Le 5 novembre, une faille logicielle découverte dans le client d'exécution Reth de Paradigm a déclenché une réponse d'urgence sur plusieurs réseaux Ethereum layer‑2. Le bug, issu du calcul hérité de la racine d'état de Reth, pouvait renvoyer une empreinte cryptographique incorrecte de la blockchain lors du traitement de transactions spécialement conçues, risquant de créer des désaccords entre nœuds sur la validité des blocs. Georgios Konstantopoulos, CTO de Paradigm, a indiqué que le problème avait été identifié grâce à des tests de fuzz automatisés menés par l’équipe Tempo et corrigé rapidement sur Reth, Optimism, Base et Tempo.

ETH / USD
Source : CoinGecko. Prix indicatifs.

Nature technique de la vulnérabilité

Les racines d'état résument l’ensemble de l’état d’Ethereum, y compris les soldes de comptes et le stockage des contrats. Selon CryptoSlate, le code défectueux du module hérité de Reth pouvait mal calculer cette racine dans des configurations de stockage extrêmes, notamment sur du matériel bas de gamme et les réseaux OP‑Stack qui utilisent le même client. Bien que l’erreur n’affecte pas les mécanismes de retrait qui utilisent des chemins de vérification distincts, elle pourrait perturber la production de blocs et la synchronisation du réseau si elle n’était pas corrigée.

Déploiement coordonné des correctifs

Les développeurs de Reth ont publié la version 2.10.0, Optimism a diffusé OP Reth v2.8.1 et Base a déployé la version 1.5.3, chacune qualifiée de mise à jour haute priorité pour les opérateurs de nœuds. Base a confirmé que son système de preuve utilise une implémentation indépendante de la racine d’état, lui permettant de vérifier la racine correcte même si le calcul de Reth était défectueux. Le réseau a également recalculé sa racine d’état pour garantir la cohérence, en précisant qu’aucun fonds d’utilisateur n’était impacté et que les validateurs ne s’arrêteraient pas après le correctif.

Réaction plus large de l’écosystème

L’incident a entraîné des mesures de précaution au‑delà des clients directement touchés. Frax Finance a indiqué que LayerZero avait temporairement suspendu certaines routes cross‑chain pendant l’évaluation du risque, tout en affirmant que les actifs et les contrats restaient sécurisés. Aucun pont n’a été jugé vulnérable au bug Reth, soulignant comment une infrastructure partagée peut générer des effets d’entraînement sur les services dépendant du même logiciel d’exécution.

À surveiller prochainement

Les parties prenantes devront suivre le taux d’adoption des versions corrigées parmi les opérateurs de nœuds indépendants, car des nœuds non mis à jour pourraient réintroduire des incohérences. Les observateurs surveilleront également d’éventuelles nouvelles divulgations de projets s’appuyant sur Reth ou des clients d’exécution similaires, ainsi que les analyses post‑mortem susceptibles d’influencer les pratiques de test futures, comme le fuzzing d’entrées transactionnelles extrêmes.