Esta semana, los desarrolladores de Ethereum corrigieron una vulnerabilidad potencial en las especificaciones de Glamsterdam, la próxima actualización de la blockchain. El problema podría haber permitido que un operador malicioso desviara fondos en ETH destinados a la creación de nuevos validadores. La solución fue incorporada oficialmente a las reglas del protocolo tras una revisión técnica y nuevas pruebas de seguridad.
El fallo estaba relacionado con uno de los principales cambios previstos para Glamsterdam: la separación entre los participantes encargados de construir bloques y aquellos responsables de proponerlos y validarlos. Aunque ambos pueden realizar depósitos de ETH, sus fondos deben administrarse de manera independiente para evitar errores en su asignación.
El investigador identificado como Avsetsin detectó que las reglas propuestas para procesar depósitos pendientes podían generar una situación problemática. Según su análisis, un operador malicioso podría registrarse primero como constructor de bloques utilizando una clave pública determinada. Posteriormente, si un servicio de staking depositaba fondos para crear un validador con esa misma clave, el sistema podría acreditar incorrectamente el capital al constructor.
En ese escenario, el operador tendría la posibilidad de retirar los fondos sin que llegara a crearse el validador correspondiente. Esto también dificultaría que el servicio afectado demostrara su derecho a recuperar el depósito. Sin embargo, se trata de una vulnerabilidad identificada en las especificaciones de una actualización todavía no implementada en la red principal. No se han reportado pérdidas financieras relacionadas con este problema.
El proceso de aprobación de la enmienda técnica por parte de los desarrolladores de Ethereum
La propuesta de corrección fue rechazada inicialmente el 19 de octubre debido a que todavía no contaba con suficiente respaldo de los equipos responsables del software de Ethereum. Sin embargo, nuevas revisiones técnicas llevaron a reconsiderar la decisión. El 23 de octubre, la propuesta fue reabierta y el investigador incorporó pruebas adicionales para comprobar su funcionamiento.
Finalmente, el 26 de octubre, los desarrolladores aprobaron e integraron los cambios en las especificaciones de consenso. La solución establece una separación más precisa entre los depósitos destinados a constructores de bloques y aquellos correspondientes a validadores, utilizando las credenciales de retiro para determinar cómo debe procesarse cada operación.
De esta manera, los fondos destinados a crear validadores permanecen en la cola correspondiente, incluso cuando un constructor utiliza la misma clave pública. El ajuste busca evitar asignaciones incorrectas y preservar la independencia entre ambos tipos de participantes.
No obstante, la incorporación de la corrección a las especificaciones no significa que todos los programas de Ethereum ya la hayan implementado. Los equipos responsables de los diferentes clientes deberán integrar los cambios y completar las pruebas correspondientes.
Cabe recordar que Glamsterdam se activó en la red de pruebas Sepolia el pasado 6 de octubre. Sin embargo, su despliegue en Hoodi, previsto originalmente para el 26 de octubre, fue pospuesto mientras los desarrolladores investigan otras cuestiones técnicas relacionadas con la actualización. Todavía no se ha anunciado una nueva fecha para esa activación ni para su llegada a la red principal.
Perspectivas para la seguridad del ecosistema
La detección y corrección de esta vulnerabilidad refleja la importancia de las revisiones técnicas antes de introducir modificaciones estructurales en Ethereum. Aunque el problema no provocó pérdidas conocidas, su posible impacto sobre los depósitos de staking demuestra que incluso cambios diseñados para mejorar el funcionamiento del protocolo pueden introducir riesgos imprevistos.
Por ahora, los desarrolladores deberán comprobar que la solución funciona correctamente en los distintos clientes y que no genera nuevos problemas de compatibilidad. La prioridad será completar estas verificaciones antes del despliegue definitivo de Glamsterdam, con el objetivo de proteger los fondos de los participantes y mantener la seguridad operativa de la red.
