Ethereum легкий клієнт Helios: новий вибір для без довірчого доступу

8 листопада з'явився новий легкий клієнт Ethereum Helios. Цей клієнт, розроблений на основі мови Rust, має на меті забезпечити повноцінний доступ до Ethereum без необхідності довіряти.

Однією з великих переваг блокчейну є відсутність необхідності у довірі. Завдяки технології блокчейн користувачі можуть самостійно контролювати своє багатство і дані. Блокчейни, такі як Ethereum, дійсно виконали цю обіцянку в більшості випадків, дозволяючи користувачам справді володіти своїми активами.

Однак, задля зручності, користувачі часто йдуть на деякі компроміси. Одним з них є використання централізованих RPC (віддалених викликів) серверів. Користувачі зазвичай звертаються до централізованих постачальників для доступу до Ethereum. Ці компанії запускають високопродуктивні вузли на хмарних серверах, допомагаючи користувачам легко отримувати дані з блокчейна. Коли гаманець запитує баланс токенів або перевіряє, чи були упаковані очікувані транзакції, ці централізовані постачальники зазвичай використовуються.

Проблема поточної системи полягає в тому, що користувачі повинні довіряти цим постачальникам і не можуть перевірити, чи є результати запиту правильними.

Helios як легкий клієнт Ethereum може забезпечити повністю бездоверчий доступ до Ethereum. Він використовує протокол легкого клієнта, що виник внаслідок переходу Ethereum на PoS, щоб перетворити дані від ненадійних централізованих постачальників RPC у безпечні та перевірені локальні RPC. Поєднуючи централізовані RPC, Helios може перевіряти справжність даних без запуску повного вузла.

Цей клієнт може завершити синхронізацію приблизно за дві секунди, не потребуючи зберігання, користувачі можуть безпечно отримувати доступ до даних на ланцюгу з будь-якого пристрою (включаючи мобільні телефони та плагіни для браузера). Але які потенційні ризики пов'язані з централізованою інфраструктурою? У цій статті ми розглянемо ці ризики, представимо дизайн Helios та надамо кілька ідей, які допоможуть розробникам зробити внесок у кодову базу.

Потенційні ризики централізованої інфраструктури

Теоретично, новий тип атаки може ховатися в екосистемі Ethereum. Ця атака не націлена безпосередньо на пам'яті транзакцій (Mempool), а встановлює пастки, імітуючи централізовану інфраструктуру, на яку покладаються користувачі. Користувачі, які стали жертвами атаки, не зробили нічого поганого: вони просто, як зазвичай, відвідували DEX, встановлювали розумний сліп і здійснювали торгівлю токенами. Однак вони можуть стикатися з новим типом бутербродної атаки, яка ретельно організована на вході до екосистеми Ethereum — у постачальника RPC.

Щоб зрозуміти цю атаку, нам спочатку потрібно зрозуміти, як DEX обробляє транзакції. Коли користувач здійснює обмін токенів, він надає смарт-контракту кілька параметрів: токен, який потрібно обміняти, суму обміну, а також, що найважливіше, мінімальну кількість токенів, яку користувач готовий прийняти. Останній параметр встановлює "мінімальний вихід" транзакції, якщо це значення не може бути досягнуто, транзакція буде скасована. Це зазвичай називається "ковзанням", і воно ефективно обмежує максимальні зміни ціни, які можуть виникнути в період від надсилання транзакції до її упаковки.

Якщо налаштування сліпу занадто низьке, користувач може отримати лише невелику кількість токенів. Ця ситуація також може призвести до атаки бутербродом, коли зловмисник вставляє угоду користувача між двома зловмисними угодами. Ці угоди підвищують спотову ціну, змушуючи користувача укладати угоду за невигідною ціною. Потім зловмисник негайно продає токени, отримуючи невеликий прибуток.

Якщо параметри мінімального виходу налаштовані в розумних межах, користувачі не потраплять під атаку «сендвіч». Але що, якщо постачальник RPC не надає точних котирувань для смарт-контрактів DEX? Це може призвести до того, що користувачі підпишуть невигідні обмінні угоди, не знаючи про це. Ще гірше, що користувачі можуть прямо відправити угоду зловмисному постачальнику RPC. Постачальник може не розповсюджувати угоду в публічний пул пам'яті, а натомість таємно утримати її та відправити пакет угод, що зазнає нападу, безпосередньо певній службі, отримуючи з цього прибуток.

Причиною цієї атаки є довіра до інших для отримання стану блокчейну. Щоб вирішити цю проблему, досвідчені користувачі зазвичай вибирають запуск власного вузла Ethereum. Однак це вимагає значних часових та ресурсних затрат, принаймні одного постійно онлайн пристрою, сотні ГБ пам'яті та близько одного дня для завершення початкового синхронізації. Незважаючи на те, що деякі команди постійно працюють над спрощенням цього процесу, для більшості користувачів, особливо для користувачів мобільних пристроїв, запуск вузла залишається викликом.

Слід зазначити, що хоча атаки централізованих постачальників RPC теоретично можуть відбуватися, наразі немає жодного фактичного випадку. Незважаючи на те, що минулі записи великих постачальників заслуговують на довіру, все ж розумно провести належне дослідження перед додаванням незнайомих постачальників RPC до гаманця.

Helios: безпечний доступ до Ethereum без довіри

Після запуску протоколу легкого клієнта Ethereum відкрилися нові можливості для швидкої взаємодії з блокчейном і верифікації RPC-кінець з найменшими вимогами до апаратного забезпечення. Протягом місяця після The Merge з'явилося кілька незалежних проектів легкого клієнта, які використовують різні підходи, але всі прагнуть до досягнення однієї мети: ефективного доступу без необхідності довіри, без використання повних вузлів.

Helios є легким клієнтом Ethereum, який може завершити синхронізацію приблизно за дві секунди, не потребуючи зберігання, і забезпечує повністю бездоказовий доступ до Ethereum. Як і всі клієнти Ethereum, Helios складається з виконавчого шару та шару консенсусу. Але на відміну від більшості інших клієнтів, Helios тісно пов'язує ці два шари, дозволяючи користувачам встановлювати та запускати лише одне програмне забезпечення.

Принцип роботи Helios такий: шар консенсусу використовує відомий хеш блоку сигнального ланцюга та підключає ненадійний RPC, щоб синхронізуватися з поточним блоком у перевіряємий спосіб. Шар виконання поєднує ці перевірені блоки сигнального ланцюга з ненадійним RPC шару виконання, щоб перевірити різну інформацію про стан мережі, таку як баланс рахунків, зберігання контрактів, квитанції про транзакції та результати викликів смарт-контрактів. Ці компоненти працюють разом, щоб надати користувачам RPC, що не вимагає довіри, без необхідності запускати повний вузол.

Реальні застосування Helios

Helios як легкий клієнт дозволяє користувачам безпечно отримувати доступ до даних на ланцюгу з будь-якого пристрою (включаючи мобільні телефони та браузерні плагіни). Це дозволить більшій кількості людей отримувати дані Ethereum без необхідності довіряти, незалежно від апаратних обмежень. Користувачі можуть налаштувати Helios як постачальника RPC у своєму гаманці для бездокументного доступу до різних DApp, весь процес не потребує жодних інших змін.

Крім того, підтримка Rust для WebAssembly дозволяє розробникам додатків легко вбудовувати Helios у Javascript-додатки (такі як гаманці та DApp). Ці інтеграції підвищать безпеку Ethereum та зменшать залежність від централізованої інфраструктури.

Спільнота може зробити внесок у Helios різними способами, окрім того, щоб додавати до кодової бази, також можна створювати програмне забезпечення, інтегроване з Helios. Деякі перспективні напрямки включають:

• Підтримка прямого отримання даних легкого клієнта з мережі P2P
• Реалізувати відсутні RPC-методи
• Розробка версії Helios, що компілюється в WebAssembly
• Інтегрувати Helios безпосередньо в програмне забезпечення гаманця
• Створіть інформаційну панель мережі для перегляду балансу токенів, вбудувавши Helios у веб-сайт, що використовує WebAssembly.
• Розгортання API двигуна, підключення шару консенсусу Helios до повного вузла існуючого шару виконання

Поява Helios принесла нові можливості для екосистеми Ethereum, і він обіцяє підвищити зручність доступу користувачів до даних блокчейну, забезпечуючи при цьому безпеку. Завдяки постійному внеску та вдосконаленню спільноти, Helios може стати важливим інструментом для подальшої децентралізації та популяризації Ethereum.