A atualização Pectra da Ethereum na Sepolia enfrenta interrupções; atacante desconhecido minera blocos vazios

A altamente aguardada atualização Pectra da Ethereum encontrou interrupções na testnet Sepolia após uma exploração que levou à mineração de blocos vazios. A atualização, que foi implementada em 5 de março, encontrou problemas algumas horas depois quando os desenvolvedores notaram mensagens de erro nos seus nós geth.

De acordo com um detalhado relatório do desenvolvedor da Ethereum Marius van der Wijden, a equipa descobriu um comportamento inesperado no contrato de depósito que ocorreu na testnet por volta das 7:30 UTC da quarta-feira passada. Em vez de desencadear o evento de depósito esperado, o contrato emitiu um evento de transferência incorreto.

“Pouco depois da ativação do hard fork, dissemos ao Jim McDonald para enviar um depósito para testar a funcionalidade de retirada acionada pela execução adicionada na Pectra. Vimos então mensagens de erro no nosso nó geth e começámos a ver muitos blocos vazios a serem minerados,” explicou van der Wijden.

A mensagem de erro dizia, aparentemente, “unable to parse deposit data: deposit wrong length: want 576, have 32.” Isto significava que uma transferência ERC-20 token-gated de contrato de depósito inesperada foi executada, perturbando o comportamento esperado da cadeia. 

Atacante desconhecido explora um caso de borda não considerado

Wijden disse que os desenvolvedores se moveram rapidamente para implementar uma correção, mas um caso de borda negligenciado permitiu que um atacante desconhecido tirasse partido do sistema. O explorador enviou uma transferência de zero tokens para o endereço de depósito e conseguiu desencadear o mesmo erro novamente, levando à continuação da mineração de blocos vazios.

“Verificámos o contrato de depósito e confirmámos que ninguém poderia desencadear a funcionalidade de depósito (porque é token-gated e só distribuímos tokens a partes confiáveis para a Sepolia). No entanto, perdemos um caso de borda na especificação ERC20,” observou o desenvolvedor.

Inicialmente, os desenvolvedores suspeitaram que o erro viesse de um confiável validador, mas mais tarde perceberam que a transação originou de uma nova conta financiada através de um faucet. A equipa da Ethereum moveu-se então para coordenar a implementação da correção sem dividir a cadeia. 

Wijden afirmou que um lançamento apressado poderia ter causado fragmentação da rede, pois os nós que não foram atualizados não teriam conseguido se conectar à cadeia corrigida. Após evitar a crise, eles planejaram um lançamento conjunto para as 14h00 UTC, o que deu às equipes tempo para se preparar.

Os desenvolvedores encontraram a falha após investigação adicional: o padrão ERC-20 não proíbe transferências de zero tokens. Isso significa que qualquer pessoa, independentemente de quantos tokens tivesse, poderia enviar uma transferência de zero tokens. Foi isso que causou o evento de depósito.

Três horas e meia antes da correção coordenada, como descreveu o desenvolvedor, Sepolia supostamente produziu "muitos" blocos vazios. Para restaurar as operações normais enquanto isso, os desenvolvedores removeram as transações que acionavam a exploração, substituindo-as por transações que pagavam mais. 

Os desenvolvedores implantaram uma correção privada para conter o ataque

A equipe do Ethereum implementou uma correção privada que filtrava as transações que interagiam com o contrato de depósito. Dadas as suspeitas de que o atacante estava monitorando os chats dos desenvolvedores, eles decidiram não divulgar a correção imediatamente. 

“A correção está filtrando apenas as transações que chamam diretamente o contrato de depósito. Se tivéssemos divulgado a correção, o atacante teria conseguido contornar nossa mitigação chamando o contrato de outro contrato. Essas chamadas internas ainda acionariam o evento, mas não seriam fáceis de filtrar durante a criação do bloco,” Wijden reportou.

Quando aproximadamente 10% dos nós da rede foram atualizados, os blocos completos começaram a aparecer novamente. Isso permitiu que a cadeia funcionasse enquanto o patch completo era preparado para implantação.

Às 14h00 UTC, todos os nós foram atualizados para a nova versão contendo a correção final. Alguns blocos depois, a transação do atacante foi minerada com sucesso, confirmando que todos os operadores de nós haviam implementado o patch. O incidente não afetou a mainnet do Ethereum, pois o problema era específico para o contrato de depósito com restrição de tokens da Sepolia.

Isso afetou todos os nós, pois foi um conflito entre a especificação e a implementação do contrato de depósito na Sepolia

— MariusVanDerWijden (@vdWijden) Março 9, 2025

Quando questionado por um usuário da rede social X se o "atacante tinha algo a ganhar" explorando o problema da testnet, Wijden respondeu: "Não, eles não tinham nada a ganhar com isso.”

As dificuldades do preço do Ethereum continuam: a atividade do mercado está mais fraca

O Ethereum ainda mostra sinais de fraqueza, perdendo mais de 10% de seu valor na última semana. A segunda maior moeda por capitalização de mercado tem oscilado em torno da marca de US$ 2.000, um nível de suporte de três meses que os observadores do mercado preveem que cairá ainda mais.

De acordo com os indicadores técnicos do mercado, o ETH está em uma tendência de baixa contínua, com máximas e mínimas mais baixas se formando junto com médias móveis bajistas. Se o Ethereum falhar em manter os US$ 2.000, os analistas alertam que os próximos níveis principais de suporte estão entre US$ 1.800 e US$ 1.700. 

Embora o Índice de Força Relativa (RSI) em 30,45 sugira um possível rebote de curto prazo, a resistência em US$ 2.200 é um nível que a moeda não conseguiu ultrapassar por mais de 24 horas.