Tinutugunan ng mga update sa seguridad ng Ethereum ang kahinaan sa sertipiko ng eMudhra
Naglabas ng mga update sa seguridad ang mga Ethereum client na Teku at Besu matapos matuklasan ng mga mananaliksik ang mahinang randomness sa mga private key na kaugnay ng walong intermediate certificate authority na pinapatakbo ng eMudhra ng India. Dahil sa kahinaan, maaaring makuha ng mga umaatake ang mga key mula sa mga pampublikong certificate at makapag-isyu ng mga mapanlinlang na certificate. Inilabas ng Teku ang bersyong 26.10.3 noong Oktubre 27, habang inilabas naman ng Besu ang bersyong 26.10.2 isang araw na mas maaga at inalis ang pagtitiwala sa mga apektadong certificate mula sa mga Docker image nito.
Dahil hindi awtomatikong sinusuri ng Java kung binawi na ang mga certificate, maaaring magpanggap na panlabas na serbisyo ang isang umaatakeng nakapuwesto sa pagitan ng validator at ng serbisyong iyon. Sa pinakamasamang sitwasyon, maaaring malinlang ang validator na magmungkahi ng block na maglilihis sa mga bayarin sa transaksyon. Mas malubha ang maaaring panganib kung makompromiso ang isang external signer na humahawak sa mga key ng validator. Hindi naaapektuhan ng isyung ito ang mga peer-to-peer protocol ng Ethereum.
Ayon sa Teku, hindi apektado ang mga default na configuration ng mainnet at walang nalalamang pagsasamantala sa kahinaan. Dapat i-update ng mga gumagamit ng Docker ang kanilang mga client image; maaaring kailanganin namang hiwalay na i-update ng mga operator na direktang nagpapatakbo ng mga client ang mga pinagkakatiwalaang certificate ng Java. Hindi sinusuportahan ng Teku ang Java 26 at inirerekomenda nito ang Java 25. Binawi na ng eMudhra ang mga apektadong certificate at sinabi nitong aalis na ito sa negosyo ng mga certificate. Itinatampok ng insidente ang mga panganib sa imprastraktura ng validator, ngunit walang naiulat na pagkawala ng pondo o ebidensiya ng pagkabigo sa buong protocol.
Neutral
Ang kahinaan ay may kinalaman sa tiwala sa mga certificate sa imprastraktura ng validator, hindi sa consensus o mga peer-to-peer protocol ng Ethereum. Ayon sa Teku, hindi naaapektuhan ang mga default na configuration ng mainnet, at wala pang naiulat na pagsasamantala sa kahinaan o pagkawala ng pondo. Nililimitahan ng mga salik na ito ang agarang dahilan para magpatuloy ang pagbebenta ng ETH, bagama’t maaaring magdulot ng panandaliang pag-iingat o pagkasumpungin ang babala sa seguridad at ang pangangailangan ng mga operator na mag-update.
Sa maikling panahon, maaaring subaybayan ng mga trader kung gaano kalawak ang pagtanggap sa mga update ng client at kung may mga ulat ng pagsasamantala sa kahinaan o pagkaantala sa mga validator. Kung malawakang mailalapat ang mga update at walang lilitaw na insidente, malamang na mananatiling limitado ang epekto sa merkado. Sa mas mahabang panahon, maaaring maghikayat ang insidenteng ito ng mas masusing pagsusuri sa mga serbisyo ng validator, mga panlabas na tagapirma, at mga pagdepende sa certificate. Maaari nitong pataasin ang mga gastos sa operasyon o palalain ang mga alalahanin sa seguridad, ngunit hindi ipinahihiwatig ng impormasyong mayroon sa ngayon na may pangmatagalang banta sa network o mga pundamental ng Ethereum. Sa kabuuan, neutral ang direktang epekto nito sa presyo ng ETH.