이더리움 보안 업데이트, eMudhra 인증서 취약점 해결
연구진이 인도의 eMudhra가 운영하는 8개 중간 인증기관과 연관된 개인 키의 난수 생성이 취약하다는 사실을 발견한 뒤, Ethereum 클라이언트 Teku와 Besu가 보안 업데이트를 배포했습니다. 이 취약점으로 공격자는 공개 인증서에서 키를 알아내고 위조 인증서를 발급할 수 있습니다. Teku는 10월 27일 버전 26.10.3을 배포했고, Besu는 하루 앞서 버전 26.10.2를 배포하면서 Docker 이미지에서 영향을 받은 인증서를 신뢰 대상에서 제외했습니다.
Java는 기본 설정에서 인증서가 폐지되었는지 확인하지 않기 때문에, 검증자와 외부 서비스 사이에 위치한 공격자가 해당 서비스인 것처럼 가장할 수 있습니다. 최악의 경우 검증자를 속여 거래 수수료를 다른 곳으로 돌리는 블록을 제안하게 만들 수 있습니다. 검증자 키를 처리하는 외부 서명 서비스가 침해되면 더 심각한 위험이 발생할 수 있습니다. 이 문제는 Ethereum의 피어 투 피어 프로토콜에는 영향을 주지 않습니다.
Teku는 기본 mainnet 구성은 영향을 받지 않으며 악용 사례도 알려진 바 없다고 밝혔습니다. Docker 사용자는 클라이언트 이미지를 업데이트해야 합니다. 클라이언트를 직접 실행하는 운영자는 Java의 신뢰 인증서를 별도로 업데이트해야 할 수도 있습니다. Teku는 Java 26을 지원하지 않으며 Java 25를 권장합니다. eMudhra는 영향을 받은 인증서를 폐지했으며 인증서 사업에서 철수하겠다고 밝혔습니다. 이번 사건은 검증자 인프라의 위험을 보여주지만, 자금 손실은 보고되지 않았고 프로토콜 전반의 장애를 뒷받침하는 증거도 없습니다.
Neutral
이 결함은 이더리움의 합의나 피어 투 피어 프로토콜이 아니라 검증자 인프라에서 인증서를 신뢰하는 문제와 관련이 있습니다. Teku에 따르면 메인넷의 기본 설정은 영향을 받지 않으며, 악용이나 자금 손실이 보고된 사례도 없습니다. 이러한 요인으로 인해 ETH 매도가 지속될 즉각적인 근거는 제한적입니다. 다만 보안 경고와 운영자의 업데이트 필요성 때문에 단기적인 경계심이나 변동성이 나타날 수 있습니다.
단기적으로 트레이더들은 클라이언트 업데이트 적용 현황과 악용 또는 검증자 장애에 관한 보고를 살펴볼 수 있습니다. 업데이트가 광범위하게 적용되고 별다른 사고가 발생하지 않는다면 시장 영향은 제한적일 가능성이 큽니다. 장기적으로는 이번 사건으로 검증자 서비스, 외부 서명자, 인증서 의존성에 대한 조사가 강화될 수 있습니다. 이로 인해 운영 비용이 증가하거나 보안 우려가 커질 수 있지만, 현재 이용 가능한 정보는 이더리움 네트워크나 펀더멘털에 지속적인 위협이 있음을 시사하지 않습니다. 종합하면 ETH 가격에 미치는 직접적인 영향은 중립적입니다.