Avsetsin, qui est répertorié comme membre de l’organisation GitHub du Lido, a examiné comment Lido, Origin et Rocket Pool pourraient être affectés, dans ce que le chercheur a appelé « une recherche rapide sur l’IA ». Les résultats dépendaient de la manière dont chaque protocole gère les dépôts.
« Il s’agit de découvertes de code conditionnelles, et non d’exploits réels confirmés », a écrit avsetsin, ajoutant que les contrôles existants rejetant un dépôt antérieur du constructeur pourraient arrêter l’attaque. Aucune perte n’a été signalée.
Refusé, puis fusionné
Les développeurs ont clôturé le correctif proposé le 19 octobre. « Il n’y avait pas suffisamment de soutien de la part des clients pour effectuer ce changement à ce moment-là », a écrit Justin Traglia, qui maintient les spécifications consensuelles d’Ethereum. Les clients sont les logiciels distincts que les validateurs exécutent pour participer au réseau.
Le correctif a été rouvert après un examen plus approfondi, avsetsin a ajouté des tests le 23 octobre et Traglia l’a fusionné lundi.
Selon les nouvelles règles, les dépôts en attente sont triés en fonction de leurs identifiants de retrait, le paramètre qui indique où l’argent d’un dépôt peut éventuellement aller. Les dépôts des validateurs restent chez les validateurs même si un constructeur utilise la même clé.
Le changement fait désormais partie des spécifications consensuelles d’Ethereum, et les équipes clientes doivent encore l’intégrer dans leur logiciel. Glamsterdam a déjà fonctionné sur le réseau test Sepolia, mais son lancement le 26 octobre sur Hoodi, un deuxième réseau test, a été reporté.
