Les développeurs d'Ethereum ont reporté la mise à jour « Glamsterdam » sur le testnet Hoodi après que des chercheurs en sécurité ont découvert une faille susceptible de transformer des défaillances temporaires des contrats intelligents en pertes définitives de fonctionnalité. Chainsecurity a identifié 13 contrats déployés présentant un comportement potentiellement vulnérable. L'activation prévue le 26 octobre a été annulée, remettant en question la fenêtre provisoire prévue en décembre pour la mise à jour du réseau principal d'Ethereum, le temps que les développeurs mènent leur enquête.
Ethereum reporte les tests de Glamsterdam après l'alerte sur 13 contrats
ÉCRIT PAR
PARTAGER
Points clés
- Les développeurs d’Ethereum ont annulé l’activation de Glamsterdam sur Hoodi prévue le 26 octobre en raison de problèmes de sécurité.
- Chainsecurity, une société suisse spécialisée dans la cybersécurité des blockchains et l’audit des contrats intelligents, a identifié 13 contrats déployés présentant une vulnérabilité pouvant entraîner des états de défaillance potentiellement permanents.
- Le lancement provisoire d’Ethereum prévu en décembre est incertain, mais les utilisateurs du réseau principal n’ont aucune mesure à prendre.
Ethereum reporte les tests de Glamsterdam après que des failles de sécurité ont menacé des contrats
La prochaine mise à jour majeure d’Ethereum s’est heurtée à un obstacle inattendu. Des chercheurs en sécurité ont découvert que les modifications proposées concernant la manière dont la blockchain facture les frais de transaction peuvent entraîner l’enregistrement permanent, par certains contrats intelligents, d’erreurs qui auraient auparavant été réversibles.
Chainsecurity a identifié 13 contrats déployés présentant un comportement potentiellement dangereux, ce qui a poussé les développeurs à annuler l’activation de Glamsterdam prévue le 26 octobre sur le réseau de test Hoodi. Cette découverte menace une mise à niveau ambitieuse destinée à rendre Ethereum plus rapide et plus efficace, dont le lancement provisoire prévu en décembre est désormais incertain.
Une découverte en matière de sécurité oblige Ethereum à revoir ses plans
Lors de la réunion « All Core Developers Execution » du 22 octobre, les développeurs ont convenu de reporter les tests après avoir examiné les conclusions concernant deux propositions, EIP-8037 et EIP-8038. Ces modifications changent la façon dont le protocole Ethereum calcule le « gas », le mécanisme de frais qui détermine la quantité de travail de calcul qu’une transaction peut effectuer.
Chainsecurity a constaté que certaines opérations pouvaient, de manière inattendue, restituer à une transaction du « gas » déjà consommé. Ce comportement, en apparence utile, pose un grave problème aux contrats intelligents conçus en fonction des limites de dépenses existantes.
Quand une transaction échouée devient définitive
Certains contrats intelligents interrompent délibérément une opération lorsque le gaz restant est insuffisant, permettant ainsi aux utilisateurs de réessayer plus tard. Or, selon les règles proposées, une opération ayant échoué pourrait laisser suffisamment de gaz pour que le contrat environnant termine l’enregistrement de l’échec. Cela peut désactiver définitivement une option de nouvelle tentative ou priver un utilisateur de la possibilité de réclamer des fonds.
Il ne serait pas nécessairement nécessaire de modifier le code du contrat pour que le problème apparaisse. Les chercheurs n’ont pas encore identifié publiquement les 13 contrats concernés, la procédure de divulgation responsable se poursuivant.
La fenêtre de mise à jour de décembre fait face à des incertitudes
Glamsterdam combine des améliorations destinées à augmenter la capacité de traitement d’Ethereum et à rendre la validation des blocs plus efficace. Des tests préliminaires sur Sepolia ont abouti le 6 octobre, les blocs fonctionnant avec une limite de gaz avoisinant les 200 millions, soit plus de trois fois celle du réseau principal d’Ethereum (environ 60 millions).
Les opérateurs de Hoodi doivent désormais installer les versions mises à jour des logiciels d’exécution et de consensus avant l’activation annulée. Les utilisateurs réguliers d’Ethereum n’ont aucune action à entreprendre. La Fondation Ethereum n’a pas annoncé de nouvelle date de test ni confirmé le lancement sur le réseau principal. Les développeurs doivent désormais déterminer si les modifications destinées à améliorer les performances du réseau peuvent coexister en toute sécurité avec les contrats fonctionnant déjà selon les anciennes règles.
Bitcoin Core repense son approche des failles de sécurité, l'intelligence artificielle permettant de détecter beaucoup plus facilement certaines failles logicielles.
Lire: Bitcoin Core modifie sa sécurité, l’IA aidant à détecter les failles
Cet article a été traduit de l'anglais à l'aide de l'IA. La version originale en anglais fait foi ; les traductions automatiques peuvent contenir des inexactitudes, en particulier dans la terminologie juridique et réglementaire.
