Se confirmaron las fechas de la actualización Glamsterdam de Ethereum, pero el anuncio viene con una advertencia. Un adolescente con acceso a ether de prueba gratuito y una colección de cuentas falsas tiene el poder de detener todo el ensayo general.
Investigadores de seguridad advierten que actores maliciosos podrían abusar del ether de prueba gratuito y de cuentas temporales de constructores para ganar subastas de bloques en Sepolia mientras retienen las cargas útiles de transacciones durante las pruebas de Glamsterdam. Un ataque de este tipo no pondría en peligro los fondos de la red principal, pero podría interrumpir las pruebas de infraestructura y demostrar la necesidad de que los clientes reconozcan y rechacen a los constructores maliciosos.
El vector de ataque
Así funcionaría el ataque:
- Cualquiera, incluso un adolescente, puede crear mil constructores con ether de prueba gratuito.
- Rotan esas cuentas falsas y ofrecen pujas muy altas para ganar la siguiente subasta de bloques.
- Una vez que ganan, retienen los datos que prometieron incluir en el bloque.
- Eso congela el tráfico de la cadena de bloques.
“Puedo simplemente crear mil constructores, rotarlos, ofrecer pujas muy altas y no producir cargas útiles”, dijo Potuz, desarrollador de consenso de Ethereum, durante la llamada de desarrolladores principales del jueves. “Cualquier adolescente puede hacer esto”.
El ataque está dirigido a Sepolia, un lugar donde el ether de prueba tiene poco o ningún valor. Al negarse a incluir cargas útiles, los atacantes dejan los bloques vacíos de datos de transacciones, lo que desbarata las pruebas requeridas antes de que Glamsterdam pueda avanzar hacia Ethereum propiamente dicho.
Qué hace realmente Glamsterdam
La próxima actualización de Ethereum, Glamsterdam, tiene como objetivo concentrar más actividad en cada bloque mientras mantiene el trabajo de verificación dentro de límites seguros. Combinada con ajustes en la forma en que se cobran las tarifas, la actualización apunta a un límite de gas por bloque de aproximadamente 200 millones. Esa capacidad ampliada debería permitir que más pagos y operaciones quepan dentro de un solo bloque antes de que los usuarios vuelvan a pagar tarifas más altas.
El protocolo de Ethereum ahora contiene en sí mismo el acuerdo entre validadores y constructores de bloques especializados. Estos constructores arman bloques de transacciones y compiten por entregarlos. Un validador elige la oferta ganadora y, en ese momento, se supone que el constructor debe mostrar qué transacciones hay debajo del bloque.
Una red de prueba gratuita facilita que alguien que actúa con malas intenciones abuse del sistema. Esa persona podría presentar ofertas muy por encima de lo que ofrecería cualquier constructor honesto, ganar una y otra vez y luego negarse a entregar el contenido prometido.
La ventana de lanzamiento acortada
El 29 de septiembre es la fecha límite para que los equipos de clientes publiquen el software listo para Sepolia, lo que les da siete días antes de la bifurcación. Esa ventana equivale a la mitad de los 14 días que el calendario estándar de actualizaciones de Ethereum reserva para revisiones de seguridad y pruebas de recompensas por errores.
El cronograma más ajustado se aceptó debido a la naturaleza más centralizada de Sepolia y a la facilidad de recuperación si algo sale mal allí. El software de construcción de producción que ejecutan los equipos Titan y Ultrasound aún no ha terminado su transición a la bifurcación Glamsterdam, lo que crea un retraso adicional antes de que la actualización pueda considerarse lista para su uso en la red principal.
La próxima prueba pública de Hoodi tiene como objetivo tentativo el 27 de octubre, y los desarrolladores esperan ver cómo se desempeña Sepolia antes de confirmar la fecha. El lanzamiento en la red principal aún no tiene un calendario definido.
Por qué esto importa
La amenaza es real. Cuesta casi nada y puede repetirse una y otra vez. Una persona joven con acceso a ether de prueba gratuito puede crear mil cuentas falsas, ganar las subastas y retener las cargas útiles. El diseño depende de que los clientes reconozcan y rechacen a constructores individuales para que un atacante no pueda volver bajo un nuevo nombre y seguir ganando.
Por lo general, no se recurre a los bloques de respaldo locales hasta que han desaparecido varias cargas útiles. Así, el sistema tiende a esperar señales de problemas antes de cambiar a ellos.
El ataque no amenaza los activos de la red principal. Se centra en Sepolia, donde el ether de prueba no tiene valor. Sin embargo, podría dejar bloques sin contenido de transacciones y alterar la base de pruebas necesaria antes de que Glamsterdam llegue a Ethereum propiamente dicho.
El cronograma
- 6 de octubre: debut de la prueba pública de Sepolia
- 29 de septiembre: fecha límite para que los clientes tengan listo el software compatible con Sepolia
- 27 de octubre: prueba pública en Hoodi planificada de manera tentativa
- Activación en la red principal: sin fecha programada
Las revisiones de seguridad y las pruebas de bug-bounty pierden la mitad de su tiempo con el nuevo calendario, ya que los clientes ahora disponen de solo siete días en lugar de 14. Esa reducción ya superó un importante ensayo privado, que elevó su límite de gas por bloque hacia los 200 millones sin renunciar a la finalidad.
El ataque de un adolescente mediante cuentas falsas podría paralizar la red de prueba, y la advertencia no hace ningún esfuerzo por suavizar el mensaje. Los equipos de clientes disponen de solo siete días para prepararse, en lugar de los catorce que normalmente reciben.
Material de origen: “Ethereum confirms Glamsterdam dates, but warns ‘fake’ builders could stall the chain”, CoinDesk.
Recibe El Cuaderno.
Las mejores historias del día y cada veredicto nuevo, en español claro, en tu correo a las siete. Un correo al día, nada más.