Ethereumwallet Parity heeft zijn gebruikers gewaarschuwd dat een bug de wallets van een groep gebruikers heeft bevroren, waardoor geen transacties mogelijk zijn. Het bleek mogelijk te zijn om een bibliotheek om te zetten in een wallet.
Volgens een eerste schatting is ongeveer een miljoen ether getroffen door de bug, wat omgerekend neerkomt op 258 miljoen euro. De ongeveer zeventig getroffen wallets zouden te vinden zijn in een Pastebin-bestand. Parity Technologies schrijft in een waarschuwing dat zogenaamde multi-sig-wallets die aangemaakt zijn na 20 juli, door de bug zijn getroffen. Dat komt doordat op 19 juli code werd geïntroduceerd om een lek te patchen waardoor criminelen in staat waren omgerekend 27 miljoen euro aan ether te stelen.
Beveiligingsonderzoeker Matt Suiche analyseert in een blogpost de werking van de bug. Hij schrijft dat de nieuwe code in de vorm van een smart contract en een wallet om te zetten was, doordat Ethereum geen onderscheid maakt tussen contracten, bibliotheken en accounts. Een GitHub-gebruiker met de naam devops199 maakte een ticket aan om de bug te melden, die te maken had met het feit dat er geen eigenaar was van de wallet. In de melding zei hij dat hij het contract per ongeluk had vernietigd.
Suiche legt uit dat dit mogelijk was doordat hij zichzelf als eigenaar van de wallet aanwees door gebruik te maken van het feit dat de wallet een niet-geïnitialiseerde eigenaar had. Zo converteerde hij de bibliotheek naar een multi-sig-wallet. Vervolgens vernietigde hij de wallet, waardoor alle andere wallets die afhankelijk waren van de code in de bibliotheek, bevroren raakten.
Parity zegt dat het 'de situatie analyseert', maar heeft nog geen details bekendgemaakt. Ondertussen roepen verschillende gebruikers om een hard fork om het probleem op te lossen. Dat gebeurde ook na een hack op The DAO. Ethereum-onwikkelaar Vitalik Buterin gaat niet in op de gebeurtenissen en zegt alleen dat er simpelere en veiligere wallets nodig zijn.