Стейкинг-пулы Ethereum 2.0 устраняют критический баг, угрожающий активам на $72 млн

Разработчики сервиса по стейкингу Ethereum 2.0 StakeWise обнаружили критический баг в конкурирующих продуктах Lido и Rocket Pool. Об этом они сообщили в Twitter. Rocket Pool должен был запуститься в основной сети меньше чем через 24 часа, поэтому раскрытие уязвимости в его случае оказалось очень своевременным. Теперь дальнейшие планы по релизу проекта отложены до устранения неисправности. Как пояснил сооснователь StakeWise Дмитрий Цумак – именно он обнаружил проблему – было решено не раскрывать полные детали уязвимости публично, пока платформы работают над ее устранением. Тем не менее, Lido и Rocket Pool согласились заплатить максимально допустимую награду в сервисе Immunefi за нахождение бага в $100 000, что говорит о его «критической серьезности». Изначально Цумак связался только с Rocket Pool. Впоследствии, поняв, что проблема может присутствовать на других платформах, он решил обратиться к платформе по поиску багов Immunefi. «Когда я связался с Rocket Pool, мы начали обсуждать, у кого еще может быть та же проблема. Она обнаружилась у Lido, хотя и в немного другом исполнении», — добавил разработчик.Нажмите, чтобы раскрыть... В Lido сперва оценили потенциальную сумму ущерба менее чем в 100 ETH, однако в сегодняшнем отчете платформа сообщила, что в зоне риска оказалось свыше 20 000 ETH стоимостью $72 млн. В обоих случаях баг позволяет валидаторам выводить активы клиентов. StakeWise обнаружили его, когда работали над децентрализацией собственной платформы. Сейчас она осуществляет стейкинг с помощью единого валидатора, но после обновления будет использовать архитектуру на основе множества нод. Разработчики считают, что уязвимость некоторое время оставалась незамеченной из-за преобладания централизованных систем.