BNB Chain y Base han emitido actualizaciones de seguridad después de que un error en el cliente de ejecución de Ethereum Reth generara preocupaciones sobre cálculos incorrectos del estado de la cadena de bloques en varias redes compatibles con Ethereum.
Resumen
- BNB Chain reconoció un riesgo de seguridad que afecta al cliente de ejecución Reth, pero afirmó que opBNB no utiliza op-reth y que el impacto en BSC-Reth sigue siendo limitado.
- Base confirmó que identificó y resolvió el error de Reth tras descubrir el problema el 4 de noviembre, sin interrupciones en las operaciones de la red ni impacto en los usuarios.
- La vulnerabilidad podría provocar que los nodos afectados calculen raíces de estado de la cadena de bloques incorrectas, lo que podría generar problemas con la sincronización de la red y la verificación del estado.
- Base lanzó la versión 1.5.3 y aconsejó a los operadores de nodos que actualizaran, mientras que BNB Chain dijo que sus desarrolladores estaban preparando un hotfix y monitoreando la situación.
En un aviso del 6 de noviembre, BNB Chain reconoció el riesgo de seguridad que afecta a Reth, pero afirmó que su red opBNB no utiliza op-reth, mientras que el impacto en BSC-Reth sigue siendo limitado.
El equipo dijo que estaba preparando un hotfix y monitoreando de cerca la situación para proteger la seguridad de la red. Se informó a los desarrolladores y usuarios que no se requería ninguna acción en el momento del anuncio.
Base, por su parte, confirmó que había resuelto el problema el 5 de noviembre, después de identificar la vulnerabilidad un día antes. La red de capa 2 respaldada por Coinbase dijo que sus operaciones no se interrumpieron y que los fondos de los usuarios no se vieron afectados.
El problema concierne a cómo ciertas versiones de Reth calculan la raíz de estado de una cadena de bloques, un valor criptográfico que representa el estado actual de las cuentas, los saldos y el almacenamiento de los contratos inteligentes.
Un cálculo incorrecto podría provocar que los nodos afectados discrepen del estado real de la red, lo que podría interrumpir la sincronización o producir pruebas de estado poco fiables utilizadas por las aplicaciones.
Base lanza un parche tras confirmar el estado de la cadena de bloques
Según una actualización oficial de estado, Base descubrió el 4 de noviembre que el error de Reth podría provocar que los nodos calcularan una raíz de estado incorrecta en determinadas condiciones.
Debido a que Base utiliza Reth como parte de su infraestructura de ejecución, sus desarrolladores aplicaron la mitigación y parchearon todos los nodos constructores de bloques el mismo día.
El equipo recalculó posteriormente la raíz de estado de la red y confirmó que coincidía con el valor correcto.
Base explicó que su sistema de pruebas verifica de forma independiente cada raíz de estado, lo que proporciona otro mecanismo para detectar inconsistencias en los cálculos de la cadena de bloques.
“Hemos verificado que la raíz de estado actual es correcta y que los usuarios no se vieron afectados”, dijo el equipo.
Se lanzó una actualización de software, la versión 1.5.3, para evitar que los validadores de Base se detengan al encontrar raíces de estado no válidas.
Se aconsejó a los operadores de nodos que instalaran la actualización lo antes posible, aunque Base dijo que no necesitarían resincronizar sus nodos ni realizar procedimientos de recuperación adicionales.
El aviso de estado de la red del 5 de noviembre enumeraba una ventana de mantenimiento que se extendía hasta el 7 de noviembre a las 16:19 UTC, mientras que el parche público estuvo disponible a las 17:52 UTC del 5 de noviembre.
Los desarrolladores de Reth corrigen el error de cálculo de la raíz de estado
El problema subyacente se originó en Reth, un cliente de ejecución de Ethereum desarrollado por Paradigm que se utiliza directamente o mediante versiones modificadas en varias redes de cadena de bloques.
Un cambio en GitHub fusionado el 3 de noviembre abordó un error relacionado con la forma en que el iterador de trie del cliente maneja ciertos límites de rama en caché.
La corrección cambió el comportamiento del iterador al buscar a través de datos de blockchain almacenados e introdujo una prueba de regresión que cubre los cálculos incrementales de la raíz de estado.
Los desarrolladores de Reth incluyeron posteriormente la corrección en la versión 2.10.0, mientras que las versiones parcheadas del software relacionado incluyeron op-reth 2.8.1 y la versión 1.5.3 de Base.
La firma de seguridad blockchain Blockaid advirtió que los clientes sin parchear podrían experimentar problemas de sincronización o devolver pruebas incorrectas a través de la interfaz eth_getProof.
La firma describió el problema como un error de corrección del software en lugar de un exploit confirmado e informó que no se conocían pérdidas financieras asociadas con la falla.
La vulnerabilidad provocó respuestas de redes que utilizan infraestructura basada en Reth, aunque su exposición dependía de las implementaciones específicas de clientes desplegadas.
El anuncio de BNB Chain distinguió entre opBNB, que no depende de op-reth, y BSC-Reth, donde el equipo reconoció una exposición limitada mientras preparaba su propia corrección.
LayerZero pausa algunos servicios entre cadenas como precaución
El problema de Reth provocó restricciones preventivas más allá de los clientes de ejecución afectados, particularmente entre los servicios que dependen de la verificación del estado de la blockchain.
El proveedor de interoperabilidad entre cadenas LayerZero suspendió temporalmente parte de la infraestructura fuera de la cadena conectada a las redes afectadas mientras se desplegaban las correcciones de software.
Las restricciones retrasaron ciertos mensajes entre cadenas, aunque los informes que citan la respuesta de seguridad dijeron que los mensajes no se perderían.
Algunos servicios de finanzas descentralizadas restringieron temporalmente los depósitos o el enrutamiento entre cadenas mientras los operadores evaluaban su exposición.
LayerZero proporciona infraestructura de interoperabilidad utilizada por numerosas aplicaciones blockchain. En septiembre, Anchorage Digital seleccionó LayerZero para admitir transferencias entre cadenas de stablecoins emitidas a través de su banco con charter federal.
La asociación nombró a USAT de Tether como la primera stablecoin en utilizar el estándar Omnichain Fungible Token de LayerZero bajo el acuerdo.
Por separado, ApeChain anunció planes el 4 de noviembre para migrar APE, USDC y otros activos del ecosistema de LayerZero al Protocolo de Interoperabilidad entre Cadenas de Chainlink.
El anuncio de migración precedió a las advertencias públicas sobre la vulnerabilidad de Reth y concernía a la infraestructura entre cadenas existente de ApeChain.
Para los operadores que ejecutan software afectado basado en Reth, las actualizaciones disponibles abordan el problema de cálculo de estado, y Base recomienda específicamente la versión 1.5.3 mientras BNB Chain continúa trabajando en su hotfix de BSC-Reth.
