Los desarrolladores de Ethereum han pospuesto el hard fork de Glamsterdam en el testnet Hoodi después de que investigadores de seguridad señalaran riesgos relacionados con el gas que podrían afectar cómo los contratos inteligentes existentes manejan las transacciones fallidas.

La Ethereum Foundation (EF) dijo que la actualización, originalmente programada para el 26 de octubre, se retrasará para que los desarrolladores puedan investigar cómo algunas de sus propuestas interactúan con los contratos inteligentes ya desplegados en Ethereum. Los contratos inteligentes son generalmente inmutables una vez desplegados, razón por la cual Ethereum realiza las bifurcaciones —cambios de reglas en toda la red— en testnets públicos como Hoodi antes de programar cualquier activación en mainnet.

La decisión sigue a una advertencia del 13 de octubre de la firma de seguridad blockchain ChainSecurity, que dijo que dos propuestas incluidas en Glamsterdam, EIP-8037 y EIP-8038, podrían debilitar las salvaguardas contra un tipo de ataque conocido como insufficient gas griefing. Las EIP —Ethereum Improvement Proposals— son las especificaciones formales a través de las cuales se proponen y adoptan cambios en las reglas de la red.

La postponencia también nubla el cronograma de mainnet de Glamsterdam. Los desarrolladores habían estado considerando un lanzamiento a principios de diciembre, con planes de finalizar un calendario solo después de pruebas exitosas en Hoodi.

Los cambios en las reglas del gas podrían socavar las salvaguardas existentes

En su análisis, ChainSecurity dijo que bajo las nuevas reglas, el gas podría ser devuelto a un contrato después de que una operación falle, permitiendo que continúe ejecutándose donde antes se habría detenido. Los investigadores dijeron que los cambios podrían interferir con las comprobaciones de seguridad existentes que dependen de cuánto gas queda disponible durante una transacción. El gas es la unidad de cómputo que los usuarios pagan en Ethereum, razón por la cual los cambios en sus reglas de contabilidad pueden afectar herramientas y contratos mucho más allá de las dos propuestas mismas.

En los ataques de insufficient gas griefing, un llamador malicioso proporciona deliberadamente muy poco gas para que una operación legítima de contrato inteligente se complete —una forma de griefing, una clase de ataque dirigida a perturbar un sistema en lugar de robarle directamente. ChainSecurity advirtió que los cambios propuestos en Glamsterdam podrían socavar las defensas contra tales ataques, potencialmente permitiendo que los contratos registren permanentemente operaciones fallidas. Un contrato afectado podría, por ejemplo, eliminar la reclamación de un usuario o deshabilitar la opción de reintentarla, dejando al usuario incapaz de completar una operación que de otro modo sería válida.

ChainSecurity señaló que Glamsterdam no haría poco confiables todas las comprobaciones de seguridad relacionadas con el gas. Algunas salvaguardas podrían seguir funcionando, pero los desarrolladores necesitarían revisarlas para asegurar que tengan en cuenta las nuevas reglas de gas de la actualización.

Los hallazgos generaron preocupación entre los contribuyentes de Ethereum. En un comentario del 21 de octubre en GitHub, el investigador de seguridad seudónimo pcaversaccio describió los riesgos como "graves" y pidió una reevaluación del hard fork.

El viernes, ChainSecurity dijo en una publicación en X que había identificado "13 ejemplos del mundo real" y estaba coordinando una divulgación responsable con los proyectos afectados. La firma no divulgó detalles de los ejemplos ni nombró los proyectos involucrados, pero instó a los desarrolladores a revisar sus contratos lo antes posible.

El retraso sigue a unaencia anterior de la Ethereum Foundation de que el modelo de gas de Glamsterdam podría romper wallets, indexadores y estimadores de gas que dependen de suposiciones fijas. La actualización fue activada previamente en el testnet Sepolia el 6 de octubre, antes de su ahora pospuesto despliegue en Hoodi. No se ha anunciado una fecha de reemplazo para la bifurcación de Hoodi y, con el calendario de mainnet condicionado a una ejecución exitosa en Hoodi, los indicadores a corto plazo para Glamsterdam son el cronograma revisado del testnet y nuevos resultados de la divulgación coordinada de ChainSecurity.