A BNB Chain e a Base emitiram atualizações de segurança após um bug no cliente de execução Ethereum Reth levantar preocupações sobre cálculos incorretos do estado da blockchain em várias redes compatíveis com Ethereum.
Resumo
- A BNB Chain reconheceu um risco de segurança que afeta o cliente de execução Reth, mas afirmou que a opBNB não usa op-reth e que o impacto na BSC-Reth permanece limitado.
- A Base confirmou que identificou e resolveu o bug do Reth após descobrir o problema em 4 de novembro, sem interrupção nas operações da rede ou impacto aos usuários.
- A vulnerabilidade poderia fazer com que nós afetados calculassem raízes de estado da blockchain incorretas, potencialmente criando problemas com a sincronização da rede e a verificação de estado.
- A Base lançou a versão 1.5.3 e aconselhou os operadores de nós a atualizar, enquanto a BNB Chain disse que seus desenvolvedores estavam preparando um hotfix e monitorando a situação.
Em um aviso de 6 de novembro, a BNB Chain reconheceu o risco de segurança que afeta o Reth, mas afirmou que sua rede opBNB não usa op-reth, enquanto o impacto na BSC-Reth permanece limitado.
A equipe disse que estava preparando um hotfix e monitorando a situação de perto para proteger a segurança da rede. Desenvolvedores e usuários foram informados de que nenhuma ação era necessária no momento do anúncio.
A Base, por sua vez, confirmou que havia resolvido o problema em 5 de novembro, após identificar a vulnerabilidade um dia antes. A rede de camada 2 apoiada pela Coinbase disse que suas operações não foram interrompidas e os fundos dos usuários não foram afetados.
O problema diz respeito a como certas versões do Reth calculam a raiz de estado de uma blockchain, um valor criptográfico que representa o estado atual de contas, saldos e armazenamento de contratos inteligentes.
Um cálculo incorreto poderia fazer com que nós afetados discordassem do estado real da rede, potencialmente interrompendo a sincronização ou produzindo provas de estado não confiáveis usadas por aplicações.
Base lança patch após confirmar o estado da blockchain
De acordo com uma atualização oficial de status, a Base descobriu em 4 de novembro que o bug do Reth poderia fazer com que nós calculassem uma raiz de estado incorreta sob certas condições.
Como a Base usa o Reth como parte de sua infraestrutura de execução, seus desenvolvedores aplicaram a mitigação e corrigiram todos os nós de construção de blocos no mesmo dia.
A equipe subsequentemente recalculou a raiz de estado da rede e confirmou que ela correspondia ao valor correto.
A Base explicou que seu sistema de provas verifica independentemente cada raiz de estado, fornecendo outro mecanismo para detectar inconsistências nos cálculos da blockchain.
“Verificamos que a raiz de estado atual está correta e os usuários não foram afetados”, disse a equipe.
Uma atualização de software, versão 1.5.3, foi lançada para evitar que validadores da Base parassem ao encontrar raízes de estado inválidas.
Os operadores de nós foram aconselhados a instalar a atualização o mais rápido possível, embora a Base tenha dito que eles não precisariam ressincronizar seus nós ou realizar procedimentos adicionais de recuperação.
O aviso de status da rede de 5 de novembro listava uma janela de manutenção em execução até 7 de novembro às 16:19 UTC, enquanto o patch público ficou disponível às 17:52 UTC de 5 de novembro.
Desenvolvedores do Reth corrigem bug de cálculo da raiz de estado
O problema subjacente originou-se no Reth, um cliente de execução Ethereum desenvolvido pela Paradigm que é usado diretamente ou por meio de versões modificadas em várias redes blockchain.
Uma alteração no GitHub mesclada em 3 de novembro abordou um erro envolvendo a forma como o iterador de trie do cliente lida com certos limites de ramificação em cache.
A correção alterou o comportamento do iterador ao pesquisar dados armazenados da blockchain e introduziu um teste de regressão cobrindo cálculos incrementais de raiz de estado.
Os desenvolvedores do Reth subsequentemente incluíram a correção na versão 2.10.0, enquanto versões corrigidas de softwares relacionados incluíram op-reth 2.8.1 e a versão 1.5.3 da Base.
A empresa de segurança de blockchain Blockaid alertou que clientes não corrigidos poderiam sofrer problemas de sincronização ou retornar provas incorretas por meio da interface eth_getProof.
A empresa descreveu o problema como um bug de correção de software, e não como um exploit confirmado, e relatou nenhuma perda financeira conhecida associada à falha.
A vulnerabilidade provocou respostas de redes que usam infraestrutura baseada em Reth, embora sua exposição dependesse das implementações específicas de clientes implantadas.
O anúncio da BNB Chain distinguiu entre opBNB, que não depende de op-reth, e BSC-Reth, onde a equipe reconheceu exposição limitada enquanto preparava sua própria correção.
LayerZero pausa alguns serviços entre cadeias como precaução
O problema do Reth provocou restrições preventivas além dos clientes de execução afetados, particularmente entre serviços que dependem da verificação de estado da blockchain.
O provedor de interoperabilidade entre cadeias LayerZero suspendeu temporariamente parte da infraestrutura off-chain conectada às redes afetadas enquanto as correções de software estavam sendo implantadas.
As restrições atrasaram certas mensagens entre cadeias, embora relatos citando a resposta de segurança tenham dito que as mensagens não seriam perdidas.
Alguns serviços de finanças descentralizadas restringiram temporariamente depósitos ou roteamento entre cadeias enquanto os operadores avaliavam sua exposição.
A LayerZero fornece infraestrutura de interoperabilidade usada por inúmeras aplicações de blockchain. Em setembro, a Anchorage Digital selecionou a LayerZero para apoiar transferências entre cadeias de stablecoins emitidas por meio de seu banco com charter federal.
A parceria nomeou o USAT da Tether como a primeira stablecoin a usar o padrão Omnichain Fungible Token da LayerZero sob o acordo.
Separadamente, a ApeChain anunciou planos em 4 de novembro de migrar APE, USDC e outros ativos do ecossistema da LayerZero para o Cross-Chain Interoperability Protocol da Chainlink.
O anúncio da migração precedeu os alertas públicos sobre a vulnerabilidade do Reth e dizia respeito à infraestrutura entre cadeias existente da ApeChain.
Para operadores que executam software afetado baseado em Reth, as atualizações disponíveis abordam o problema de cálculo de estado, com a Base recomendando especificamente a versão 1.5.3 e a BNB Chain continuando o trabalho em seu hotfix do BSC-Reth.
