Arbitrum временно остановила новые активации контрактов Stylus в сетях Arbitrum One и Nova после того, как инструменты разработки с поддержкой ИИ снизили барьер для создания атак против вручную написанных программ WebAssembly. Экстренная мера блокирует активацию новых контрактов Stylus, но не останавливает работу существующих контрактов и не мешает пользователям взаимодействовать с приложениями, уже развернутыми в этих сетях.

Совет безопасности Arbitrum — орган экстренного реагирования, уполномоченный в рамках системы управления ArbitrumDAO действовать по вопросам безопасности — завершил экстренное действие в 11:30 EST 2 октября 2026 года. Наряду с паузой в рамках реагирования была введена дополнительная защита механизма одношагового доказательства Arbitrum One под BoLD — системы, используемой для валидации состояния сети до его фиксации в Ethereum.

Цель вмешательства — не допустить попадания новых написанных вручную программ WASM в сеть, пока Arbitrum исследует уязвимости, способные повлиять на доступность сети, не нарушая при этом работу существующих приложений Stylus или разработку на Solidity.

Инструменты ИИ и сценарий атаки

Stylus позволяет разработчикам писать смарт-контракты как программы WebAssembly, а не полагаться исключительно на путь исполнения Ethereum Virtual Machine. WebAssembly — открытый стандарт, созданный для быстрого изолированного исполнения в веб-браузерах, который впоследствии был принят в качестве формата исполнения смарт-контрактов и на других крупных блокчейн-платформах. Большинство контрактов Stylus проходят через компиляторные инструменты платформы, однако сценарий атаки, выявленный Arbitrum, предполагал вручную созданный код WASM, способный обойти этот набор инструментов.

По данным Arbitrum Foundation, инструменты с поддержкой ИИ повысили возможность создавать более сложные программы, способные демонстрировать непредвиденное поведение. Выявленные программы потенциально могут снижать производительность сети и затрагивать других пользователей. Arbitrum не выявила ни одной атаки, которая позволила бы похитить средства пользователей.

Существующие контракты Stylus остаются активными

Ограничение касается активации, а не. Существующие контракты Stylus продолжат работать до истечения их срока действия, и пользователи могут продолжать их вызывать. Разработчики также могут продлевать активные контракты через существующий бесправный механизм keepalive.

Это различие означает, что приложения, уже работающие в Arbitrum, не отключаются в рамках экстренной меры. Их активность в сети может продолжаться, хотя новые развертывания Stylus в настоящее время не могут быть активированы.

Обновление ArbOS 61 продлило срок действия каждого активного контракта Stylus в Arbitrum One, гарантировав, что ни один из них не истечет до 20 августа 2027 года. Однако реактивация контракта после истечения срока или развертывание обновленной версии, требующей новой активации, по-прежнему подпадает под паузу.

Разработка на Solidity не затронута. Разработчики могут продолжать развертывание и исполнение контрактов Solidity через EVM в обычном режиме.

Конфигурация газа делает новые активации нецелесообразными

Arbitrum реализовала ограничение путем изменения конфигурации, а не выпуска нового программного обеспечения сети. Совет безопасности вызвал ArbOwner.setWasmActivationGas на каждой затронутой сети и установил требование к активации на уровне 2^64 – 1 — максимального значения, которое может вместить 64-битное беззнаковое целое число.

Данная конфигурация делает новые активации Stylus экономически нецелесообразными, сохраняя при этом полную работоспособность базовой инфраструктуры исполнения и уже активных контрактов. Такой подход позволил Arbitrum ограничить уязвимую точку входа без обновления ArbOS или отдельного внешнего аудита самого изменения активации.

Механизм активации остается технически доступным, однако требуемый уровень газа выводит его за пределы практического применения. Восстановление нормальной активации Stylus потребует еще одного решения по конфигурации, и Arbitrum не объявила, когда это произойдет.

Дополнительная защита для BoLD

Экстренные меры также затронули систему одношагового доказательства Arbitrum One под BoLD. Arbitrum One рассчитывается с Ethereum на основе модели валидации через оспаривание, в которой размещенные заявления о состоянии могут быть оспорены до их окончательного подтверждения, а одношаговое доказательство предназначено для разрешения таких споров путем прямой проверки одного шага исполнения, а не через последовательные раунды встречных заявлений. Недавно развернутый OspSoundnessGuard может получать два противоречащих друг другу ответа по одному и тому же шагу в открытом оспаривании. Если система доказательств принимает оба ответа, защита может приостановить расчет между Arbitrum One и Ethereum, временно не позволяя сети финализировать свое состояние в Ethereum до разрешения конфликта доказательств.

Защита спроектирована с ограниченными полномочиями. Новый контракт PauseExecutor может приостановить работу защиты, но не имеет более широких полномочий. По информации Foundation, контракты защиты прошли внешний аудит.

Arbitrum охарактеризовала меру как превентивную. Foundation не указывала, что проблема одношагового доказательства была использована против производственной сети.

Временное ограничение развертывания для разработчиков

Для разработчиков непосредственное влияние сосредоточено на новых активациях Stylus. Существующие контракты Stylus могут продолжать работать и продлеваться, тогда как новые версии, требующие активации, должны ждать. Приложения EVM и Solidity не затронуты.

Пауза создает временный компромисс: разработчики должны отложить новые развертывания Stylus, пока Arbitrum исследует поверхность атаки, а пользователи существующих приложений могут продолжать пользоваться активными контрактами без необходимости выводить средства.

Ожидается, что Arbitrum будет работать с ArbitrumDAO над сроками и порядком восстановления активаций Stylus. Дата завершения не объявлена, и Foundation раскрыла, сколько контрактов или проектов непосредственно затронуто.

Инцидент подчеркивает растущую проблему безопасности в разработке блокчейнов по мере того, как инструменты программирования с поддержкой ИИ делают создание сложных атак более доступным. Для Arbitrum реагирование узко сосредоточено на доступности сети и целостности процесса расчетов, а не на признаках прямой угрозы средствам пользователей.