La actualización Pectra de Ethereum enfrenta interrupciones en Sepolia; un atacante desconocido mina bloques vacíos

La muy esperada actualización Pectra de Ethereum encontró interrupciones en la testnet de Sepolia después de una explotación que llevó a la minería de bloques vacíos. La actualización, que se implementó el 5 de marzo, tuvo problemas unas pocas horas después cuando los desarrolladores notaron mensajes de error en su nodo geth.

Según un detallado informe del desarrollador de Ethereum Marius van der Wijden, el equipo descubrió un comportamiento inesperado en el contrato de depósito que ocurrió en la testnet alrededor de las 7:30 UTC del miércoles pasado. En lugar de desencadenar el evento de depósito esperado, el contrato emitió un evento de transferencia incorrecto.

“Poco después de que se activó el hard fork, le dijimos a Jim McDonald que enviara un depósito para probar la funcionalidad de retiro activada por ejecución agregada en Pectra. Luego vimos mensajes de error en nuestro nodo geth y comenzamos a ver una gran cantidad de bloques vacíos siendo minados,” explicó van der Wijden.

El mensaje de error según se informa decía: “no se pueden analizar los datos de depósito: depósito de longitud incorrecta: se querían 576, se tienen 32”. Esto significaba que se ejecutó una transferencia ERC-20 con token-gating de contrato de depósito inesperada, interrumpiendo el comportamiento esperado de la cadena. 

Un atacante desconocido explota un caso límite pasado por alto

Wijden dijo que los desarrolladores se movieron rápidamente para implementar una solución, pero un caso límite pasado por alto permitió que un atacante desconocido aprovechara el sistema. El explotador envió una transferencia de cero tokens a la dirección de depósito y logró desencadenar el mismo error nuevamente, lo que llevó a la minería continua de bloques vacíos.

“Revisamos el contrato de depósito y verificamos que nadie pudiera activar la funcionalidad de depósito (porque está restringida por tokens y solo entregamos tokens a partes de confianza para Sepolia). Sin embargo, pasamos por alto un caso límite en la especificación ERC20,” comentó el desarrollador.

Inicialmente, los desarrolladores sospechaban que el error provenía de un actor de confianza validador, pero luego se dieron cuenta de que la transacción se originó en una nueva cuenta financiada a través de un grifo. El equipo de Ethereum procedió entonces a coordinar el despliegue de la corrección sin dividir la cadena. 

Wijden señaló que un lanzamiento apresurado podría haber causado una fragmentación de la red, ya que los nodos que no se actualizaran no habrían podido conectarse a la cadena corregida. Tras evitar la crisis, planificaron un despliegue conjunto a las 14:00 UTC, lo que dio a los equipos tiempo para prepararse.

Los desarrolladores encontraron la falla tras una investigación adicional: el estándar ERC-20 no prohíbe las transferencias de cero tokens. Esto significa que cualquiera, independientemente de la cantidad de tokens que poseyera, podía enviar una transferencia de cero tokens. Esto fue lo que provocó el evento de depósito.

Tres horas y media antes de la corrección coordinada, como describió el desarrollador, Sepolia habría producido “una gran cantidad” de bloques vacíos. Para restaurar las operaciones normales mientras tanto, los desarrolladores eliminaron las transacciones que activaban la explotación, reemplazándolas por otras con comisiones más altas. 

Los desarrolladores implementaron una corrección privada para contener el ataque

El equipo de Ethereum implementó una corrección privada que filtraba las transacciones que interactuaban con el contrato de depósito. Dadas las sospechas de que el atacante estaba monitoreando los chats de los desarrolladores, decidieron no hacer pública la corrección de inmediato. 

“La corrección solo filtra las transacciones que llaman directamente al contrato de depósito. Si hubiéramos hecho pública la corrección, el atacante podría haber eludido nuestra mitigación llamando al contrato desde otro contrato. Estas llamadas internas seguirían activando el evento, pero no serían fáciles de filtrar durante la creación del bloque,” Wijden informó.

Una vez que aproximadamente el 10% de los nodos de la red se actualizaron, los bloques completos volvieron a aparecer. Esto permitió que la cadena funcionara mientras se preparaba el parche completo para su despliegue.

A las 14:00 UTC, todos los nodos se actualizaron a la nueva versión que contenía la corrección final. Unos bloques después, la transacción del atacante se minó con éxito, confirmando que todos los operadores de nodos habían implementado el parche. El incidente no afectó a la mainnet de Ethereum, ya que el problema era específico del contrato de depósito con restricción de tokens de Sepolia.

Sí afectó a todos los nodos, ya que se trataba de un conflicto entre la especificación y la implementación del contrato de depósito en Sepolia

— MariusVanDerWijden (@vdWijden) Marzo 9, 2025

Cuando un usuario de la red social X le preguntó a Wijden si el “atacante tenía algo que ganar” al explotar el problema de la testnet, Wijden respondió: “No, no tenían nada que ganar con ello.”

Continúan las dificultades del precio de Ethereum: la actividad del mercado es más débil

Ethereum sigue mostrando signos de debilidad, perdiendo más del 10% de su valor en la última semana. La segunda moneda más grande por capitalización de mercado ha estado oscilando alrededor de la marca de los 2.000 dólares, un nivel de soporte de tres meses que los observadores del mercado predicen que caerá aún más.

Según los indicadores técnicos del mercado, ETH está en una tendencia bajista continua, con máximos y mínimos más bajos formándose junto con medias móviles bajistas. Si Ethereum no logra mantener los 2.000 dólares, los analistas advierten que los siguientes niveles de soporte importantes se encuentran entre 1.800 y 1.700 dólares. 

Aunque el Índice de Fuerza Relativa (RSI) en 30,45 sugiere un posible rebote a corto plazo, la resistencia en 2.200 dólares es un nivel que la moneda no ha logrado superar en más de 24 horas.