Optimism heeft deze week een kritieke kwetsbaarheid onthuld waarmee aanvallers vervalste terugbetalingspayloads op het netwerk hadden kunnen forgen. De bug bevond zich in het SDM-verificatiepad – met name in de pre-Lagoon terugbetalingslogica – en accepteerde valse terugbetalingsverzoeken zonder de status opnieuw te berekenen. Het team meldde dat het het probleem had verholpen voordat een productieketen werd getroffen en dat er geen fondsen verloren zijn gegaan.
Wat de bug deed
De kwetsbaarheid zat in wat Optimism het SDM-verificatiepad noemt, een gevoelig onderdeel van de infrastructuur dat terugbetalingstransacties controleert. Normaal gesproken berekent het systeem het terugbetalingsbedrag opnieuw om te controleren of het overeenkomt met de oorspronkelijke storting. Maar deze bug sloeg die herberekening over, waardoor een vervalste payload de verificatie zou doorstaan. Iedereen die het gat vond, had fondsen uit het bridge-contract kunnen halen – althans in theorie.
Hoe het werd opgelost
De fix werd doorgevoerd voordat de Lagoon-upgrade in productie ging. Dat is cruciaal: Lagoon is de volgende grote protocolupdate van Optimism, en de kwetsbare code maakte deel uit van het oudere terugbetalingspad dat Lagoon vervangt. Het team ontdekte het probleem intern, verhielp het en plaatste vervolgens de volledige openbaarmaking op het Optimism-governanceforum. Geen externe onderzoeker of exploitpoging leidde tot de fix – het was een proactieve ontdekking.
Waarom de openbaarmaking ertoe doet
Het publiekelijk beschrijven van een ernstige kwetsbaarheid nadat deze is verholpen, is nog steeds zeldzaam in crypto. De meeste teams lossen het probleem stil op en gaan verder. Optimisms besluit om de technische details te geven – het verificatiepad, de terugbetalingslogica, de pre-Lagoon-context – biedt andere bouwers een concrete casestudy van wat er mis kan gaan. De timing is niet perfect: een onthulde kwetsbaarheid roept altijd vragen op over hoeveel vergelijkbare blinde vlekken er bestaan. Maar het team maakte duidelijk dat het venster voor misbruik nul was.
De Lagoon-upgrade zal naar verwachting in de komende weken live gaan en verwijdert de getroffen code volledig. Voor nu staat de openbaarmaking als een herinnering dat zelfs doorgewinterde rollups logische hiaten kunnen hebben – en dat het opsporen ervan voordat ze worden misbruikt de hele kunst is.
