Die Termine für Ethereums Glamsterdam-Upgrade wurden bestätigt, doch die Ankündigung enthält eine Warnung. Ein Teenager mit Zugang zu kostenlosem Test-Ether und einer Sammlung gefälschter Konten hat die Macht, die gesamte Generalprobe zum Stillstand zu bringen.
Sicherheitsforscher warnen, dass böswillige Akteure kostenlosen Test-Ether und temporäre Builder-Konten missbrauchen könnten, um Sepolia-Blockauktionen zu gewinnen und dabei während der Glamsterdam-Tests Transaktions-Payloads zurückzuhalten. Ein solcher Angriff würde keine Mainnet-Gelder gefährden, doch er könnte die Infrastrukturtests stören und zeigen, dass Clients bösartige Builder erkennen und ablehnen müssen.
Der Angriffsvektor
So würde der Angriff ablaufen:
- Jeder, sogar ein Teenager, kann mit kostenlosem Test-Ether tausend Builder hochfahren.
- Sie rotieren diese gefälschten Konten und bieten sehr hohe Gebote, um die nächste Blockauktion zu gewinnen.
- Sobald sie gewinnen, halten sie die Daten zurück, die sie versprochen hatten, in den Block aufzunehmen.
- Das friert den Verkehr der Blockchain ein.
„Ich kann einfach tausend Builder hochfahren, sie rotieren, sehr hohe Gebote abgeben und keine Payloads produzieren“, sagte Ethereum-Konsensentwickler Potuz während des Core-Developer-Calls am Donnerstag. „Jeder Teenager kann das tun.“
Der Angriff richtet sich gegen Sepolia, einen Ort, an dem Test-Ether wenig bis gar keinen Wert hat. Indem Angreifer die Aufnahme von Payloads verweigern, hinterlassen sie Blöcke ohne Transaktionsdaten, was die Tests stört, die erforderlich sind, bevor Glamsterdam auf Ethereum selbst voranschreiten kann.
Was Glamsterdam tatsächlich bewirkt
Ethereums bevorstehendes Update Glamsterdam zielt darauf ab, mehr Aktivität in jeden Block zu packen und gleichzeitig die Verifizierungsarbeit in sicheren Grenzen zu halten. In Kombination mit Anpassungen der Gebührenerhebung strebt das Upgrade ein Block-Gas-Limit von rund 200 Millionen an. Diese erweiterte Kapazität sollte mehr Zahlungen und Trades in einen einzelnen Block passen lassen, bevor Nutzer wieder höhere Gebühren zahlen.
Ethereums Protokoll beherbergt nun die Vereinbarung zwischen Validatoren und spezialisierten Block-Buildern in sich. Diese Builder stellen Transaktionsblöcke zusammen und wetteifern darum, sie zu liefern. Ein Validator wählt das Höchstgebot aus, und zu diesem Zeitpunkt soll der Builder offenlegen, welche Transaktionen dem Block zugrunde liegen.
Ein kostenloses Testnetzwerk macht es jemandem, der in böser Absicht handelt, leicht, das System zu missbrauchen. Diese Person könnte Gebote weit über das hinaus abgeben, was ein ehrlicher Builder bieten würde, immer wieder gewinnen und sich dann weigern, den versprochenen Inhalt zu liefern.
Das verkürzte Veröffentlichungsfenster
Der 29. September ist die Frist für Client-Teams, Sepolia-taugliche Software zu veröffentlichen, was ihnen sieben Tage vor dem Fork bleibt. Dieses Fenster entspricht der Hälfte der 14 Tage, die Ethereums Standard-Upgrade-Zeitplan für Sicherheitsüberprüfungen und Bug-Bounty-Tests vorsieht.
Der straffere Zeitplan wurde wegen der zentraleren Natur von Sepolia und der leichten Wiederherstellung akzeptiert, sollte dort etwas schiefgehen. Die von den Teams Titan und Ultrasound betriebene Produktions-Builder-Software hat ihren Übergang zum Glamsterdam-Fork noch nicht abgeschlossen, was eine zusätzliche Verzögerung schafft, bevor das Upgrade als bereit für den Mainnet-Einsatz gelten kann.
Hoodis bevorstehender öffentlicher Test hat ein vorläufiges Ziel am 27. Oktober, wobei Entwickler abwarten, wie Sepolia abschneidet, bevor sie das Datum bestätigen. Ein Mainnet-Start hat noch keinen festgelegten Zeitplan.
Warum das wichtig ist
Die Bedrohung ist real. Sie kostet fast nichts und kann immer wieder wiederholt werden. Eine junge Person mit Zugang zu kostenlosem Test-Ether kann tausend gefälschte Konten erstellen, die Auktionen gewinnen und die Nutzlasten zurückhalten. Das Design hängt davon ab, dass Clients einzelne Builder erkennen und ablehnen, damit ein Angreifer nicht unter einem neuen Namen zurückkehren und weiter gewinnen kann.
Auf lokale Backup-Blöcke wird üblicherweise erst dann zurückgegriffen, nachdem einige Nutzlasten fehlen. Das System neigt also dazu, auf Anzeichen von Problemen zu warten, bevor es zu ihnen wechselt.
Der Angriff bedroht keine Mainnet-Vermögenswerte. Er konzentriert sich auf Sepolia, wo Test-Ether keinen Wert hat. Dennoch könnte er Blöcke ohne Transaktionsinhalte hinterlassen und die Testgrundlage stören, die erforderlich ist, bevor Glamsterdam bei Ethereum selbst ankommt.
Der Zeitplan
- 6. Oktober: Öffentliches Debüt von Sepolia
- 29. Sept.: Frist für kundenseitige Software mit Sepolia-Bereitschaft
- 27. Okt.: Hoodi-öffentlicher Test vorläufig geplant
- Mainnet-Aktivierung: nicht terminiert
Sicherheitsüberprüfungen und Bug-Bounty-Tests verlieren unter dem neuen Zeitplan die Hälfte ihrer Zeit, da die Clients nun nur noch sieben statt 14 Tage Zeit haben. Diese Verkürzung hat bereits eine große private Generalprobe bestanden, bei der das Block-Gaslimit auf fast 200 Millionen angehoben wurde, ohne die Finalität aufzugeben.
Ein Angriff eines Teenagers mit gefälschten Konten könnte das Testnetzwerk lähmen, und die Warnung unternimmt nichts, um diese Aussage abzumildern. Den Client-Teams werden nur sieben Tage Zeit gegeben, sich vorzubereiten, statt der üblichen vierzehn.
Quellmaterial: „Ethereum confirms Glamsterdam dates, but warns ‚fake‘ builders could stall the chain“, CoinDesk.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.