עדכוני האבטחה של Ethereum מתקנים פגיעות בתעודת eMudhra
לקוחות Ethereum Teku ו-Besu פרסמו עדכוני אבטחה לאחר שחוקרים גילו אקראיות חלשה במפתחות פרטיים הקשורים לשמונה רשויות אישורי ביניים שמפעילה eMudhra מהודו. הפגם עלול לאפשר לתוקפים לגזור את המפתחות מתוך אישורים ציבוריים ולהנפיק אישורים מזויפים. Teku פרסמה את גרסה 26.10.3 ב-27 באוקטובר, ואילו Besu פרסמה את גרסה 26.10.2 יום קודם לכן והסירה את האמון באישורים המושפעים מתוך תמונות Docker שלה.
מכיוון ש-Java אינה בודקת כברירת מחדל אם אישור בוטל, תוקף שנמצא בין מאמת לשירות חיצוני עלול להתחזות לאותו שירות. בתרחיש הגרוע ביותר, אפשר להטעות מאמת ולהביא אותו להציע בלוק שמנתב מחדש עמלות עסקאות. פגיעה בחתימה חיצונית המטפלת במפתחות של מאמת עלולה ליצור סיכון חמור יותר. הבעיה אינה משפיעה על פרוטוקולי peer-to-peer של Ethereum.
Teku מסרה שתצורות mainnet ברירת המחדל אינן מושפעות ושלא ידוע על ניצול של הפגיעות. משתמשי Docker צריכים לעדכן את תמונות הלקוח שלהם; מפעילים שמריצים לקוחות ישירות עשויים להידרש לעדכן בנפרד את האישורים המהימנים של Java. Teku אינה תומכת ב-Java 26 וממליצה על Java 25. eMudhra ביטלה את האישורים המושפעים ואמרה שתעזוב את עסקי האישורים. התקרית מדגישה את הסיכונים בתשתית המאמתים, אך לא דווח על אובדן כספים ואין ראיות לכשל כלל-מערכתי בפרוטוקול.
Neutral
הפגם נוגע לאמון בתעודות בתשתית המאמתים, ולא למנגנון הקונצנזוס או לפרוטוקולי העמית-לעמית של Ethereum. לפי Teku, תצורות ברירת המחדל של הרשת הראשית אינן מושפעות, ולא דווח על ניצול לרעה או על אובדן כספים. גורמים אלה מצמצמים את הסיבות המיידיות להמשך מכירת ETH, אף שאזהרת האבטחה והצורך של מפעילים לעדכן עשויים לגרום לזהירות זמנית או לתנודתיות.
בטווח הקצר, סוחרים עשויים לעקוב אחר היקף האימוץ של עדכוני הלקוח ואחר דיווחים על ניצול לרעה או שיבושים אצל מאמתים. אם העדכונים יותקנו באופן נרחב ולא יירשמו אירועים, סביר שההשפעה על השוק תישאר מוגבלת. בטווח הארוך, התקרית עשויה לעודד בחינה קפדנית יותר של שירותי מאמתים, חותמים חיצוניים והתלות בתעודות. הדבר עלול להעלות את עלויות התפעול או לחזק חששות אבטחה, אך המידע הזמין אינו מצביע על איום מתמשך על רשת Ethereum או על יסודותיה. בסך הכול, ההשפעה הישירה על מחיר ETH ניטרלית.