Tóm tắt
Các nhà phát triển Ethereum đã vá một lỗ hổng trong bản nâng cấp Glamsterdam sắp tới, lỗi này có thể cho phép một người vận hành rút số ETH mà các dịch vụ staking dành cho validator mới. Lỗ hổng nằm ở việc tiền gửi của builder và validator dùng chung một khóa công khai, khiến cả hai khoản tiền có thể bị ghi có cho builder, trong khi dịch vụ staking không thể tạo bằng chứng cần thiết để thu hồi. Bản vá thay đổi quy tắc xử lý tiền gửi đã được hợp nhất hôm thứ Hai, sau khi bị chính các nhà phát triển từ chối một tuần trước đó. Chưa ghi nhận bất kỳ thiệt hại nào. Các nhóm client giờ phải tích hợp quy tắc mới vào phần mềm của mình trước khi Glamsterdam có thể tiến tới mainnet, trong khi lịch chạy thử trên mạng Hoodi vẫn đang bị hoãn.
Nội dung chi tiết
Glamsterdam tách hai vai trò đang bị gộp chung
Bản nâng cấp Glamsterdam chia tách hai công việc hiện đang được gộp làm một. Builder đóng gói các giao dịch thành block, còn validator, những người stake ETH để góp phần bảo vệ mạng lưới, sẽ chọn và xác nhận các block đó. Cả hai đều có thể gửi ETH, và về nguyên tắc số tiền của họ phải được theo dõi riêng rẽ.
Validator (trình xác thực) là node chuyên trách trong mạng Ethereum, có nhiệm vụ stake ETH làm tài sản bảo chứng và xác nhận tính hợp lệ của block để nhận phần thưởng.
Builder là thực thể chuyên lắp ghép, sắp xếp giao dịch từ mempool thành một block hoàn chỉnh rồi chào bán cho validator.
Staking là việc khóa một lượng token trong mạng lưới để tham gia xác thực giao dịch và nhận lợi suất, đổi lại là cam kết tuân thủ luật của giao thức.
Tiền có thể thất lạc như thế nào
Vấn đề xuất hiện ngay trong quá trình nâng cấp, khi Ethereum xử lý những khoản tiền gửi vẫn đang chờ được ghi có.
Nhà nghiên cứu Avsetsin đã chỉ ra một kịch bản: một người vận hành trước tiên đăng ký làm builder bằng một khóa công khai cụ thể, tức định danh gắn với validator hoặc builder. Nếu sau đó một dịch vụ staking gửi ETH để khởi tạo validator dưới chính khóa đó, các quy tắc dự thảo sẽ ghi có cả hai khoản tiền cho builder.
Khóa công khai (public key) là chuỗi ký tự dùng để định danh một validator hoặc builder trên mạng, ai cũng xem được nhưng không thể suy ngược ra khóa riêng dùng để ký giao dịch.
“Người vận hành có thể rút tiền của giao thức,” Avsetsin viết. Không có validator nào được tạo ra, nên dịch vụ staking không thể tạo bằng chứng cần thiết để đòi lại tiền của mình.
Avsetsin, được ghi nhận là thành viên tổ chức GitHub của Lido, đã xem xét mức độ ảnh hưởng tới Lido, Origin và Rocket Pool trong một nghiên cứu mà nhà nghiên cứu này gọi là “nghiên cứu nhanh bằng AI”. Kết quả phụ thuộc vào cách mỗi giao thức xử lý tiền gửi.
“Đây là những phát hiện mang tính điều kiện trong mã nguồn, không phải khai thác đã được xác nhận trên thực tế,” Avsetsin viết, đồng thời lưu ý rằng các bước kiểm tra hiện có, vốn từ chối một khoản tiền gửi builder trước đó, có thể chặn được cuộc tấn công. Chưa có thiệt hại nào được báo cáo.
Bị từ chối, rồi lại được hợp nhất
Các nhà phát triển đã đóng đề xuất vá lỗi vào ngày 19/10. “Không có đủ sự ủng hộ từ phía các client để thực hiện thay đổi này vào lúc này,” Justin Traglia, người duy trì đặc tả đồng thuận của Ethereum, viết.
Client là phần mềm riêng biệt mà các validator chạy để tham gia vào mạng lưới; mỗi client là một triển khai độc lập của cùng một bộ luật giao thức.
Đề xuất sau đó được mở lại sau khi xem xét thêm. Avsetsin bổ sung các bài kiểm thử vào ngày 23/10, và Traglia đã hợp nhất bản vá vào thứ Hai.
Theo quy tắc mới, các khoản tiền gửi đang chờ được phân loại theo withdrawal credentials, tức thiết lập quy định nơi số tiền gửi cuối cùng có thể được rút về. Tiền gửi của validator sẽ thuộc về validator kể cả khi một builder đang dùng chung khóa.
Withdrawal credentials là thông tin cấu hình gắn với một validator, xác định địa chỉ được phép nhận ETH khi validator rút tiền.
Bước tiếp theo
Thay đổi này hiện đã nằm trong đặc tả đồng thuận của Ethereum, và các nhóm client vẫn phải đưa nó vào phần mềm của mình. Glamsterdam đã chạy trên mạng thử nghiệm Sepolia, nhưng lần ra mắt ngày 26/10 trên Hoodi, mạng thử nghiệm thứ hai, đã bị hoãn.
Testnet (mạng thử nghiệm) là bản sao của blockchain dùng để thử nâng cấp, thử ứng dụng mà không ảnh hưởng đến tài sản thật trên mainnet.
Glamsterdam cần một ngày mới cho Hoodi trước khi có thể lên lịch ra mắt trên mainnet.
Các mốc chính
- 19/10: Các nhà phát triển đóng đề xuất vá lỗi vì thiếu sự ủng hộ từ phía client.
- 23/10: Avsetsin bổ sung các bài kiểm thử cho bản vá.
- 26/10 (thứ Hai): Justin Traglia hợp nhất bản vá vào đặc tả đồng thuận của Ethereum.
- 26/10: Lần ra mắt trên mạng thử nghiệm Hoodi bị hoãn, dù Glamsterdam đã chạy trên Sepolia.
- Chưa xác định: Ngày ra mắt mainnet, phụ thuộc vào lịch mới cho Hoodi và việc các client tích hợp quy tắc tiền gửi mới.
Câu hỏi thường gặp
Lỗ hổng trong bản nâng cấp Glamsterdam là gì?
Đó là lỗi trong quy tắc xử lý tiền gửi đang chờ: nếu builder và validator dùng chung một khóa công khai, cả khoản tiền gửi của builder lẫn của dịch vụ staking có thể bị ghi có cho builder, khiến dịch vụ staking mất tiền mà không thể tạo bằng chứng để thu hồi.
Vì sao các nhà phát triển ban đầu từ chối bản vá?
Đề xuất bị đóng ngày 19/10 vì không đủ sự ủng hộ từ các nhóm client. Sau khi xem xét thêm và có thêm bài kiểm thử từ nhà nghiên cứu Avsetsin vào ngày 23/10, bản vá được mở lại và hợp nhất vào thứ Hai.
Đã có thiệt hại nào chưa?
Chưa ghi nhận thiệt hại nào. Nhà nghiên cứu cũng nhấn mạnh đây là phát hiện mang tính điều kiện trong mã nguồn, không phải một cuộc khai thác đã được xác nhận trên thực tế.
Bản vá thay đổi điều gì?
Theo quy tắc mới, các khoản tiền gửi đang chờ được phân loại theo withdrawal credentials. Tiền gửi của validator vẫn thuộc về validator kể cả khi một builder đang dùng cùng khóa công khai.
Khi nào Glamsterdam lên mainnet?
Chưa có ngày cụ thể. Glamsterdam đã chạy trên Sepolia nhưng lần ra mắt trên Hoodi ngày 26/10 đã bị hoãn, nên cần một ngày mới cho Hoodi trước khi có thể lên lịch cho mainnet.
Dịch và biên tập lại theo nguồn: CoinDesk Altcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
