Actualizările de securitate Ethereum remediază o vulnerabilitate din certificatul eMudhra
Clienții Ethereum Teku și Besu au lansat actualizări de securitate după ce cercetătorii au descoperit o aleatorietate slabă în cheile private asociate cu opt autorități de certificare intermediare operate de compania indiană eMudhra. Vulnerabilitatea le-ar putea permite atacatorilor să deducă cheile din certificatele publice și să emită certificate frauduloase. Teku a lansat versiunea 26.10.3 pe 27 octombrie, iar Besu a lansat versiunea 26.10.2 cu o zi înainte, eliminând din imaginile Docker încrederea acordată certificatelor afectate.
Deoarece Java nu verifică implicit revocarea certificatelor, un atacator aflat între un validator și un serviciu extern s-ar putea da drept acel serviciu. În cel mai rău caz, validatorul ar putea fi păcălit să propună un bloc care redirecționează comisioanele tranzacțiilor. Compromiterea unui semnatar extern care gestionează cheile validatorilor ar putea prezenta un risc mai grav. Problema nu afectează protocoalele peer-to-peer ale Ethereum.
Teku a declarat că configurațiile implicite ale mainnetului nu sunt afectate și că nu se cunosc cazuri de exploatare. Utilizatorii Docker ar trebui să actualizeze imaginile clienților; operatorii care rulează clienții direct ar putea fi nevoiți să actualizeze separat certificatele de încredere ale Java. Teku spune că Java 26 nu este acceptată și recomandă Java 25. eMudhra a revocat certificatele afectate și a anunțat că va părăsi domeniul certificatelor. Incidentul evidențiază riscurile infrastructurii validatorilor, însă nu au fost raportate pierderi de fonduri și nu există dovezi privind o defecțiune la nivelul întregului protocol.
Neutral
Problema privește încrederea în certificate din infrastructura validatorilor, nu consensul Ethereum sau protocoalele sale peer-to-peer. Teku afirmă că setările implicite ale rețelei principale nu sunt afectate, iar până acum nu au fost raportate exploatări ale vulnerabilității sau pierderi de fonduri. Acești factori limitează motivele imediate pentru o presiune de vânzare prelungită asupra ETH, deși avertismentul de securitate și necesitatea ca operatorii să își actualizeze sistemele ar putea provoca o perioadă scurtă de prudență sau volatilitate.
Pe termen scurt, traderii pot urmări adoptarea actualizărilor clienților și eventualele raportări privind exploatarea vulnerabilității sau întreruperi ale validatorilor. Dacă actualizările sunt aplicate pe scară largă și nu apar incidente, impactul asupra pieței va rămâne, cel mai probabil, limitat. Pe termen lung, incidentul ar putea încuraja o analiză mai atentă a serviciilor pentru validatori, a semnatarilor externi și a dependențelor de certificate. Acest lucru ar putea crește costurile operaționale sau accentua preocupările legate de securitate, însă informațiile disponibile nu indică o amenințare de durată pentru rețeaua Ethereum sau pentru fundamentele acesteia. Per ansamblu, impactul direct asupra prețului ETH este neutru.