Ethereum pospone la activación de Glamsterdam en la testnet Hoodi tras alertas de investigadores de seguridad sobre riesgos para contratos existentes

Los desarrolladores cancelaron la activación del lunes después de que ChainSecurity mostrara cómo las nuevas reglas de gas propuestas podrían permitir que los contratos inteligentes registren de forma permanente operaciones fallidas.

Los desarrolladores de Ethereum pospusieron la actualización Glamsterdam en la red de pruebas Hoodi después de que investigadores de seguridad descubrieran que los cambios de contabilidad de gas propuestos podrían alterar la forma en que los contratos inteligentes existentes manejan las transacciones fallidas —en algunos casos, permitiendo que los errores queden registrados de manera permanente en la cadena.

La actualización estaba programada para activarse el lunes 26 de octubre a las 17:42:48 UTC. El retraso se decidió durante la reunión de All Core Devs Execution del jueves, en la que los desarrolladores acordaron investigar primero cómo los cambios propuestos interactúan con los contratos que ya operan en la red principal de Ethereum. No se ha anunciado una fecha de reemplazo para la prueba en Hoodi ni para el aumento planificado del límite de gas a 200 millones, y el calendario de la actualización en la mainnet sigue sin confirmarse.

Hoodi es una de las redes de pruebas públicas de Ethereum —entornos donde las próximas actualizaciones se ejecutan con el mismo software cliente que la mainnet antes de que haya fondos reales en juego. Detectar interacciones no deseadas como esta es precisamente el tipo de problema que existe para este paso de ensayo antes de que un cambio llegue a la red principal.

Lo que encontraron los investigadores

La preocupación se centra en EIP-8037, que cambia la forma en que Ethereum cobra la creación de nuevos registros en su base de datos de estado. La propuesta está diseñada para limitar el crecimiento de esa base de datos a medida que la red aumenta la cantidad de transacciones que puede procesar.

La firma de seguridad ChainSecurity publicó el 13 de octubre un análisis de las propuestas que mostró que el cambio, combinado con EIP-8038, podría alterar cómo responden los contratos cuando otro contrato al que llaman se queda sin gas —el recurso que se usa para pagar a los operadores de la red por la computación.

Algunos contratos inteligentes están diseñados para capturar una operación fallida y continuar el procesamiento. Pueden registrar que un intento falló, deshabilitar intentos adicionales o pasar a otro paso. Los desarrolladores a veces dependen de que el gas restante sea demasiado bajo para que esas acciones terminen, provocando que toda la transacción se revierta.

Glamsterdam cambia ese cálculo. Bajo las reglas propuestas, el gas usado para crear ciertos registros puede restituirse cuando dichos cambios se deshacen. Eso puede dejar a un contrato con suficiente gas para completar una rutina de manejo de errores que antes se habría quedado sin gas y se habría revertido —lo que significa que un error que el desarrollador quería que fuera temporal podría volverse permanente. Como los contratos desplegados generalmente no pueden reescribirse después del hecho, estos cambios de comportamiento deben resolverse en el protocolo mismo y no en el código de la aplicación.

ChainSecurity también identificó un riesgo en la dirección opuesta. Calculó que crear un nuevo espacio de almacenamiento —la unidad básica de los datos en cadena de un contrato— podría requerir 110,020 de gas una vez que se agote una asignación independiente, en comparación con 22,100 bajo las reglas actuales. Un contrato que opere dentro de un presupuesto de gas existente podría, por lo tanto, fallar al ejecutar una operación que de otro modo sería válida.

Los hallazgos conciernen a cómo se comportaría el software existente bajo las reglas propuestas. ChainSecurity ha demostrado los mecanismos, pero no ha establecido públicamente que algún protocolo importante en producción sea explotable. La mainnet de Ethereum no tiene una fecha de activación confirmada para Glamsterdam, y los hallazgos no indican que los contratos existentes estén siendo explotados actualmente mediante los cambios propuestos.

Estado actual de Glamsterdam

Glamsterdam incorpora varios cambios a Ethereum, incluido un nuevo sistema para elegir los constructores de bloques y mejoras destinadas a permitir que la red maneje bloques más grandes. La actualización completó su activación en la testnet Sepolia el 6 de octubre. Hoodi iba a ser el siguiente ensayo público, junto con un aumento planificado del límite de gas de la testnet a 200 millones —un paso que también ha sido pospuesto.

Sin fecha de reemplazo establecida, el calendario ahora depende de la investigación acordada sobre cómo las propuestas interactúan con los contratos desplegados. Cualquier fecha revisada para la activación en Hoodi o para la mainnet se definiría en próximas reuniones de All Core Devs —el mismo espacio donde se decidió el retraso de esta semana.

Este artículo se basa en una nota publicada por primera vez por CoinDesk: Ethereum delays Glamsterdam test after security devs flag risk to existing contracts. El análisis completo de ChainSecurity está disponible aquí.