Os 13 projetos de DeFi que travaram o calendário do Glamsterdam

Faltavam quatro dias para o último ensaio público do Glamsterdam quando os desenvolvedores desfizeram a data. A ativação na Hoodi, marcada para segunda-feira às 17h42 UTC, foi adiada, e a Ethereum Foundation não marcou outra. A decisão saiu da reunião de execução daquele dia, a ACDE 248.

A Hoodi era a última das três redes de testes públicas do pacote, depois da Platåberget, em agosto, e da Sepolia, que ativou o código em 6 de outubro. O Glamsterdam leva para dentro do protocolo a separação entre quem monta o bloco e quem o propõe, acrescenta as listas de acesso por bloco e muda a cobrança de gás. No mesmo bloco em que entraria em vigor, um cronograma elevaria o teto de gás da Hoodi a 200 milhões, o mesmo patamar já aplicado na Sepolia. O comunicado diz que o adiamento desfaz as duas metades da atualização, a do código de execução e a do consenso, e também o cronograma de gás. O histórico da Hoodi fica como está, e a rede volta à configuração anterior.

O motivo declarado é o EIP-8037. Os desenvolvedores querem mais tempo para investigar como a proposta de recálculo de gás interage com contratos inteligentes que já rodam na rede principal. Nada muda para quem usa a Ethereum ou guarda ether, e a rede principal continua sem data.

O que a ChainSecurity achou nos contratos

A análise que disparou a decisão foi publicada pela ChainSecurity em 13 de outubro, com as especificações revisadas naquele mesmo dia. O alvo são contratos que capturam uma chamada externa que falhou e continuam executando, para tocar o resto do lote, anotar o erro ou buscar uma alternativa. Hoje, quando o destino fica sem gás, sobra tão pouco para quem chamou que o próprio tratamento do erro morre e a transação inteira reverte. Nada fica gravado, e o usuário tenta de novo.

As regras do Glamsterdam mudam essa conta. O EIP-8037 põe a gravação de estado novo em um medidor próprio, separado do gás que paga a execução, e cria uma reserva que viaja inteira com a chamada, sem passar pelo corte que hoje limita o repasse entre chamadas. Limpar um espaço de armazenamento que estava zerado quando a transação começou devolve até 97.920 de gás de execução. Com isso, o tratamento de erro chega ao fim, e chega ao fim gravando. Um saque marcado como falho, uma cobrança removida, um lote encerrado com resultado errado. Todos esses desfechos caem sobre uma operação que deveria continuar retentável. Quem chama pode provocar o cenário de propósito, mandando gás de menos para o destino e o suficiente para o contrato de fora anotar a falha.

A firma já encontrou 13 projetos de DeFi nessa situação e conduz a divulgação responsável com os afetados, sem nomear nenhum deles nem publicar endereços. Segundo o que foi apresentado na reunião, boa parte desses contratos é atualizável ou migrável, e a análise completa deve levar de duas a três semanas. Uma distinção da análise importa para o que vem depois. O protocolo executa o que a especificação manda. O que deixa de funcionar são as premissas que os contratos fizeram sobre gás.

Por que o gás virou o gargalo

O EIP-8037 e o EIP-8038, que encarece a leitura e a escrita do estado, respondem a um problema de tamanho. Em janeiro, a base que cada nó precisa manter estava em cerca de 390 GiB. Quando o teto de gás de cada bloco subiu de 30 milhões para 60 milhões, o volume de estado novo que a rede grava por dia mais que triplicou. Com o teto antigo eram cerca de 105 MiB diários, e a média passou a 326 MiB. A previsão da proposta é que, a 200 milhões de gás, a rede passe a produzir 387 GiB por ano e cruze a marca de 650 GiB em menos de doze meses, a partir da qual os nós começam a perder desempenho. O preço dessas operações não era revisto desde Berlim, em 2021.

Daí a lógica de separar as duas cobranças. Criar estado passa a ser medido à parte, o que permite elevar o teto sem que o banco de dados dos nós cresça na mesma proporção. A meta declarada na proposta é de 120 GiB de estado novo por ano, com o teto em 150 milhões de gás. As duas propostas estavam na fase final de revisão das especificações quando a ChainSecurity as leu, o que mede o tamanho do que passou por meses de redes de teste internas e de exercícios adversariais sem ser notado.

Quem precisa desfazer a atualização

O recuo cai sobre quem opera nó ou validador na Hoodi. É preciso voltar à versão anterior nas duas camadas, execução e consenso, antes de segunda-feira, e o comunicado avisa que as tabelas de versões do anúncio anterior não provam que o software já incorpora o adiamento. Até a noite de quinta-feira, quatro dos doze clientes tinham divulgado versões com o corte. A Lodestar publicou na camada de consenso. Na de execução, saíram Besu, Nethermind e Ethrex, essa última ainda em pré-lançamento. Os outros oito seguiam em branco.

Reverter é possível porque a EthPandaOps e os próprios desenvolvedores dos clientes somam cerca de 73% do stake da Hoodi, pela estimativa apresentada na reunião. A Lido confirmou que consegue voltar à versão anterior e avisou que não pode garantir que todos os seus operadores estejam atualizados a tempo. Alguns clientes podem ter trabalho extra com o banco de dados ao desfazer a mudança.

O que a decisão não muda

A Sepolia ativou o mesmo pacote em 6 de outubro e continua na versão nova. O que a ChainSecurity mediu são contratos em produção, com saldo dentro, e nenhuma rede de testes reproduz esse conjunto. A própria fundação pediu que ninguém organize testes na Hoodi contando com a data antiga.

A Hegotá, a próxima atualização, seguiu o próprio curso. Os desenvolvedores marcaram para a semana de 27 de outubro mais uma devnet só de execução, a bogota-devnet-2, com quatro propostas. A primeira devnet que junta execução e consenso ficou para depois da Devcon, que ocupa Mumbai entre 3 e 6 de novembro. A próxima chamada de execução passou para cerca de 19 de novembro, e a de consenso, a ACDC 190, segue em 29 de outubro.

Ficaram três caminhos na mesa, nenhum escolhido. Consertar os contratos com problema antes de uma ativação em dezembro, adiar a rede principal mantendo a especificação atual ou alterar a especificação do Glamsterdam. Três datas no começo de dezembro estavam na pauta da reunião como candidatas, e todas dependiam de a Hoodi passar limpa. Uma das três opções mexe no texto que a Sepolia já executou. Se ela vencer, o pacote volta à fase de especificação, e o calendário que já tinha saído de junho para o quarto trimestre perde a data que ainda restava.