Разработчики Ethereum устранили уязвимость в предстоящем обновлении Glamsterdam, которая могла позволить злоумышленнику похитить ETH, предназначенные сервисами стейкинга для новых валидаторов.
Исправление, которое <a href="https://github.com/ethereum/consensus-specs/pull/5736" rel="noopener noreferrer nofollow">изменили правила обработки депозитов валидаторов</a>, был объединён в понедельник, через неделю после того, как разработчики отклонили его.
Glamsterdam разделяет две функции, которые сегодня объединены в одну. Создатели транзакций группируют их в блоки, а валидаторы, которые ставят ETH для обеспечения безопасности сети, выбирают и подтверждают эти блоки. Оба могут вносить ETH, и их средства должны учитываться отдельно.
<h2 id="strong-strong">Как деньги могут исчезнуть</h2>
Проблема возникла во время самого обновления, когда Ethereum обрабатывал депозиты, которые все еще ожидали зачисления.
<a href="https://github.com/ethereum/consensus-specs/issues/5735" rel="noopener noreferrer nofollow">Исследователь Авсетсин выявил сценарий</a> в котором оператор сначала регистрируется в качестве билдера, используя определённый публичный ключ — идентификатор, связанный с валидатором или билдером. Если сервис стекинга затем депонирует ETH для запуска валидатора под этим ключом, проект правил начислит оба депозита билдеру.
«Оператор может вывести средства протокола», — написал Авсетсин. Ни один валидатор не создаётся, поэтому сервис стейкинга не может предоставить доказательства, необходимые для возврата своих средств.
Avsetsin, указанный в списке участников организации Lido на GitHub, провёл исследование того, как Lido, Origin и Rocket Pool могут быть затронуты, что исследователь назвал «быстрым AI-исследованием». Результаты зависели от того, как каждый протокол обрабатывает депозиты.
«Это условные находки в коде, а не подтвержденные вживую эксплойты», — написал avsetsin, добавив, что существующие проверки, отклоняющие более ранний депозит билдера, могут остановить атаку. Потерь не зафиксировано.
<h2 id="strong-strong">Отклонено, затем объединено</h2>
Разработчики <a href="https://github.com/ethereum/consensus-specs/pull/5736" rel="noopener noreferrer nofollow">закрыл предложенное исправление 19 октября</a>. «На данный момент не было достаточной поддержки со стороны клиентов для внесения этих изменений», — написал Джастин Траглия, который поддерживает спецификации консенсуса Ethereum. Клиенты — это отдельные программные продукты, которые валидаторы используют для участия в работе сети.
Исправление было вновь открыто после дополнительного рассмотрения, avsetsin добавил тесты 23 октября, а Traglia объединил их в понедельник.
В соответствии с новыми правилами, ожидающие депозиты сортируются по их учетным данным для вывода средств — параметру, указывающему, куда в конечном итоге могут быть направлены деньги депозита. Депозиты валидаторов остаются у валидаторов, даже если строитель использует тот же ключ.
Изменение теперь является частью спецификаций консенсуса Ethereum, и командам клиентов всё ещё предстоит интегрировать его в своё программное обеспечение. Glamsterdam уже был запущен в тестовой сети Sepolia, но его старт 26 октября в Hoodi, второй тестовой сети, был отложен.
Для Glamsterdam необходима новая дата Hoodi, прежде чем можно будет назначить запуск основной сети.
Читать далее: <a href="https://www.coindesk.com/tech/2026/10/23/ethereum-delays-glamsterdam-test-after-security-devs-flag-risk-to-existing-contracts" rel="noopener noreferrer nofollow">Ethereum откладывает тестирование Glamsterdam после того, как специалисты по безопасности выявили риски для существующих контрактов</a>
<a href="https://coindesk.com/ru/tech/2026/10/27/ethereum-fixes-glamsterdam-bug-that-could-have-sent-staking-deposits-to-builders" rel="noopener noreferrer nofollow">Bekijk dit artikel op CoinDesk</a>

Ethereum устраняет уязвимость Glamsterdam, которая могла направлять депозиты стейкинга строителям

Содержание

CoinDesk Русский

Подпишитесь на нашу бесплатную рассылку и получайте новости криптовалют каждый день.