以太坊扭转局势，修复Glamsterdam验证者存款漏洞_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

以太坊扭转局势，修复Glamsterdam验证者存款漏洞

2026-10-27 17:31:49

以太坊开发者合并修复Glamsterdam升级中存款处理缺陷的代码

2026年10月26日，以太坊开发者正式合并了一项针对即将进行的Glamsterdam升级的存款处理漏洞修复补丁。该漏洞若未被修复，可能导致区块构建者错误地接收原本应归属于新验证者的ETH。此举是在开发团队最初拒绝该修改提案后，经过进一步审查和测试最终批准的。

漏洞细节与潜在风险

根据以太坊共识规范（consensusspecifications），维护者Justin Traglia在开发人员avsetsin指出Gloas分叉期间待处理存款的处理逻辑存在问题后，于10月26日合并了此项修正。该修改依据提现凭证（withdrawal credentials）将区块构建者存款与验证者存款区分开来，从而防止当两者使用相同公钥时资金进入错误的账户。

需要强调的是，这一漏洞涉及的是正在开发中的规则，而非以太坊主网上已确认的资金盗窃事件。尽管开发人员已将修正纳入规范，但各个共识客户端仍需实施并测试修订后的行为。

该问题源于Glamsterdam升级中旨在确立“提议者-构建者分离”（Proposer-Builder Separation, PBS）机制的变更。在该机制下，区块构建与区块提议由不同角色承担：构建者组装交易负载，而验证者通过以太坊的权益证明（PoS）系统参与区块的提议和确认。

研究员avsetsin在10月12日描述了这一缺陷，指出在网络升级时，用于处理等待中存款的规则存在逻辑漏洞。如果一位构建者在同一公钥下的验证者存款到达之前先注册为该公钥对应的构建者，现有的提议逻辑可能会将两笔存款都记入构建者名下。

研究员在报告中描述了一种场景：某质押运营商收到来自流动性质押协议的 funds 以建立新验证者。如果该运营商先注册为构建者，可能会导致协议方的验证者存款进入构建者余额，而提现地址可能由该运营商控制。“运营商可以提取协议的资金，”avsetsin在GitHub报告中警告道。由于预期的验证者无法创建，质押服务可能难以获得完成正常存款和恢复程序所需的证明。

研究人员通过对代码的初步研究，评估了Lido、Origin和Rocket Pool等项目面临的潜在风险。这些发现取决于各协议处理存款的具体方式，报告并未证实这些项目已经遭受攻击。

开发团队的决策反转

尽管研究员详细描述了存款路由风险，但该修正提案最初遭到了以太坊客户端开发人员的抵制。10月19日，在核心开发人员讨论后，Traglia关闭了相关拉取请求（Pull Request）。

“目前客户端方面对该变更的支持不足，”Traglia写道。

然而，这一决定并未持续。经过进一步审查，开发人员于10月23日重新开启了该提案。随后，审阅者potuz批准了该方法，但要求对特定的存款组合进行更多测试。avsetsin于10月23日补充了这些测试用例，涵盖了构建者和验证者存款共享同一公钥但需要分别处理的情况。

经过进一步的客户端审查，最终更改于10月26日合并至以太坊共识规范中。新规指导有效的验证者存款进入验证者队列，同时允许合法的构建者存款注册或向现有构建者添加资金。新的规则通过提现凭证来区分存款，即使同一公钥出现在两种角色中，也能保持构建者和验证者记录的独立性。

Hoodi测试网延期带来额外调查时间

在开发人员审核另一项影响Glamsterdam在Hoodi测试网上计划激活的问题时，上述规范更新得以完成。以太坊基金会推迟了原定于10月26日的升级，因为研究人员发现了与EIP-8037相关的兼容性风险。

此前报道指出，此次推迟使得阿姆斯特丹执行层变更和Gloas共识层变更均未包含在Hoodi的计划激活中，包括将气体限制提高到2亿的建议也随之延期。

以太坊研究员Toni Wahrstätter解释说，EIP-8037可能会干扰那些依赖执行期间剩余气体假设的智能合约。他指出了某些情况下，气体核算可能导致交易意外回滚，或允许执行开发者认为不可达的路径。

这种合约兼容性问题与GitHub修正中解决的构建者存款漏洞是不同的。虽然两者都关乎Glamsterdam，但基金会在10月22日宣布推迟时，特别引用了对EIP-8037与现有合约交互情况的进一步调查。

客户端需实施修订规则

Glamsterdam已于10月6日在Sepolia测试网上激活，开发人员在那里检查了区块构建变更和更高的交易处理能力。随后的Hoodi预演仍未安排时间表，以太坊主网的激活日期尚未确定。

此次合并的存款修正包含了回归测试，涵盖了Gloas过渡期间存款分类的方式。客户端团队必须将这些规范变更纳入其软件中，并在未来网络升级中应用更新规则之前完成进一步的测试。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文