BNB Chain a publié un correctif d'urgence pour son client d'exécution BSC-Reth, afin de corriger un bug dans le processus de calcul de state-root hérité du logiciel. La mise à jour, BSC-Reth v0.1.4-hotfix, a été publiée dans une release GitHub le 6 novembre et est recommandée pour les opérateurs exploitant des infrastructures mainnet et testnet, selon le rapport de coinpaper.

Les clients d'exécution sont les programmes logiciels que les nœuds exécutent pour traiter les transactions et maintenir l'état de la chaîne, et BSC-Reth est l'implémentation par BNB Chain du client d'exécution Reth. Étant donné que les clients spécifiques à chaque réseau héritent du code de ce projet upstream commun, les corrections apportées au codebase commun se répercutent dans les releases de chaque réseau — et, comme le montre cet incident, les bugs aussi.

L'erreur de calcul de state-root

Le problème provient du chemin de calcul de state-root hérité du client d'exécution Reth. Dans des conditions spécifiques impliquant des structures de données de la blockchain, le logiciel pouvait générer un state-root incorrect.

Un state-root est une représentation cryptographique de l'état actuel d'une blockchain, englobant des données telles que les soldes des comptes et le stockage des smart contracts. Les nœuds s'appuient sur ces calculs pour vérifier que les transactions ont été traitées de manière cohérente sur l'ensemble du réseau.

Si un nœud calcule un state-root incorrect, il peut rejeter des blocs par ailleurs valides ou produire un résultat différent des autres infrastructures du réseau. De telles incohérences peuvent affecter la fiabilité de la vérification de la blockchain.

Ce que change le hotfix

BSC-Reth v0.1.4-hotfix intègre une correction upstream du projet de développement Reth. Selon les notes de version, le changement cible spécifiquement les problèmes liés aux calculs incrémentaux de state-root.

La mise à jour concerne les validateurs, les constructeurs de valeur extractable maximale (MEV), les opérateurs de nœuds complets et les opérateurs sentry. Les opérateurs concernés doivent installer la nouvelle version du logiciel et redémarrer leurs nœuds. La mise à niveau ne nécessite pas de migration de base de données ni de hard fork supplémentaire, ce qui maintient le déploiement dans un cycle habituel d'installation et de redémarrage plutôt qu'un changement de protocole coordonné.

Base a également corrigé la vulnérabilité Reth

Le problème logiciel sous-jacent ne se limitait pas à BNB Chain. D'autres réseaux compatibles Ethereum utilisant des implémentations Reth affectées devaient également évaluer leur exposition.

Base, soutenue par Coinbase, a confirmé que ses développeurs avaient identifié et résolu la vulnérabilité. Le réseau a déployé un client d'exécution mis à jour après avoir examiné l'impact potentiel et n'a signalé aucune perturbation des opérations réseau ni des fonds des utilisateurs.

Ce développement est particulièrement pertinent pour Base, car le réseau avait précédemment étendu son utilisation d'infrastructures basées sur Reth grâce à la mise à niveau Azul.

BNB Chain a également précisé que son réseau opBNB n'est pas affecté, car il n'utilise pas le client vulnérable op-reth. Sur ces réseaux, l'exposition dépendait du client d'exécution utilisé par chaque chaîne, montrant comment un code upstream partagé peut relier des écosystèmes par ailleurs indépendants.

Le problème nouvellement corrigé est distinct des vulnérabilités historiques de ponts ayant nécessité une intervention d'urgence sur le réseau. Aucune exploitation confirmée, perte de fonds clients ni arrêt à l'échelle du BSC n'a été attribué au bug de calcul de state-root.

Le hard fork Jenner reste prévu pour décembre

Cette publication logicielle d'urgence intervient alors que BNB Smart Chain se prépare pour sa prochaine mise à niveau de protocole planifiée, le hard fork Jenner. Une version antérieure de BSC-Reth v0.1.4 avait programmé le hard fork pour le 8 décembre 2026 à 02h30 UTC.

Contrairement au hotfix du 6 novembre, Jenner implique des changements de protocole planifiés qui exigeront que les opérateurs de mainnet exécutent un logiciel compatible. La distinction est importante : le dernier correctif corrige un problème de calcul logiciel sans introduire de nouvelles règles de réseau, tandis que la mise à niveau Jenner est un changement de protocole programmé. Pour les opérateurs de nœuds, la séquence pratique comprend deux points de contrôle distincts — appliquer le v0.1.4-hotfix maintenant, puis s'assurer de la compatibilité du client pour l'activation programmée du fork en décembre.

Les incidents de sécurité précédents impliquant BNB Chain et des exploits inter-chaînes ont démontré les différents risques associés aux applications blockchain, aux ponts et aux infrastructures réseau sous-jacentes. Le dernier hotfix corrige un problème d'exactitude logicielle, et aucun impact confirmé sur les fonds des utilisateurs n'a été signalé dans le matériel source.

Source : coinpaper | Reportage original : Ethan Collins, Hokanews