Ethereum rinvia il fork del testnet Glamsterdam dopo che ChainSecurity ha segnalato difetti di sicurezza legati al gas
Punti chiave
- •L'upgrade Glamsterdam di Ethereum è stato rinviato sul testnet Hoodi dopo che ChainSecurity ha segnalato rischi legati al gas che potrebbero consentire agli smart contract di registrare permanentemente operazioni destinate a rimanere ripetibili.
- •ChainSecurity ha identificato 13 esempi reali di contratti interessati e sta utilizzando la responsible disclosure per notificare i progetti coinvolti.
- •Le preoccupazioni derivano da EIP-8037 ed EIP-8038, che modificano l'addebito del gas per l'accesso allo stato e consentono di ricaricare il gas dopo chiamate fallite, potenzialmente indebolendo le difese dei contratti contro l'insufficient gas griefing.
- •Gli operatori dei nodi sono stati invitati a tornare a versioni software precedenti o ad attendere che i team dei client, incluso Prysm, pubblichino versioni che rimuovono l'upgrade dal programma di Hoodi.
- •Glamsterdam è già attiva sul testnet Sepolia, e gli sviluppatori avevano puntato a un rilascio sulla mainnet entro la fine del 2026, anche se non è stata fissata una nuova data di attivazione per Hoodi.
Gli sviluppatori di Ethereum hanno rinviato l'attivazione prevista dell'upgrade Glamsterdam sulla rete di test Hoodi dopo che la società di sicurezza ChainSecurity ha individuato problemi nel modo in cui l'upgrade modifica il gas, ha dichiarato giovedì la società di auditing.
L'upgrade sarebbe dovuto andare in rete su Hoodi lunedì. Secondo ChainSecurity, le modifiche potrebbero consentire ad alcuni smart contract di registrare permanentemente operazioni fallite che il loro codice era progettato per mantenere ripetibili.
I testnet pubblici come Hoodi sono ambienti di prova in cui Ethereum attiva gli upgrade pianificati in condizioni reali prima della mainnet, quindi i problemi che emergono in questa fase indicano che il processo di staging funziona come previsto.
"È appena stato deciso di rinviare l'hard fork Glamsterdam sul testnet Hoodi a causa degli impatti sulla sicurezza che abbiamo identificato", ha scritto ChainSecurity, aggiungendo di aver "già trovato 13 esempi reali" ed essere in responsible disclosure con i progetti interessati.
⚠️ It has just been decided to delay the Glamsterdam hard fork on the Hoodi testnet because of security impacts we identified in this blog post: We already found 13 real-world examples and are in responsible disclosure with the affected projects. Please… — ChainSecurity (@chain_security) October 22, 2026
ChainSecurity ha dichiarato di sta contattando i progetti interessati, mentre l'Ethereum Foundation valuta quanti contratti sono esposti. La responsible disclosure è la pratica di segnalare privatamente un difetto ai team interessati affinché possano affrontarlo prima che i dettagli circolino ampiamente.
Gli operatori dei nodi dovrebbero tornare a una versione software precedente senza l'upgrade pianificato, oppure attendere che il proprio team di client di esecuzione rilasci una nuova versione che lo annulla, ha detto la ricercatrice di Ethereum Christine Kim said. Preston Van Loon, sviluppatore del client di consenso Prysm, ha detto che lo stesso giorno seguirà un rilascio di Prysm che rimuove l'upgrade dal programma di Hoodi. Poiché gli hard fork riscrivono le regole della rete e richiedono che ogni nodo esegua software compatibili, sia l'attivazione che il rollback avvengono tramite rilasci coordinati dei client.
Perché le modifiche al gas hanno sollevato preoccupazioni
Il gas è la commissione pagata per il lavoro di calcolo su Ethereum. Glamsterdam modifica il modo in cui la rete addebita la creazione e l'accesso ai dati memorizzati attraverso due proposte, EIP-8037 ed EIP-8038, e introduce un pool separato di gas per la creazione di nuovo stato. Le Ethereum Improvement Proposals, o EIP, sono il formato standard della rete per specificare le modifiche al protocollo.
Secondo l'analisi di ChainSecurity, tali modifiche violano le ipotesi su cui molti contratti si basano quando una chiamata esterna fallisce. Alcuni contratti utilizzano controlli sul gas, o si affidano all'esaurimento del gas della chiamata, per impedire a un attaccante di fornire deliberatamente troppo poco gas, così che un'operazione valida fallisca e venga registrata come fallimento permanente — una tattica nota come insufficient gas griefing.
Sotto Glamsterdam, il gas può essere ricaricato o restituito a un contratto dopo una chiamata fallita, e il repricing può modificare la quantità di gas necessaria a una chiamata, ha rilevato l'azienda. "Anche con codice del contratto invariato, un percorso di fallimento che in precedenza si riinvertiva ora può completarsi", ha scritto.
ChainSecurity ha invitato i progetti a controllare i propri contratti, affermando che l'Ethereum Foundation sta valutando quanti siano quelli interessati.
La strada di Glamsterdam verso la mainnet
Glamsterdam è già attiva su Sepolia, un'altra rete di test di Ethereum, che ha attivato l'upgrade il 6 ottobre e ha iniziato a produrre blocchi con un limite di gas di quasi 200 milioni — oltre tre volte i 60 milioni della mainnet.
L'upgrade aggiunge anche le block-level access list, che consentono ai computer di verificare le transazioni in parallelo, e sposta nelle regole stesse di Ethereum l'asta che decide chi assembla ciascun blocco.
Gli sviluppatori avevano puntato a rilasciare Glamsterdam sulla mainnet entro la fine del 2026, prima di Hegotá, il prossimo upgrade, previsto per il 2027 e che potrebbe aggiungere funzionalità di privacy native.
Non è stata fissata una nuova data per il fork su Hoodi. I prossimi segnali da monitorare sono ulteriori rilasci dei client che ritirano l'upgrade dai programmi dei testnet, il conteggio dell'Foundation sui contratti esposti e un'eventuale riprogrammazione dell'attivazione su Hoodi.
