Por Canuto  

Dima Gusakov advirtió sobre un posible ataque de front-running durante la transición al fork Glamsterdam: un operador malicioso podría intentar reclamar ETH destinado a validadores. La propuesta de una defensa a nivel de protocolo no avanzó, por lo que los controles de los proveedores de staking cobrarían especial importancia.
***

  • La advertencia describe un riesgo temporal de front-running relacionado con colas compartidas de depósitos alrededor del fork.
  • La propuesta de verificaciones previas al depósito, registrada como el issue #5735, se cerró con el estado no planificado.
  • La activación de Glamsterdam en Hoodi está programada para el 26 de octubre de 2026; no se había anunciado una fecha para la red principal.

Dima Gusakov advirtió sobre una posible ventana de front-running durante la transición de Ethereum a Glamsterdam. El escenario descrito permitiría que un operador malicioso intentara redirigir ETH destinado a validadores.

Lido advierte sobre un posible desvío de depósitos de ETH durante Glamsterdam

Una ventana de riesgo en el cambio de fork

Gusakov advirtió el 20 de octubre de 2026 sobre un posible ataque durante la transición de Ethereum a Glamsterdam. El riesgo que describió se concentra en protocolos de staking delegado y no apunta a una falla permanente en el diseño de la red, sino a una ventana específica alrededor del cambio de reglas. Si el escenario se materializara, fondos enviados para respaldar un validador podrían acabar asociados a una cuenta de constructor.

La advertencia relaciona el riesgo con depósitos de constructores y credenciales de retiro identificadas con el prefijo 0xB0. Las credenciales de retiro determinan quién tiene derecho sobre el ETH en staking y a dónde se dirige finalmente, por lo que la forma en que la red interpreta esas instrucciones resulta central para el escenario planteado. La preocupación no implica que todos los depósitos estén expuestos: apunta a una posible interacción entre distintos tipos de depósito durante la transición.

Según la explicación de Gusakov, los depósitos de constructores y los de validadores pasarían por colas compartidas en torno al fork. Esa superposición, combinada con el momento en que cambian las reglas, podría permitir que un operador de nodo malicioso presente primero un depósito de constructor y reclame fondos destinados a un validador. Se trata de un riesgo condicionado a esa secuencia, no de un robo confirmado ni de una pérdida ya ocurrida.

En el escenario planteado, la cuenta del constructor del atacante recibiría el crédito del depósito y el validador que financiaba el usuario no llegaría a activarse. El perjuicio no se limitaría entonces a una demora administrativa: podría frustrar el propósito del depósito y alterar el destino previsto de los fondos. La advertencia se refiere a una coyuntura delimitada alrededor del fork, no a una debilidad permanente de Ethereum.

La defensa propuesta no quedó en la especificación

El problema se planteó en el repositorio de especificaciones de consenso de Ethereum como el issue #5735. La propuesta solicitaba verificaciones previas al depósito, es decir, controles para revisar las condiciones de una operación antes de aceptarla. Su objetivo era impedir que un depósito de constructor se adelantara y reclamara fondos vinculados a un validador durante la ventana descrita por Gusakov.

El issue se cerró con el estado «no planificado», por lo que la corrección propuesta no quedó incorporada a la planificación de la especificación central. Ese cierre no demuestra que un ataque sea inevitable ni que todos los depósitos vayan a quedar desprotegidos. Significa que la mitigación específica planteada en ese issue no avanzaría mediante ese cambio a nivel de protocolo.

Gusakov señaló las verificaciones previas al depósito como una posible defensa y sostuvo que la carga recaería en los propios protocolos de staking, en lugar de depender de una modificación de la especificación central. Esto pone el foco en los mecanismos que cada proveedor utiliza para revisar y ordenar los depósitos antes de enviarlos. La exposición podría variar de un servicio a otro según el alcance de esos controles.

La advertencia deja a los equipos de staking una tarea concreta: comprobar si sus sistemas consideran las credenciales 0xB0 y la dinámica de las colas compartidas en el límite del fork. No afirma que todos los proveedores carezcan de defensas ni identifica un ataque que ya haya ocurrido. Plantea una cuestión de preparación técnica que deberá evaluarse antes de la activación pertinente.

Los controles de Lido y la prueba de Hoodi

Lido cuenta con un Deposit Security Module y un comité de seguridad de depósitos. La documentación del módulo explica que este tipo de controles se propuso tras identificarse una vulnerabilidad de front-running, mientras que el manual del comité señala que su función es prevenir la sustitución de credenciales de retiro mediante front-running de operadores de nodos. El antecedente ilustra la clase de salvaguardas que pueden aplicarse fuera de la capa central de Ethereum.

La existencia de esos mecanismos no permite concluir automáticamente que cubran el nuevo escenario. La cuestión planteada es si la infraestructura de Lido y los sistemas equivalentes de otros proveedores contemplan las credenciales de constructor 0xB0 y el comportamiento de la cola compartida durante el cambio de fork. Su eficacia dependerá de cómo cada protocolo adapte sus verificaciones a esas condiciones.

Los controles previos a la aceptación de depósitos podrían ayudar frente al riesgo descrito, pero no constituyen una garantía de seguridad ni confirman que el mecanismo de Lido se haya actualizado para cubrir cada detalle de Glamsterdam. Los proveedores deberán revisar sus procesos antes de la activación correspondiente, en particular si no disponen de salvaguardas comparables.

La activación de Glamsterdam en la red de prueba Hoodi está programada para el 26 de octubre de 2026, según el anuncio de la Fundación Ethereum. La fecha también fue reportada por DiarioBitcoin. Esa prueba ofrece a los equipos una oportunidad para comprobar cómo se comportan sus sistemas de depósitos antes de que el cambio llegue a la red principal.

Qué deben observar los usuarios de staking

La información disponible no fijaba una fecha para activar Glamsterdam en la red principal. Algunas previsiones la situaban como objetivo para el cuarto trimestre de 2026, pero el riesgo descrito está ligado al momento de transición, no a una exposición constante. Por eso, la advertencia apunta a la preparación durante la ventana previa al fork, no a una amenaza general para cada depósito de ETH.

Para quienes delegan su ETH, el aspecto relevante es cómo su proveedor valida y protege los depósitos que financian nuevos validadores. La advertencia no recomienda una acción específica para los usuarios ni identifica servicios vulnerables, por lo que no permite concluir que una plataforma determinada esté comprometida. Sí subraya que la seguridad puede depender de controles implementados por cada protocolo cuando la defensa no se incorpora a la especificación central.

También conviene distinguir entre un ataque posible y una explotación comprobada. Gusakov planteó un mecanismo que podría aprovechar la superposición de colas y credenciales durante la transición, pero no se informó de fondos desviados mediante este método ni de pérdidas confirmadas asociadas con Glamsterdam. La evaluación del riesgo requiere que los protocolos revisen sus procesos y comprueben si reconocen la secuencia descrita antes de procesar depósitos.

La prueba de Hoodi es el primer campo de ensayo señalado para esta actualización, mientras que el cierre del issue #5735 deja la respuesta inmediata en manos de los proveedores de staking. El resultado dependerá de que sus controles detecten a tiempo depósitos que intenten adelantarse a los fondos de validadores y de que la revisión considere las nuevas credenciales de constructor. La transición permitirá evaluar si esa defensa distribuida basta para cerrar la ventana advertida.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados