مطورو Ethereum (ETH) يدمجون إصلاح قاعدة الإيداع قبل ترقية Glamsterdam

إعادة صياغة قواعد الإيداع قبل Glamsterdam

أصبحت فرق تطوير العملاء العاملة على الترقية القادمة لشبكة Ethereum (ETH) أمامها الآن مجموعة منقحة من قواعد الإيداع لتضمينها في برمجياتها، بعد أن دمج المطورون ترقيعًا برمجيًا يسد ثغرة سرقة أموال داخل Glamsterdam، الترقية الكبرى القادمة للشبكة. دخلت التعديلات موضع التنفيذ يوم الاثنين في مواصفات الإجماع عبر طلب سحب يعيد كتابة آلية ترتيب الإيداعات المعلقة. وبموجب القواعد الجديدة، لن يعود بوسع مشغّل سحب الأموال التي يحوّلها خدمة إصلاح لتشغيل مدقق إذا كان قد سجّل المعرف نفسه بصفة صانع كتل. تكمن الثغرة في الطريقة التي كانت Glamsterdam تنوي بها معالجة الإيداعات التي تنتظر قيد رصيدها. كان بإمكان مشغّل أن يسجّل أولًا كصانع كتل باستخدام مفتاح عام معين، وهو المعرف المرتبط بالمدقق أو بصانع الكتل على حد سواء. ثم إذا حوّلت خدمة إصلاح عملة ETH لتفعيل مدقق تحت المفتاح ذاته، فإن مسودة القواعد كانت ستقيد الوديعين معًا باسم صانع الكتل، الذي يستطيع بعدها سحب أموال البروتوكول. لن يُنشأ مدقق أصلًا في هذه الحالة، ما يحرم خدمة الإصلاح من إمكانية تقديم الإثبات الذي تحتاجه لاسترداد أموالها. ويعتمد الترقيع على فرز الإيداعات المعلقة وفق بيانات اعتماد السحب، وهو الإعداد الذي يحدد المكان الذي يمكن أن تنتهي إليه أموال الإيداع في نهاية المطاف، فتبقى إيداعات المدققين ملكًا للمدققين حتى لو كان صانع كتل يستخدم المفتاح نفسه. صارت القواعد المصححة اليوم جزءًا من المواصفات المرجعية التي تلتزم بها جميع برامج العملاء. وتجدر التنويه إلى أن هذا الخطر لم يمسّ إطلاقًا سعر Ethereum (ETH) ولا أرصدة الإصلاح المودعة قائمًا: فالموضوع يخص إيداعات كانت تُعالج وفق مسودة القواعد، ولم تُسجل أي خسائر حتى الآن.

يرجع قرار التصميم الذي فتح الباب لهذه الثغرة إلى جوهر ترقية Glamsterdam ذاتها، إذ تفصل الترقية بين مهمتين تجتمعان اليوم في دور واحد: صانعو الكتل يجمعون كتل المعاملات، بينما يتولى المدققون، الذين يودعون Ethereum (ETH) لتعزيز أمن الشبكة وفق إثبات الحصة، اختيار هذه الكتل وتأكيدها. ويجوز للطرفين إيداع ETH، مع تتبع الأموال على نحو منفصل لكل منهم، وهو ما يحمي مزودي خدمات الإصلاح السائل ومودعيه من فقدان أصولهم. وقد وُضحت سيناريو الهجوم في ملاحظة على مستودع مواصفات الإجماع نشرها الباحث avsetsin، الذي فحص أيضًا مدى تأثر بروتوكولات Lido وOrigin وRocket Pool. وتباينت درجة التعرض بحسب الطريقة التي تدير بها كل منصة إيداعاتها. وavsetsin، المدرج كعضو في منظمة Lido على GitHub، أوصاف النتائج بأنها استنتاجات من كود مشروط لا عمليات استغلال مؤكدة على الشبكة الحية، مضيفًا أن فحوصًا قائمة ترفض وديعة صانع كتل سابقة قد تحول دون الهجوم عمليًا. وجاءت خلاصة الباحث للحالة الأساسية بلا مجاملة: "يمكن للمشغّل سحب أموال البروتوكول". وسلك الترقيع طريقًا متعرجًا قبل الدمج؛ إذ أغلق المطورون الإصلاح المقترح في 19 أكتوبر، بعد أن كتب Justin Traglia، المسؤول عن صيانة مواصفات إجماع Ethereum (ETH)، حينها أن دعم فرق العملاء للتغيير كان غير كافٍ. والعملاء هي برامج مستقلة تشغلها عقد المدقق للمشاركة في الشبكة. ثم أعيد فتح طلب السحب بعد مراجعة إضافية، وأضاف avsetsin اختبارات في 23 أكتوبر، قبل أن يدمج Traglia التعديل يوم الاثنين، أي بعد أسبوع واحد من الرفض الأول.

عمل فرق العملاء وتأجيل شبكة Hoodi

طريقة وصول هذا الإصلاح لا تقل أهمية عن مضمونه. سبق أن جرت ترقية Glamsterdam على شبكة الاختبار Sepolia، غير أن إطلاقها في 26 أكتوبر على Hoodi، وهي شبكة اختبار ثانية، تأجل. ودخلت تغييرات الإيداع في المواصفات في اليوم ذاته، وهو ما يوحي بأن المطورين استغلوا التأجيل لإنجاز الإصلاح قبل أي تجربة عامة جديدة بدلاً من إطلاق الترقية وهي تحمل عيبًا معلومًا في قيد الإيداعات. ويبقى العمل التنفيذي هو المعركة القادمة: فالدمج في مواصفات الإجماع يحدد الهدف المرجعي، لكن فرق العملاء مطالبة ببناء قاعدة الفرز الجديدة داخل برمجياتها قبل أن يجري الحديث عن موعد لتفعيل الترقية على الشبكة الرئيسية. وإلى أن تتضمن إصدارات العملاء معالجة الإيداع المنقحة، يبقى الجدول الزمني لـGlamsterdam بيد مطوري هؤلاء العملاء، وستوفر لهم Hoodi، حال إعادة جدولتها، شبكة كاملة للتدرب على التغيير قبل الوصول إلى الشبكة الرئيسية.