Los desarrolladores de Ethereum corrigieron un fallo en Glamsterdam, su próxima actualización, que podía permitir que un operador retirara ETH depositados por servicios de staking para crear nuevos validadores. La modificación ya fue incorporada a las especificaciones de consenso, aunque todavía debe implementarse en los programas que ejecutan los validadores.

El problema fue identificado por el investigador Avsetsin, quien describió un escenario en el que los fondos destinados a funciones diferentes podían terminar bajo el control de un mismo operador. El hallazgo puso el foco en las reglas que determinan cómo se registran los depósitos durante la transición hacia Glamsterdam.

Publicidad

La actualización separa las funciones de los constructores de bloques y los validadores. Los primeros organizan las transacciones que incluirán los bloques, mientras que los segundos participan en la selección y confirmación de estos para contribuir a la seguridad de la red. Aunque ambos pueden depositar ETH, sus fondos deben mantenerse diferenciados.

Según el investigador, un operador podría registrarse como constructor mediante una clave pública y recibir después depósitos destinados a activar un validador asociado a esa misma clave. Bajo las reglas iniciales, ambos aportes podían acreditarse al constructor, que tendría la posibilidad de retirarlos sin que llegara a crearse el validador.

Esto dejaría al servicio de staking sin el mecanismo necesario para demostrar que tiene derecho a recuperar los fondos. Avsetsin examinó posibles implicaciones para los protocolos Lido, Origin y Rocket Pool, aunque aclaró que sus resultados dependían de las condiciones de cada protocolo y no demostraban la existencia de ataques operativos. Hasta ahora, no se han reportado pérdidas relacionadas con este fallo.

La solución no se aprobó de inmediato. El 19 de octubre, Justin Traglia, responsable del mantenimiento de las especificaciones de consenso de Ethereum, señaló que no había suficiente respaldo de los equipos de clientes para introducir el cambio. Tras una revisión adicional, Avsetsin incorporó pruebas el 23 de octubre y Traglia integró la corrección el lunes.

Publicidad

Las nuevas reglas ordenan los depósitos pendientes según sus credenciales de retiro, que determinan el destino de los fondos. Así, los ETH asignados a validadores deben permanecer vinculados a ellos, incluso cuando un constructor utiliza la misma clave pública.

Sin embargo, la implementación todavía no está completa. Como explicó CriptoNoticias, Glamsterdam ya se ejecutó en la red de prueba Sepolia, pero el despliegue previsto para el 26 de octubre en Hoodi fue pospuesto. Ethereum deberá establecer una nueva fecha para esa prueba antes de programar la activación de la actualización en la red principal.

Un error en una actualización de Ethereum podía dejar depósitos de staking en manos equivocadas