنیت بلاکچین ChainSecurity هشدار داد که دو پیشنهاد بهبود شامل EIP-۸۰۳۷ و EIP-۸۰۳۸ می‌توانند مکانیزم‌های دفاعی شبکه را در برابر حمله‌ای موسوم به Insufficient Gas Griefing تضعیف کنند. طبق تحلیل‌ها، تحت قواعد جدید ممکن است پس از شکست یک تراکنش، کارمزد به قرارداد بازگردانده شود و اجازه ادامه اجرا به برنامه‌ای داده شود که پیش‌تر باید متوقف می‌شد.

این تغییرات کنترل‌های امنیتی متکی بر کارمزد باقی‌مانده را مختل می‌کنند و مهاجم می‌تواند با ارسال کارمزد ناکافی، ثبت دائمی عملیات ناموفق یا لغو حق ادعای کاربران را رقم بزند.

شناسایی ۱۳ نمونه واقعی آسیب‌پذیری توسط ChainSecurity

پژوهشگران امنیت اعلام کردند که ۱۳ نمونه واقعی از قراردادهای هوشمند متاثر از این تغییرات کارمزد را شناسایی کرده و افشای مسئولانه را با پروژه‌های مربوطه آغاز کرده‌اند. با اینکه جزئیات این ۱۳ پروژه منتشر نشده است، از توسعه‌دهندگان خواسته شده تا هرچه سریع‌تر قراردادهای خود را بازبینی کنند.

پیش‌تر نیز بنیاد اتریوم هشدار داده بود مدل جدید کارمزد می‌تواند کارکرد کیف‌پول‌ها، ایندکسرها و ابزارهای تخمین کارمزد متکی بر فرضیات ثابت را مختل کند. این ارتقا پیش از تعویق در هودی، در تاریخ ۶ اکتبر روی شبکه تست سپولیا (Sepolia) فعال شده بود.

تحلیل کوین‌گرام

تعویق ارتقای گلمستردام نشان‌دهنده اولویت امنیت بر سرعت در نقشه راه اتریوم است. ابهامات ایجادشده پیرامون زمان‌بندی شبکه اصلی که برای اوایل دسامبر در نظر گرفته شده بود، نشان می‌دهد بنیاد اتریوم تمایلی به پذیرش ریسک‌های سیستمی ندارد. شناسایی ۱۳ نمونه واقعی از قراردادهای آسیب‌پذیر ثابت می‌کند که حتی تغییرات به‌ظاهر جزئی در ساختار محاسبه کارمزد، می‌تواند لایه‌های امنیتی پیچیده در برنامه‌های غیرمتمرکز را با چالش جدی مواجه کند.

از منظر فنی، برخورد میان پیشنهادهایی نظیر EIP-۸۰۳۷ و EIP-۸۰۳۸ با منطق اجرایی برنامه‌های موجود، ضرورت تست‌های همه‌جانبه را پیش از پیاده‌سازی روی شبکه اصلی برجسته می‌سازد. به تاخیر افتادن تست هودی احتمالاً رونمایی نهایی در ماه دسامبر را منتفی کرده و بازه زمانی جدیدی را پس از ارزیابی‌های جامع امنیتی می‌طلبد.

جمع‌بندی

شناسایی آسیب‌پذیری‌های مرتبط با کارمزد در ارتقای گلمستردام، توسعه‌دهندگان اتریوم را مجبور به لغو برنامه زمان‌بندی روی شبکه تست هودی کرد. تا زمان رفع کامل خطرات مربوط به حملات کارمزدی و ایمن‌سازی ۱۳ پروژه شناسایی‌شده، زمان‌بندی هاردفورک روی شبکه اصلی غیرشفاف باقی خواهد ماند.