Ethereum-Sicherheitsupdates beheben eine Schwachstelle im eMudhra-Zertifikat
Die Ethereum-Clients Teku und Besu haben Sicherheitsupdates veröffentlicht, nachdem Forscher eine unzureichende Zufälligkeit bei privaten Schlüsseln festgestellt hatten, die mit acht von Indiens eMudhra betriebenen Zwischenzertifizierungsstellen verbunden sind. Die Schwachstelle könnte Angreifern ermöglichen, die Schlüssel aus öffentlichen Zertifikaten abzuleiten und betrügerische Zertifikate auszustellen. Teku veröffentlichte am 27. Oktober Version 26.10.3. Besu brachte bereits einen Tag zuvor Version 26.10.2 heraus und entfernte die betroffenen Zertifikate aus dem Vertrauensspeicher seiner Docker-Images.
Da Java standardmäßig nicht prüft, ob ein Zertifikat widerrufen wurde, könnte ein Angreifer, der sich zwischen einem Validator und einem externen Dienst befindet, sich als dieser Dienst ausgeben. Im schlimmsten Fall könnte ein Validator dazu verleitet werden, einen Block vorzuschlagen, der Transaktionsgebühren umleitet. Ein kompromittierter externer Signierer, der Validator-Schlüssel verwaltet, könnte ein noch größeres Risiko darstellen. Das Problem betrifft die Peer-to-Peer-Protokolle von Ethereum nicht.
Teku zufolge sind die standardmäßigen Mainnet-Konfigurationen nicht betroffen, und es ist keine Ausnutzung bekannt. Docker-Nutzer sollten ihre Client-Images aktualisieren. Betreiber, die Clients direkt ausführen, müssen möglicherweise die vertrauenswürdigen Java-Zertifikate separat aktualisieren. Teku unterstützt Java 26 nicht und empfiehlt Java 25. eMudhra hat die betroffenen Zertifikate widerrufen und angekündigt, das Zertifikatsgeschäft aufzugeben. Der Vorfall macht Risiken in der Validator-Infrastruktur deutlich; ein Verlust von Geldern wurde jedoch nicht gemeldet, und es gibt keine Hinweise auf einen protokollweiten Ausfall.
Neutral
Die Schwachstelle betrifft das Vertrauen in Zertifikate innerhalb der Validator-Infrastruktur, nicht den Konsens oder die Peer-to-Peer-Protokolle von Ethereum. Laut Teku sind die standardmäßigen Mainnet-Konfigurationen nicht betroffen, und es wurden weder Ausnutzungen der Schwachstelle noch Verluste von Geldern gemeldet. Diese Faktoren schränken die unmittelbaren Gründe für anhaltende Verkäufe von ETH ein, auch wenn die Sicherheitswarnung und die erforderlichen Updates für Betreiber kurzfristig zu Vorsicht oder Volatilität führen könnten.
Kurzfristig könnten Händler beobachten, wie viele Nutzer die Client-Updates installieren und ob Berichte über Ausnutzungen oder Störungen bei Validatoren auftauchen. Werden die Updates breit angewendet und treten keine Vorfälle auf, dürfte die Marktwirkung begrenzt bleiben. Längerfristig könnte der Vorfall eine genauere Prüfung von Validator-Diensten, externen Signierern und Zertifikatsabhängigkeiten fördern. Dies könnte die Betriebskosten erhöhen oder Sicherheitsbedenken verstärken; die verfügbaren Informationen deuten jedoch nicht auf eine anhaltende Bedrohung für das Ethereum-Netzwerk oder seine Fundamentaldaten hin. Insgesamt ist die direkte Auswirkung auf den ETH-Preis neutral.