.jpeg)
Das kürzliche Pectra-Upgrade im Sepolia-Testnetz stieß auf erhebliche Probleme, da ein unbekannter Angreifer eine Schwachstelle ausnutzte. Dieser Vorfall hat unter Ethereum-Entwicklern Bedenken hinsichtlich der Sicherheit des Upgrade-Prozesses und der Auswirkungen auf zukünftige Entwicklungen aufgeworfen.
Wichtige Erkenntnisse
-
Das Pectra-Upgrade wurde am 5. März 2025 um 7:29 Uhr gestartet.
-
Ein Angreifer nutzte einen Edge-Case aus, was zur Schürfung leerer Blöcke führte.
-
Die Entwickler implementierten einen privaten Fix, um das Problem zu mildern, ohne ihn zu veröffentlichen.
-
Der Vorfall war auf das Sepolia-Testnetz beschränkt und hatte keine Auswirkungen auf das Hauptnetz.
Überblick über den Vorfall
Am 5. März 2025 rollte das Ethereum-Entwicklungsteam das Pectra-Upgrade im Sepolia-Testnetz aus. Nur wenige Tage später berichtete der Entwickler Marius van der Wijden, dass das Upgrade von Fehlern geplagt war, hauptsächlich aufgrund des Auslösens falscher Ereignisse im Einzahlungsvertrag. Dies führte zur Schürfung leerer Blöcke, was die Funktionalität des Netzwerks erheblich störte.
Der ursprüngliche Fehler wurde auf den Einzahlungsvertrag zurückverfolgt, der fälschlicherweise ein Übertragungsereignis anstelle eines Einzahlungsevents auslöste. Diese Fehlkonfiguration ermöglichte es einem unbekannten Angreifer, die Situation auszunutzen, indem er eine Null-Token-Übertragung an die Einzahlungsadresse sendete, was den gleichen Fehler erneut verursachte.
Angriffsdetails
-
Ausnutzungsmethode: Der Angreifer nutzte den ERC-20-Standard, der Null-Token-Übertragungen erlaubt, um Transaktionen von einem neu finanzierten Konto zu senden.
-
Auswirkungen: Der Angriff führte zur Schürfung einer erheblichen Anzahl leerer Blöcke, was die Leistung des Netzwerks beeinträchtigte.
-
Reaktion der Entwickler: Das Team vermutete zunächst einen Fehler von vertrauenswürdigen Validierern, identifizierte jedoch schnell den Ursprung der Transaktion als externes Konto.
Minderungsmaßnahmen
Als Reaktion auf den Angriff ergriff das Entwicklungsteam sofortige Maßnahmen:
-
Private Fix-Bereitstellung: Ein Fix wurde erstellt, um Transaktionen, die mit dem Einzahlungsvertrag interagieren, herauszufiltern. Dieser Fix wurde auf einer ausgewählten Anzahl von DevOps-Knoten bereitgestellt, um weitere Ausnutzungen zu verhindern.
-
Kontrollierte Updates: Die Entwickler entschieden sich, den Fix nicht zu veröffentlichen, da sie vermuteten, dass der Angreifer ihre Kommunikation überwachen könnte. Stattdessen aktualisierten sie nur die Knoten, die sie kontrollierten, um das Netzwerk zu stabilisieren.
-
Erfolgreiche Lösung: Bis 14 Uhr am selben Tag waren alle Knoten aktualisiert, und die problematische Transaktion wurde erfolgreich geschürft, wodurch der normale Betrieb wiederhergestellt wurde.
Zukünftige Implikationen
Trotz der Herausforderungen während des Pectra-Upgrades bestätigte das Ethereum-Team, dass das Hauptnetz nicht betroffen war und die Finalisierung während des Vorfalls nie verloren ging. Die Entwickler haben jedoch beschlossen, das Pectra-Upgrade bis zu weiteren Tests zu verschieben, um die Robustheit des Systems sicherzustellen.
Dieser Vorfall hebt die anhaltenden Sicherheitsherausforderungen innerhalb der Blockchain-Technologie hervor und betont die Bedeutung rigoroser Test- und Validierungsprozesse vor der Bereitstellung von Upgrades. Während Ethereum weiterhin wächst, wird die Aufrechterhaltung der Integrität und Sicherheit seiner Netzwerke entscheidend für seinen Erfolg und das Vertrauen der Nutzer sein.