.jpeg)
Il recente aggiornamento Pectra sulla testnet Sepolia ha incontrato problemi significativi a causa di un attaccante sconosciuto che ha sfruttato una vulnerabilità. Questo incidente ha sollevato preoccupazioni tra gli sviluppatori di Ethereum riguardo alla sicurezza del processo di aggiornamento e le implicazioni per i futuri sviluppi.
Punti Chiave
-
L'aggiornamento Pectra è stato lanciato il 5 marzo 2025 alle 7:29 AM.
-
Un attaccante ha sfruttato un caso limite, portando alla creazione di blocchi vuoti.
-
Gli sviluppatori hanno implementato una correzione privata per mitigare il problema senza pubblicizzarla.
-
L'incidente è stato isolato alla testnet Sepolia, senza influenzare il mainnet.
Panoramica dell'Incidente
Il 5 marzo 2025, il team di sviluppo di Ethereum ha lanciato l'aggiornamento Pectra sulla testnet Sepolia. Tuttavia, solo pochi giorni dopo, lo sviluppatore Marius van der Wijden ha segnalato che l'aggiornamento era afflitto da errori, principalmente a causa del contratto di deposito che attivava eventi errati. Questo ha portato alla creazione di blocchi vuoti, che ha gravemente interrotto la funzionalità della rete.
L'errore iniziale è stato ricondotto al contratto di deposito, che ha erroneamente attivato un evento di trasferimento invece di un evento di deposito. Questa misconfigurazione ha permesso a un attaccante sconosciuto di sfruttare la situazione inviando un trasferimento di zero token all'indirizzo di deposito, causando la ricorrenza dello stesso errore.
Dettagli dell'Attacco
-
Metodo di Sfruttamento: L'attaccante ha utilizzato lo standard ERC-20, che consente trasferimenti di zero token, per inviare transazioni da un account appena finanziato.
-
Impatto: L'attacco ha portato alla creazione di un numero significativo di blocchi vuoti, ostacolando le prestazioni della rete.
-
Risposta degli Sviluppatori: Il team inizialmente sospettava un errore da parte di validatori fidati, ma ha rapidamente identificato l'origine della transazione come un account esterno.
Misure di Mitigazione
In risposta all'attacco, il team di sviluppo ha preso misure immediate:
-
Implementazione di una Correzione Privata: È stata creata una correzione per filtrare le transazioni che interagiscono con il contratto di deposito. Questa correzione è stata distribuita a un numero selezionato di nodi DevOps per prevenire ulteriori sfruttamenti.
-
Aggiornamenti Controllati: Gli sviluppatori hanno scelto di non pubblicizzare la correzione, sospettando che l'attaccante potesse monitorare le loro comunicazioni. Invece, hanno aggiornato solo i nodi che controllavano per stabilizzare la rete.
-
Risoluzione di Successo: Entro le 14:00 dello stesso giorno, tutti i nodi erano stati aggiornati e la transazione problematica era stata minata con successo, ripristinando le normali operazioni.
Implicazioni Future
Nonostante le sfide affrontate durante l'aggiornamento Pectra, il team di Ethereum ha confermato che il mainnet è rimasto immune e la finalizzazione non è mai stata persa durante l'incidente. Tuttavia, gli sviluppatori hanno deciso di posticipare l'aggiornamento Pectra fino a quando non sarà possibile condurre ulteriori test per garantire la robustezza del sistema.
Questo incidente evidenzia le sfide di sicurezza in corso all'interno della tecnologia blockchain e l'importanza di processi rigorosi di test e validazione prima di implementare aggiornamenti. Man mano che Ethereum continua a evolversi, mantenere l'integrità e la sicurezza delle sue reti sarà fondamentale per il suo successo e la fiducia degli utenti.