以太坊安全更新修复 eMudhra 证书漏洞

研究人员发现，印度 eMudhra 运营的八个中间证书颁发机构所使用的私钥随机性不足，攻击者可能从公开证书推导出这些密钥，并签发欺诈性证书。对此，以太坊客户端 Teku 和 Besu 发布了安全更新：Teku 于 10 月 27 日推出 26.10.3 版本，Besu 则于前一天发布 26.10.2 版本，并在 Docker 镜像中移除对受影响证书的信任。 由于 Java 默认不会检查证书是否已撤销，能够介入验证者与外部服务之间的攻击者可能冒充该服务。最坏情况下，验证者可能被诱骗提出将交易手续费转给攻击者的区块。若处理验证者密钥的外部签署服务遭到入侵，风险可能更严重。该问题不影响以太坊点对点协议。 Teku 表示，主网默认配置不受影响，目前也没有已知的利用事件。Docker 用户应更新客户端镜像；直接运行客户端的营运者可能还需单独更新 Java 的受信任证书。Teku 称 Java 26 不受支持，并建议使用 Java 25。eMudhra 已撤销受影响证书，并表示将退出证书业务。此事凸显验证者基础设施的风险，但目前没有资金损失报告，也没有证据显示以太坊协议整体受到影响。