Operator node Ethereum Classic telah didesak untuk menghindari rilis Core Geth v1.13.0 yang disengketakan setelah beberapa node mining pool sempat mengadopsi perangkat lunak tersebut sebelum kembali ke klien Argos yang dikelola.
Classix mengatakan dalam laporan insiden tanggal 16 September bahwa repositori ethereumclassic/core-geth merilis v1.13.0 pada 14 September sebelum akun @ETC_Network mempromosikannya sebagai pembaruan keamanan Ethereum Classic dan memberitahu operator node untuk bermigrasi. Pesan serupa muncul di CoinMarketCap, sementara mining pool menerima email dari alamat ethereumclassic.com.
Laporan tersebut menggambarkan rilis tersebut sebagai versi "nakal" karena pemelihara Core Geth yang ada belum meninjaunya dan repositori etclabscore/core-geth yang dikelola belum mengeluarkan pembaruan tersebut. Classix merekomendasikan agar operator terus menggunakan Argos v1.12.23, rilis saat ini dari repositori yang telah memelihara Core Geth sejak tahun 2020.
Pengembangan versi yang disengketakan dipercepat selama beberapa hari sebelum rilisnya. Menurut Classix, 96 commit yang berisi 13.422 baris ditambahkan dan 3.977 baris dihapus didorong dalam waktu 56 jam langsung ke cabang utama fork tanpa pull request atau tinjauan eksternal.
Repositori ethereumclassic/core-geth itu sendiri telah difork dari etclabscore/core-geth pada Desember 2024. Aktivitas meningkat pada 12 September 2026, ketika v1.13.0-rc1 ditandai. Enam kandidat rilis lagi menyusul sebelum v1.13.0 dilabeli stabil pada 15:06 UTC pada 14 September. Akun @ETC_Network mempublikasikan permintaan migrasi keesokan paginya.
Perangkat lunak tersebut mencapai sebagian infrastruktur penambangan Ethereum Classic sebelum operator membatalkan migrasi. Empat node 2Miners menjalankan CoreGeth v1.13.0 pada pukul 12:09 UTC pada 15 September, menurut data status node yang dikutip oleh Classix. Pada pukul 23:35 UTC, keempatnya telah kembali ke Argos v1.12.23. Mining pool lain yang terdaftar tetap menggunakan versi seri 1.12.
Beberapa node individual terus menjalankan perangkat lunak yang disengketakan. Etcnodes.org menunjukkan 11 node v1.13.0 pada pukul 07:33 UTC pada 15 September, dengan jumlahnya turun menjadi 10 pada 16 September. Tiga dari node yang tersisa sesuai dengan alamat IP bootnode yang di-hardcode ke dalam klien baru, menurut laporan tersebut.
Tidak ada blok yang hilang, tidak ada reorganisasi rantai yang terjadi, tidak ada dana yang terpengaruh dan tidak ada gangguan layanan yang tercatat selama insiden tersebut, kata Classix. Laporan tersebut mengklasifikasikan peristiwa ini sebagai tingkat keparahan tinggi tetapi dampak rendah karena perangkat lunak tersebut mengubah perilaku konsensus tanpa menghasilkan kerugian ekonomi atau transaksi yang tercatat.
Ethereum Classic pernah menghadapi reorganisasi rantai sebelumnya. Seperti yang sebelumnya dilaporkan oleh crypto.news dalam liputannya tentang serangan mayoritas Ethereum Classic, ETC mengalami tiga serangan mayoritas pada Agustus 2020, termasuk reorganisasi yang melibatkan ribuan blok.
Rilis v1.13.0 memberitahu operator bahwa setiap node yang menjalankan v1.12.x harus meningkatkan versi dan mengklaim bahwa setiap rilis dalam seri tersebut berisi masalah keamanan yang belum ditambal, termasuk kerentanan yang diduga digunakan terhadap bootnode Ethereum Classic pada bulan Maret.
Classix membantah deskripsi tersebut setelah meninjau tujuh masalah keamanan yang dikutip oleh rilis tersebut. Lima di antaranya telah ditangani dalam rilis Core Geth yang dikelola antara Maret dan Agustus, sementara dua lainnya tidak memengaruhi jalur peer-to-peer Ethereum Classic, menurut laporan tersebut.
CVE-2026-22862 dan CVE-2026-26315 termasuk di antara kerentanan yang menurut Classix telah diperbaiki di Aegis v1.12.21. Hermes v1.12.22 kemudian menangani masalah kriptografi lainnya, sementara Argos v1.12.23 menggabungkan dekode pesan peer-to-peer yang tertunda dari go-ethereum untuk menangani CVE-2026-26313.
Masalah lain yang terdaftar, CVE-2026-22868, berkaitan dengan verifikasi bukti KZG. Classix mengatakan ini tidak berlaku untuk Ethereum Classic karena bukti KZG terkait dengan transaksi blob yang diperkenalkan melalui peningkatan Cancun Ethereum, yang belum diaktifkan oleh ETC. Laporan tersebut mengatakan masalah kedalaman kueri GraphQL terpisah bukanlah bagian dari jalur peer-to-peer atau konsensus dan memerlukan GraphQL untuk diaktifkan secara manual.
Classix mengatakan pemelihara Core Geth, Diego López León, meninjau perbedaan yang tersisa dan tidak menemukan celah yang dapat dieksploitasi di Argos yang diperbaiki oleh v1.13.0.
Selain klaim keamanannya, v1.13.0 mengubah cara node yang berpartisipasi dapat memilih rantai dan menemukan rekan (peers).
Salah satu modifikasi mengaktifkan kembali Modified Exponential Subjective Scoring, atau MESS, dengan menghapus konfigurasi yang menonaktifkannya pada blok 19.250.000. Ethereum Classic memperkenalkan MESS pada tahun 2020 sebagai perlindungan terhadap reorganisasi rantai sebelum menonaktifkannya melalui ECIP-1110 setelah Ethereum beralih dari proof of work ke proof of stake.
Classix memperingatkan bahwa klien konsensus yang berbeda dapat berperilaku berbeda jika hanya node Core Geth yang menggunakan MESS. Besu, Nethermind, dan Getc tidak mengimplementasikan mekanisme tersebut, menurut laporan itu.
Reorganisasi historis tetap menjadi masalah yang sangat relevan bagi ETC. Tinjauan crypto.news tentang sejarah reorganisasi blockchain menjelaskan bagaimana konsensus penambang dan sejarah rantai yang bersaing dapat menentukan hasil reorganisasi pada jaringan proof of work.
Klien yang disengketakan juga mengubah infrastruktur penemuan node. Sebuah commit menggantikan kunci penandatanganan pohon DNS yang dikelola oleh kontributor etclabscore sejak 2020 dan meng-hardcode tiga alamat IP bootnode baru. Dua pohon penemuan yang lebih lama, blockd.info dan etcdisco.net, kemudian dihapus.
Tiga domain pengganti dihosting melalui akun Cloudflare yang sama, menurut laporan tersebut, sementara repositori mengakui bahwa masalah yang memengaruhi akun tunggal dapat menghapus ketiga jalur tersebut. Operator yang mengikuti instruksi migrasi tidak diberitahu siapa yang mengendalikan kunci penandatanganan baru, kata Classix.
Panduan migrasi secara terpisah menginstruksikan operator untuk merotasi kunci node P2P mereka, mengutip CVE-2026-26315. Classix mengatakan Aegis telah memperbaiki masalah mendasar tersebut pada bulan Maret. Merotasi kunci mengubah identitas jaringan node dan memaksanya untuk membangun kembali koneksi rekan melalui infrastruktur penemuan.
Classix merekomendasikan agar operator menghindari ethereumclassic/core-geth v1.13.0 dan terus menjalankan etclabscore/core-geth Argos v1.12.23. Operator yang telah bermigrasi diberitahu untuk kembali, mengembalikan kunci node sebelumnya jika telah dirotasi, dan memeriksa konfigurasi MESS mereka.
Laporan tersebut mengatakan operator Ethereum Classic harus mempertimbangkan untuk menjalankan klien yang berbeda daripada memusatkan kekuatan hash jaringan pada Core Geth. Nethermind, Besu, dan Getc tetap menjadi alternatif yang tersedia.
Diversitas klien telah menjadi pertimbangan keamanan yang berulang di seluruh jaringan blockchain. Pengembangan Ethereum, misalnya, terus menguji pembaruan di berbagai implementasi eksekusi dan konsensus sebelum penyebaran. Persiapan testnet Glamsterdam baru-baru ini mencakup devnet pribadi lainnya setelah pengujian mengungkap bug implementasi konsensus dan eksekusi menjelang aktivasi Sepolia yang direncanakan.
Classix meminta administrator organisasi GitHub ethereumclassic untuk memperketat kontrol repositori, mensyaratkan proposal dan tinjauan sebelum repositori baru dibuat, melindungi cabang default, dan mengidentifikasi pemelihara untuk repositori yang mendistribusikan perangkat lunak. Secara terpisah, ia meminta agar ethereumclassic/core-geth dihapus atau diarsipkan, atau menyertakan peringatan yang menjelaskan bahwa itu bukan klien resmi.
Ethereum Classic sendiri tidak menunjuk pengembang, pemelihara, situs web, atau klien resmi, menurut penafian situs web proyek yang dikutip dalam laporan tersebut. Classix mengatakan repositori etclabscore yang dikelola memperoleh kedudukannya dari sejarah publik enam tahunnya, pemeliharaan aktif, dan adopsi di antara node ETC.
Laporan ini dimaksudkan untuk berfungsi sebagai pemberitahuan awal dan laporan insiden sementara. Classix mengatakan akan memperbarui dokumen tersebut jika node yang tersisa diverifikasi, pemelihara organisasi merespons, atau perkembangan material lainnya muncul.
ETH
ETC
