Ein Fehler im Ethereum-Ausführungsclient Reth konnte bei bestimmten Transaktionen zu einer falschen Berechnung des Blockchain-Zustands führen. Reth, Optimism, Base und Tempo koordinierten rund um den 5. November Korrekturen. Paradigm-CTO Georgios Konstantopoulos erklärte, die Auszahlungssysteme der betroffenen Netzwerke seien nicht beeinträchtigt gewesen; auch Base meldete keine Auswirkungen auf Nutzer. Betreiber der Infrastruktur müssen die Updates dennoch installieren.
Fehler in Reths Berechnung des State Roots
Betroffen ist älterer Reth-Code zur Berechnung des State Roots. In einem Sonderfall bestimmter Smart-Contract-Speicherkonfigurationen konnte es zu einem Fehler kommen. Der State Root ist ein kryptografischer Fingerabdruck des aktuellen Blockchain-Zustands, zu dem unter anderem Kontostände und Vertragsdaten gehören. Berechnen Nodes diesen Wert unterschiedlich, können sie uneinig darüber sein, ob ein Block gültig ist. Das könnte die Transaktionsverarbeitung oder die Synchronisierung des Netzwerks stören.
Laut Konstantopoulos müsste ein Angreifer eine speziell konstruierte Transaktion einreichen, um den Fehler auszulösen. Der betroffene Berechnungspfad kann auf leistungsschwächerer Hardware zum Einsatz kommen, wenn dort Reth-Software für die Blockerstellung läuft. Außerdem betrifft die Schwachstelle Netzwerke auf Basis des Optimism OP Stack. Sie war damit nicht auf die Infrastruktur des Ethereum-Mainnets beschränkt.
Reth, Optimism, Base und Tempo veröffentlichen Korrekturen
Das Entwicklungsteam von Tempo entdeckte den Fehler beim Fuzz-Testing. Dabei wird Software automatisiert mit ungewöhnlichen oder unerwarteten Eingaben geprüft, um Fehler aufzuspüren, die bei routinemäßigen Tests möglicherweise unentdeckt bleiben. Paradigm veröffentlichte Reth 2.10.0, Optimism stellte OP Reth v2.8.1 bereit und Base brachte Version 1.5.3 heraus. Konstantopoulos zufolge hatte auch Tempo die Korrektur abgeschlossen.
Reth stufte das Update für Node-Betreiber als hohe Priorität ein und empfahl auch Block-Buildern, ihre Software zu aktualisieren. Da mehrere Netzwerke dieselbe oder verwandte Ausführungssoftware nutzen, kann ein Fehler in gemeinsam genutztem Code verschiedene Chains betreffen. Die abgestimmten Updates zeigen, dass die Behebung solcher Schwachstellen eine Zusammenarbeit über mehrere Projekte hinweg erfordern kann.
Base prüft State Root, LayerZero setzt einzelne Routen aus
Base erklärte, dass sein Proof-System State Roots mit einer unabhängigen Implementierung überprüft. Das Team berechnete den aktuellen State Root erneut und bestätigte dessen Korrektheit. Nutzer seien nicht betroffen gewesen; auch die Auszahlungssysteme von Base seien von dem Berechnungsfehler unberührt geblieben. Bridges im Base-Ökosystem stützen sich üblicherweise auf Transaktions-Receipt-Roots oder Multisig-Freigaben und nicht auf die von dem Fehler betroffene State-Root-Berechnung.
Base 1.5.3 behebt außerdem ein separates Betriebsproblem, durch das Validatoren bei einem ungültigen State Root stoppen konnten. Node-Betreiber sollten das Update installieren. Ein erneutes Synchronisieren der Nodes oder weitere Wiederherstellungsschritte seien laut Base nicht erforderlich.
Am 5. November teilte Frax Finance mit, dass das Cross-Chain-Messaging-Protokoll LayerZero während der Prüfung der Lage vorübergehend einige Transfer-Routen pausiert habe. Die Vermögenswerte und Smart Contracts von Frax funktionierten demnach normal; die Gelder der Nutzer seien sicher. Die verfügbaren Informationen deuteten nicht darauf hin, dass LayerZero-Bridge-Contracts von dem Reth-Fehler betroffen waren. Die Einschränkung erfolgte vorsorglich, während die Dienste mögliche Risiken im Zusammenhang mit gemeinsam genutzter Infrastruktur bewerteten.
Bestätigte Meldungen über gestohlene Gelder infolge des State-Root-Fehlers lagen nicht vor. Korrekturen sind verfügbar, doch Node-Betreiber verwalten ihre Infrastruktur eigenständig. Daher muss noch bestätigt werden, dass die Updates auf allen betroffenen Systemen installiert sind. Dienste, die vorübergehend Einschränkungen eingeführt haben, müssen zudem prüfen, wann sie den regulären Betrieb wieder aufnehmen.