Kỹ sư Lido cảnh báo về rủi ro bị chiếm đoạt tiền gửi staking tại Glamsterdam

Kỹ sư trưởng của giao thức staking thanh khoản Ethereum Lido, Dmitry Gusakov, đã cảnh báo tại hội nghị các nhà phát triển ACDC #189 rằng cơ chế truy cập một lần dành cho người xây dựng (builder) được giới thiệu trong bản nâng cấp Glamsterdam có thể làm gián đoạn logic bảo vệ tiền gửi hiện có của giao thức staking, dẫn đến việc tiền gửi staking bị chiếm đoạt. Vấn đề này liên quan đến nhiều khoản tiền gửi chia sẻ cùng một khóa công khai xác thực.

Theo quy tắc tiền gửi hiện hành của Ethereum, khoản tiền gửi hợp lệ đầu tiên sẽ xác định chứng từ rút tiền, giao thức staking thường tận dụng đặc điểm này để ngăn chặn việc thao túng chứng từ, chẳng hạn như gửi một lượng nhỏ ETH trước, và sau đó bổ sung số tiền còn lại khi chứng từ dự kiến xuất hiện. Tuy nhiên, cơ chế truy cập đặc biệt mà Glamsterdam giới thiệu cho người xây dựng có thể thay đổi cách hiểu về các khoản tiền gửi đang chờ xử lý dưới cùng một khóa công khai trong thời gian chuyển tiếp phân nhánh, khiến giao thức staking phải đối mặt với kết quả thứ ba: người xác thực không xuất hiện, ETH đã gửi được ghi nhận dưới tên của người xây dựng.

Giải pháp sửa chữa mà Lido đề xuất là giữ sự phân biệt giữa tiền gửi của người xác thực và tiền gửi của người xây dựng trong quá trình truy cập một lần. Tuy nhiên, các nhà phát triển cốt lõi đã từ chối sửa đổi này với lý do về thời điểm, nguyên nhân chính là mạng thử nghiệm Sepolia đã được kích hoạt theo quy định hiện tại, phiên bản khách hàng Hoodi cũng đang trong quá trình chuẩn bị, và việc thay đổi hành vi vào lúc này có thể yêu cầu triển khai lại Sepolia và thực hiện thêm các thử nghiệm. Vấn đề này ảnh hưởng đến quy trình truy cập trong thời gian chuyển tiếp phân nhánh, chứ không phải quy tắc xử lý tiền gửi liên tục, nhưng hậu quả của nó có thể ảnh hưởng đến các khoản tiền gửi đang chờ xử lý.