Các bản cập nhật bảo mật của Ethereum khắc phục lỗ hổng trong chứng chỉ eMudhra
Các ứng dụng khách Ethereum Teku và Besu đã phát hành bản cập nhật bảo mật sau khi các nhà nghiên cứu phát hiện tính ngẫu nhiên yếu trong các khóa riêng liên quan đến tám cơ quan cấp chứng chỉ trung gian do công ty eMudhra của Ấn Độ vận hành. Lỗ hổng này có thể cho phép kẻ tấn công suy ra khóa từ các chứng chỉ công khai và cấp chứng chỉ giả mạo. Teku phát hành phiên bản 26.10.3 vào ngày 27 tháng 10, còn Besu phát hành phiên bản 26.10.2 sớm hơn một ngày, loại bỏ trạng thái tin cậy đối với các chứng chỉ bị ảnh hưởng khỏi các ảnh Docker của họ.
Do Java mặc định không kiểm tra việc thu hồi chứng chỉ, kẻ tấn công đứng giữa một trình xác thực và dịch vụ bên ngoài có thể giả mạo dịch vụ đó. Trong trường hợp xấu nhất, trình xác thực có thể bị lừa đề xuất một khối chuyển hướng phí giao dịch. Nếu một bên ký bên ngoài quản lý khóa của trình xác thực bị xâm phạm, rủi ro sẽ nghiêm trọng hơn. Sự cố này không ảnh hưởng đến các giao thức ngang hàng của Ethereum.
Teku cho biết các cấu hình mainnet mặc định không bị ảnh hưởng và chưa ghi nhận trường hợp khai thác nào. Người dùng Docker nên cập nhật ảnh ứng dụng khách; những người chạy ứng dụng khách trực tiếp có thể cần cập nhật riêng các chứng chỉ được Java tin cậy. Teku cho biết Java 26 không được hỗ trợ và khuyến nghị dùng Java 25. eMudhra đã thu hồi các chứng chỉ bị ảnh hưởng và cho biết sẽ rời khỏi lĩnh vực kinh doanh chứng chỉ. Sự cố cho thấy những rủi ro trong hạ tầng trình xác thực, nhưng chưa có báo cáo về thất thoát tiền hoặc bằng chứng về sự cố trên diện rộng của giao thức.
Neutral
Lỗ hổng này liên quan đến độ tin cậy của chứng chỉ trong cơ sở hạ tầng trình xác thực, chứ không ảnh hưởng đến cơ chế đồng thuận hay các giao thức ngang hàng của Ethereum. Teku cho biết các cấu hình mainnet mặc định không bị ảnh hưởng, và chưa có báo cáo nào về việc khai thác lỗ hổng hoặc thất thoát tiền. Những yếu tố này hạn chế cơ sở trước mắt cho việc bán ETH kéo dài, dù cảnh báo bảo mật và yêu cầu các đơn vị vận hành cập nhật hệ thống có thể gây ra tâm lý thận trọng hoặc biến động trong thời gian ngắn.
Trong ngắn hạn, các nhà giao dịch có thể theo dõi mức độ áp dụng bản cập nhật cho client cũng như mọi báo cáo về việc khai thác lỗ hổng hoặc gián đoạn hoạt động của trình xác thực. Nếu các bản cập nhật được triển khai rộng rãi và không xảy ra sự cố, tác động đến thị trường nhiều khả năng vẫn ở mức hạn chế. Về dài hạn, sự việc có thể khiến các dịch vụ trình xác thực, bên ký bên ngoài và những phụ thuộc vào chứng chỉ bị giám sát kỹ hơn. Điều đó có thể làm tăng chi phí vận hành hoặc củng cố những lo ngại về bảo mật, nhưng thông tin hiện có không cho thấy đây là mối đe dọa lâu dài đối với mạng lưới hay các yếu tố nền tảng của Ethereum. Nhìn chung, tác động trực tiếp đến giá ETH là trung tính.