Ethereum pospone el lanzamiento del testnet Hoodi para Glamsterdam por riesgos de seguridad

Los desarrolladores de Ethereum han retrasado el hard fork de Glamsterdam en el testnet Hoodi después de que investigadores de seguridad señalaran riesgos relacionados con el gas que podrían cambiar cómo los contratos inteligentes existentes manejan las transacciones fallidas.

Los hard forks son cambios en todo el protocolo que requieren que cada nodo de la red adopte las mismas nuevas reglas, y la práctica estándar de Ethereum es ensayarlos en testnets como Sepolia y Hoodi antes de cualquier activación en la mainnet, donde ya hay contratos desplegados y valor real en juego. La Ethereum Foundation (EF) dijo que la actualización, originalmente programada para el 26 de octubre, fue retrasada para que los desarrolladores pudieran investigar cómo ciertas propuestas del fork interactúan con los contratos inteligentes ya desplegados en Ethereum.

La decisión surge de una advertencia del 13 de octubre de la firma de seguridad blockchain ChainSecurity, que encontró que dos propuestas incluidas en Glamsterdam — EIP-8037 y EIP-8038, especificaciones formales conocidas como Ethereum Improvement Proposals — podrían debilitar las protecciones contra una clase de ataque conocida como insufficient gas griefing.

Cronograma de la mainnet en duda

La postergación genera incertidumbre sobre el cronograma de Glamsterdam para la mainnet. Los desarrolladores contemplaban principios de diciembre y planeaban definir una línea de tiempo solo después de pruebas exitosas en Hoodi, lo que convertía la ejecución del testnet en el factor decisivo del cronograma de la mainnet y ahora deja esa fecha abierta.

La actualización ya se había activado en el testnet Sepolia el 6 de octubre, antes del ahora retrasado despliegue en Hoodi.

Cómo los cambios de gas podrían socavar las salvaguardas

Según el análisis de ChainSecurity, las nuevas reglas permitirían que el gas sea devuelto a un contrato después de que una operación falle, dejándolo continuar ejecutándose en casos donde previamente se habría detenido. Los investigadores dijeron que esto podría interferir con las verificaciones de seguridad existentes que dependen de cuánto gas queda disponible durante una transacción.

En los ataques de insufficient gas griefing, un actor malicioso proporciona deliberadamente demasiado poco gas para que una operación legítima de un contrato inteligente se complete. ChainSecurity advirtió que los cambios propuestos en Glamsterdam podrían erosionar las defensas contra tales ataques, potencialmente permitiendo que los contratos registren permanentemente operaciones fallidas. Por ejemplo, un contrato afectado podría eliminar la reclamación de un usuario o deshabilitar la opción de reintentarla, dejando al usuario sin poder completar una operación que de otro modo sería válida.

La firma subrayó que Glamsterdam no haría poco confiables todas las verificaciones de seguridad relacionadas con el gas. Algunas salvaguardas podrían seguir funcionando, pero los desarrolladores tendrían que revisarlas para confirmar que tienen en cuenta las nuevas reglas de gas de la actualización.

Reacción de la comunidad

Los hallazgos generaron preocupación entre los colaboradores de Ethereum. En un comentario del 21 de octubre en GitHub, el investigador de seguridad pseudónimo pcaversaccio calificó los riesgos de "graves" y pidió una reevaluación hard fork.

El viernes, ChainSecurity dijo que había identificado "13 ejemplos del mundo real" y que estaba coordinando una divulgación responsable con los proyectos afectados. La firma no reveló detalles de los ejemplos ni nombró a los proyectos involucrados, pero instó a los desarrolladores a revisar sus contratos lo antes posible.

La advertencia sigue a un aviso previo de la Ethereum Foundation de que el modelo de gas de Glamsterdam podría romper wallets, indexadores y estimadores de gas que dependen de suposiciones fijas.

Con el cronograma de la mainnet atado a una ejecución exitosa de Hoodi, los puntos inmediatos a observar son una nueva fecha de activación de Hoodi, el resultado del proceso de divulgación responsable de ChainSecurity con los proyectos afectados y cualquier guía adicional que se base en el aviso de la EF para wallets, indexadores y estimadores de gas.