L'aggiornamento Pectra di Ethereum su Sepolia affronta interruzioni: un attaccante sconosciuto mina blocchi vuoti

L'atteso aggiornamento Pectra di Ethereum ha incontrato interruzioni sulla testnet Sepolia a seguito di un exploit che ha portato alla mining di blocchi vuoti. L'aggiornamento, che è stato distribuito il 5 marzo, ha incontrato problemi poche ore dopo quando gli sviluppatori hanno notato messaggi di errore sui loro nodi geth.

Secondo un dettagliato rapporto da Ethereum developer Marius van der Wijden, il team ha scoperto un comportamento imprevisto nel contratto di deposito che si è verificato sulla testnet intorno alle 7:30 UTC dello scorso mercoledì. Invece di attivare l'evento di deposito previsto, il contratto ha emesso un evento di trasferimento errato.

“Poco dopo l'attivazione del hard fork, abbiamo detto a Jim McDonald di inviare un deposito per testare la funzionalità di prelievo attivata dall'esecuzione aggiunta in Pectra. Abbiamo poi visto messaggi di errore sul nostro nodo geth e abbiamo iniziato a vedere molti blocchi vuoti essere minati,” ha spiegato van der Wijden.

Il messaggio di errore riportava, “impossibile analizzare i dati del deposito: lunghezza del deposito errata: previsto 576, ottenuto 32.” Ciò significava che era stato eseguito un trasferimento ERC-20 token-gated del contratto di deposito imprevisto, interrompendo il comportamento previsto della catena. 

Attaccante sconosciuto sfrutta un caso limite mancato

Wijden ha detto che gli sviluppatori si sono mossi rapidamente per distribuire una correzione, ma un caso limite trascurato ha permesso a un attaccante sconosciuto di sfruttare il sistema. L'exploiter ha inviato un trasferimento di zero token all'indirizzo di deposito e è riuscito a innescare di nuovo lo stesso errore, portando alla continua mining di blocchi vuoti.

“Abbiamo controllato il contratto di deposito e verificato che nessuno potesse attivare la funzionalità di deposito (perché è token-gated e abbiamo distribuito token solo a parti fidate per Sepolia). Abbiamo però perso un caso limite nello standard ERC20,” ha osservato lo sviluppatore.

Inizialmente, gli sviluppatori avevano sospettato che l'errore provenisse da un fidato validator, ma in seguito si sono resi conto che la transazione era originata da un nuovo account finanziato tramite un faucet. Il team di Ethereum si è poi mosso per coordinare la distribuzione della correzione senza dividere la catena. 

Wijden ha detto che un rilascio affrettato avrebbe potuto causare la frammentazione della rete perché i nodi non aggiornati non sarebbero stati in grado di connettersi alla catena corretta. Dopo aver scongiurato la crisi, hanno pianificato una distribuzione congiunta per le 14:00 UTC, che ha dato ai team il tempo di prepararsi.

Gli sviluppatori hanno trovato la falla dopo ulteriori indagini: lo standard ERC-20 non vieta i trasferimenti di zero token. Ciò significa che chiunque, indipendentemente dal numero di token posseduti, poteva inviare un movimento di zero token. Questo è ciò che ha causato l'evento di deposito.

Tre ore e mezza prima della correzione coordinata, come ha descritto lo sviluppatore, Sepolia aveva presumibilmente prodotto “un sacco di” blocchi vuoti. Per ripristinare le operazioni normali nel frattempo, gli sviluppatori hanno rimosso le transazioni che attivavano l'exploit sostituendole con transazioni a pagamento più elevato. 

Gli sviluppatori hanno distribuito una correzione privata per contenere l'attacco

Il team di Ethereum ha implementato una correzione privata che filtrava le transazioni che interagivano con il contratto di deposito. Dato il sospetto che l'attaccante stesse monitorando le chat degli sviluppatori, hanno deciso di non pubblicizzare immediatamente la correzione. 

“La correzione sta filtrando solo le transazioni che chiamano direttamente il contratto di deposito. Se avessimo pubblicizzato la correzione, l'attaccante sarebbe stato in grado di eludere la nostra mitigazione chiamando il contratto da un altro contratto. Queste chiamate interne avrebbero comunque attivato l'evento, ma non sarebbero state facili da filtrare durante la creazione del blocco,” Wijden ha riportato.

Una volta che circa il 10% dei nodi della rete era aggiornato, i blocchi completi sono ricomparso. Ciò ha permesso alla catena di funzionare mentre la patch completa era preparata per la distribuzione.

Alle 14:00 UTC, tutti i nodi sono stati aggiornati alla nuova release contenente la correzione finale. Pochi blocchi dopo, la transazione dell'attaccante è stata minata con successo, confermando che tutti gli operatori dei nodi avevano implementato la patch. L'incidente non ha interessato la mainnet di Ethereum, poiché il problema era specifico per il contratto di deposito token-gated di Sepolia.

Ha interessato tutti i nodi, poiché si trattava di uno scontro tra la specifica e l'implementazione del contratto di deposito su Sepolia

— MariusVanDerWijden (@vdWijden) Marzo 9, 2025

Quando è stato chiesto da un utente dei social media X se l’“attaccante aveva qualcosa da vincere” sfruttando il problema della testnet, Wijden ha risposto: “No, non avevano nulla da guadagnare da questo.”

Le difficoltà del prezzo di Ethereum continuano: l'attività di mercato è più debole

Ethereum mostra ancora segni di debolezza, perdendo oltre il 10% del suo valore nella scorsa settimana. La seconda moneta più grande per capitalizzazione di mercato è rimasta intorno ai $2.000, un livello di supporto a tre mesi che gli osservatori del mercato prevedono scenderà ancora più in basso.

Secondo gli indicatori tecnici di mercato, ETH è in un trend al ribasso continuato, con massimi e minimi più bassi che si formano insieme alle medie mobili ribassiste. Se Ethereum non riesce a mantenere i $2.000, gli analisti avvertono che i prossimi livelli di supporto principali si trovano tra $1.800 e $1.700. 

Sebbene l'Indice di Forza Relativa (RSI) a 30,45 suggerisca un potenziale rimbalzo a breve termine, la resistenza a $2.200 è un livello che la moneta non è riuscita a superare per oltre 24 ore.