Auteur : Shenchao TechFlow
La réunion des développeurs principaux d'Ethereum (ACD) a décidé de suspendre le processus de mise à niveau du testnet Hoodi, car un cabinet d'audit de sécurité a révélé que deux propositions d'amélioration du Gas à venir renverseraient directement les hypothèses de fonctionnement sous-jacentes sur lesquelles de nombreux contrats intelligents déjà déployés se sont longtemps appuyés.
La Fondation Ethereum a publiquement émis un avertissement d'auto-inspection à l'ensemble de l'industrie et a lancé conjointement des audits de code avec plusieurs institutions, visant à empêcher le hard fork de provoquer directement des anomalies logiques ou une paralysie des protocoles d'actifs sur la chaîne.
La restructuration de la facturation sous-jacente ébranle la logique traditionnelle de l'accès à l'état
Dans la prochaine mise à niveau Glamsterdam d'Ethereum, la spécification de la proposition EIP-8037 et la spécification de la proposition EIP-8038 assument la tâche clé de réévaluer le mécanisme de stockage d'état.
Les données d'état historiques d'Ethereum continuent de croître, et le modèle original à consommation fixe peut difficilement refléter avec précision les coûts matériels réels des nœuds pour maintenir la création d'état et les lectures fréquentes. L'objectif principal de ces deux propositions est de dissocier complètement les méthodes de facturation de la création d'état et de l'accès à l'état, et de réinitialiser les pondérations dynamiques pour des opcodes spécifiques.
Cette refonte sous-jacente vise à freiner la tendance à l'expansion désordonnée de l'état sur l'ensemble du réseau, mais au niveau de l'exécution, elle renverse directement les constantes système que les développeurs supposent fixes lors de la construction d'applications.
L'effondrement des hypothèses de Gas statique expose huit risques d'invariant
Le cabinet de sécurité analyse officielle de ChainSecurity a souligné lors de tests qu'un grand nombre de contrats intelligents sur la chaîne et d'infrastructures hors chaîne ont longtemps été construits sur plusieurs hypothèses de Gas statique inattendues. Une fois que les règles de facturation de la consommation d'exécution des opcodes changent brusquement, la logique métier concernée sera directement interrompue sans aucun avertissement.
Ces invariants brisés couvrent les modèles d'ingénierie les plus courants dans le développement de contrats. Pour prévenir les attaques de réentrance ou contrôler la portée d'exécution, certains protocoles utilisent des limites de Gas codées en dur lors de l'appel de sous-contrats. La hausse des coûts de facturation fera que les appels inter-contrats qui pouvaient initialement s'exécuter sans problème seront directement annulés parce que le Gas interne est épuisé.
D'autres risques clés se cachent dans la logique de tolérance aux pannes qui repose sur des mécanismes de capture d'exceptions. Lorsque l'appelant externe ne peut plus prédire avec précision la consommation d'exécution interne, ou lorsque certains contrats proxy transmettent l'exécution restante selon des ratios fixes, le chemin d'exécution de l'ensemble du flux de transaction sera complètement déformé, et peut même entraîner le verrouillage de fonds dans des branches de machine à états inachevées.
L'équipe de gouvernance suspend d'urgence le fork pour éviter une ruée sur la chaîne
Face aux risques potentiels de compatibilité systémique, les développeurs de clients Ethereum ont rapidement pris des mesures défensives dans le dernier processus de coordination principal.
Selon l'examen de l'historique de gouvernance principal d'Ethereum dans « Le réseau principal de la nouvelle chaîne publique Nibiru va être lancé, analyse de ses caractéristiques techniques et de ses pratiques de développement sécurisées », chaque fois que les paramètres sous-jacents de consensus ou d'exécution entrent en conflit irréconciliable avec l'écosystème existant, la communauté des développeurs choisit généralement de retarder le calendrier en échange d'une fenêtre de sécurité suffisante.
Les développeurs sont parvenus à un consensus lors de la réunion ACD selon lequel ils n'exécuteront absolument pas de hard fork sur le testnet Hoodi avant d'avoir pleinement compris la répartition des contrats potentiellement affectés et fourni des orientations de compatibilité. Un fork aveugle non seulement ne permet pas de vérifier efficacement la stabilité des nouvelles règles, mais induit également facilement des défaillances en cascade dans les portefeuilles multisig, les ponts inter-chaînes et les protocoles de prêt décentralisés.
La Fondation ouvre ses outils de détection pour promouvoir une inspection coordonnée à l'échelle du réseau
Étant donné que la complexité des applications décentralisées ne se limite pas au bytecode public disponible sur la chaîne, mais est également profondément imbriquée dans le routage propriétaire hors chaîne, les scripts de règlement et les bots de liquidation, les efforts d'audit officiels ne peuvent épuiser la logique des cas limites de l'ensemble de l'écosystème. Le chercheur d'Ethereum Marius van der Wijden, au nom de l'équipe, a explicitement reconnu cette limitation de frontière dans l'annonce technique de la Fondation Ethereum.
La Fondation Ethereum a officiellement publié un dépôt d'inspection dédié sur la plateforme d'hébergement de code, détaillant à la communauté les détails techniques des huit invariants concernés et des exemples de code problématique. Le dépôt fournit également des modèles d'invite dédiés pour les principaux outils d'assistance à l'audit et analyseurs de code, afin que les équipes de contrats, les auditeurs de sécurité et les mainteneurs d'infrastructure puissent rapidement comparer leur propre logique métier.
L'équipe des développeurs principaux d'Ethereum et les institutions de sécurité prévoient de résumer le premier lot de données d'auto-inspection recueillies auprès de toutes les parties lors de la réunion ACD de la semaine prochaine, moment auquel ils réévalueront les conditions d'activation et les ajustements de plan pour le testnet Hoodi.
