Un test critique d’Ethereum freiné par des risques identifiés sur des contrats en production
La dernière phase de répétition générale de Glamsterdam, prévue sur l’environnement de test Hoodi, a été reportée suite à la découverte de vulnérabilités potentielles touchant des contrats déjà déployés. L’alerte émane notamment de la société ChainSecurity, qui a identifié au moins 13 contrats pouvant voir leur fonctionnement perturbé par les modifications introduites par les propositions EIP-8037 et EIP-8038.
Concrètement, ces EIP modifient la manière dont certaines opérations liées à la création de données (et leur facturation en gas) sont traitées. Dans certaines interactions entre contrats — lorsqu’un contrat A appelle un contrat B puis manque de gas — une opération attendue comme annulée pourrait laisser des effets durables ou empêcher qu’une tentative ultérieure réussisse normalement. Les développeurs ont donc préféré suspendre la mise en scène prévue afin d’examiner l’étendue des effets possibles.
- Report immédiat : la répétition générale initialement prévue le 26 octobre sur Hoodi est suspendue.
- Origine des risques : EIP-8037 et EIP-8038, qui changent la facturation de certaines opérations.
- Impact observé : ChainSecurity a identifié au moins 13 contrats potentiellement affectés ; aucune perte financière liée à ces failles n’a été signalée à ce stade.
- Mesures prises : usage d’agents d’intelligence artificielle pour étendre l’analyse et coordination inter-équipes avant toute activation sur le réseau principal.
Les équipes en charge d’Ethereum n’ont pas communiqué de date de reprogrammation pour Hoodi, ni de calendrier final pour le déploiement sur le réseau principal. Glamsterdam avait déjà été activé sur le testnet Sepolia le 6 octobre ; Hoodi devait constituer la seconde et ultime étape de validation avant une éventuelle mise en production.
Pourquoi ces failles inquiètent
Le système de gas d’Ethereum est au cœur du modèle économique et de sécurité des contrats intelligents : il mesure et tarifie les ressources nécessaires à l’exécution d’un code sur la chaîne. Une modification du comptage ou du comportement en cas de manque de gas peut avoir des conséquences non souhaitées, en particulier pour des contrats composés ou qui s’appuient sur des appels croisés. Le cas décrit par ChainSecurity montre un risque d’effet secondaire logique — une opération censée être annulée qui, faute de gas, laisse des traces fonctionnelles, ou bloque des exécutions ultérieures.
| Elément | Statut |
|---|---|
| Activation sur Sepolia | Effectuée (6 octobre) |
| Répétition sur Hoodi | Reportée (26 octobre) |
| Contrats identifiés à risque | 13 (ChainSecurity) |
| Pertes signalées | Aucune à ce jour |
Pour limiter le périmètre d’exposition, des chercheurs d’Ethereum déploient désormais des agents d’intelligence artificielle pour analyser automatiquement des comportements inattendus au sein des contrats. Cette démarche vise à accélérer la détection d’interactions dangereuses que l’audit manuel, seul, pourrait manquer. Reste que l’usage d’IA pour l’audit pose aussi des questions méthodologiques : quels jeux de données, quels scénarios d’exécution sont testés, et comment valider les faux positifs ou négatifs générés par ces agents ?
Conséquences pour l’écosystème
Le report illustre une approche prudente : mieux identifier et corriger des risques potentiels avant un déploiement global plutôt que réagir après incident. C’est une bonne nouvelle pour les détenteurs de contrats et pour les plateformes qui s’appuient sur Ethereum, mais cela retarde aussi des améliorations prévues du réseau et maintient une incertitude sur le calendrier.
À court terme, les acteurs doivent surveiller trois éléments :
- les rapports complémentaires de ChainSecurity et d’autres auditeurs indépendants ;
- la publication d’un plan détaillant les correctifs ou ajustements apportés aux EIP concernés ;
- la date de reprogrammation de Hoodi et la stratégie de déploiement sur le réseau principal.
Sans ces éclaircissements, toute spéculation sur l’étendue réelle du risque reste prématurée. Les développeurs montrent néanmoins la priorité donnée à la sécurité des contrats déployés — un signal important pour les institutions et plateformes qui envisagent des intégrations à grande échelle.
