WORLDTECHEthereum-Clients schließen Lücke, die Validator-Einzahlungen umleiten konnte
Ethereum-Clientteams haben eine Schwachstelle in den Entwurfsregeln für Glamsterdam, das kommende Upgrade des Netzwerks, geschlossen. Sie hätte Angreifern erlauben können, für neue Validatoren bestimmte ETH umzuleiten. Laut Crypto Briefing wurde der Fehler behoben, bevor Coins verloren gingen. Der Fall zeigt jedoch, wie stark vom Trennen der Rollen abhängt, das das Upgrade festschreiben soll.
Wie der Fehler gefunden und behoben wurde
Gemeldet wurde die Schwachstelle von einem Forscher, der sich avsetsin nennt. Sie betraf die Entwurfsregeln für ePBS, kurz für enshrined Proposer-Builder-Separation, einen zentralen Baustein des Glamsterdam-Upgrades.
Nach diesen Entwurfsregeln konnten Einzahlungen irrtümlich einem Builder-Konto gutgeschrieben werden, sobald Builder- und Validator-Aktivität denselben öffentlichen Schlüssel teilten. Beim Staking werden Token gesperrt, um ein Netzwerk zu betreiben und dafür einen Ertrag zu erhalten. Die Korrektur ändert die Sortierung: Das überarbeitete Protokoll ordnet Einzahlungen anhand der Auszahlungsdaten zu, statt sich allein auf öffentliche Schlüssel zu stützen.
Korrektur kam nur knapp durch
Der Patch passierte den ersten Anlauf nicht. Er wurde am 19. Oktober 2026 zunächst abgelehnt, weil ihm ausreichende Unterstützung durch die Clients fehlte. Maintainer Justin Traglia übernahm die Korrektur später zwischen dem 23. und 28. Oktober 2026 in die Konsensspezifikationen.
Das Update wurde bereits auf Testnetzen erprobt, mit gemischten Ergebnissen bei der Terminplanung. Hoodi, ein weiteres Ethereum-Testnetz, musste seine Aktivierung nach der Korrektur verschieben.
Warum das Upgrade mehr auf dem Spiel hat
Glamsterdam soll die Rollen von Block-Buildern und Validatoren formal trennen. Bisher geschieht diese Trennung weitgehend außerhalb des Kernprotokolls, weshalb ihre Verlagerung ins Protokoll einen deutlichen Wandel bedeutet.
Unabhängig davon haben die Ethereum-Entwickler von Teku und Besu Sicherheitsupdates für eine Zertifikatsschwäche veröffentlicht. Sie könnte Angreifern erlauben, sich als Dienste auszugeben, auf die Validatoren angewiesen sind, und so womöglich deren Blockbelohnungen umlenken.
Offene Fragen
- Wird die überarbeitete Einzahlungslogik auf den übrigen Testnetzen ohne Terminprobleme laufen?
- Wann soll das Glamsterdam-Upgrade das Hauptnetz erreichen?