基於安全考慮，Arbitrum 暫停新增 Stylus 合約啟用

Arbitrum Foundation 發布公告指，Arbitrum 安全委員會於 10 月 2 日採取緊急行動，暫停 Arbitrum One 及 Arbitrum Nova 上新增 Stylus 合約的「啟用（activation）」程序，以防範可能影響鏈上持續運作（liveness）的手工編寫 WebAssembly（WASM）程式。 暫停措施涵蓋範圍僅限於將 Stylus 合約變成可被呼叫的啟用步驟。措施生效期間，開發者無法啟用新的 Stylus 合約，亦不能重新啟用已過期的合約；已啟用並正在運行的合約則會繼續運作直至到期。由於啟用是令已部署的 Stylus 合約可執行的關鍵步驟，今次凍結等同阻止新的 Stylus 應用及升級版本上線。 Stylus 合約的啟用期預設為 365 日，而 keepalive 續期仍維持無需許可（permissionless）。一般 Solidity 及 EVM 合約的部署與執行不受影響。 Stylus 於 2024 年 9 月推出，允許開發者以 Rust 等語言撰寫與 Ethereum 相容的智能合約，再編譯成 WASM。其定位包括讓鏈上網絡擁有者自訂網絡，以及協助開發者優化核心合約。公告指出，風險焦點在於手工編寫的 WASM 程式可能帶來拒絕服務（DoS）風險，進而威脅鏈上 liveness。至今在已審核合約中發現的 Stylus 問題，僅涉及 liveness 風險，未有用戶資金受影響。 安全委員會是透過把 Stylus 啟用所需的 gas 門檻上調至極高水平來落實暫停措施；這屬配置改動，毋須為網絡操作軟件 ArbOS 進行升級。基金會表示仍對 Stylus 有信心，將在限制手工編寫 WASM 程式的前提下，重啟啟用功能。 同一項緊急行動亦為 Arbitrum One 上 BoLD 的 one-step proofs 加入額外保障：若日後出現相互矛盾的 proof 被接受的情況，相關機制可能導致未確認的提現出現延後；即使發生暫停，Arbitrum One 仍會照常處理交易。 另外，ArbOS 61 升級已為 Arbitrum One 上所有仍在生效的 Stylus 合約完成續期，因此現時該網絡上已啟用的 Stylus 合約，最早亦要到 2027 年 8 月 20 日才會到期。 Arbitrum Foundation 表示，將與 ArbitrumDAO 共同商討何時及如何重開啟用，安全委員會暫未給出時間表。今次暫停亦令 Arbitrum 近期一連串安全事件再添一例，包括 7 月 AFX Trade 跨鏈橋遭利用、損失 2,400 萬美元，以及 4 月與 KelpDAO 攻擊者相關、涉及 7,100 萬美元的凍結事件。