Криптографическая ошибка в индийской компании, занимающейся выпуском сертификатов, проникла в сеть Ethereum, где она могла позволить злоумышленникам незаметно перенаправлять часть вознаграждений валидаторов на свои собственные счета.

Компания Teku, разработчик программного обеспечения, которое многие валидаторы используют для работы механизма Proof-of-Stake в Ethereum, выпустила версию 26.10.3 во вторник. Компания Besu, которая обрабатывает транзакции в Ethereum, выпустила версию 26.10.2 в понедельник. Оба обновления прекращают использование сертификатов, связанных с компанией eMudhra, индийским центром сертификации, в своих Docker-образах, которые часто используются операторами.

Валидаторы – это компьютеры, которые "стейкают" ETH для обеспечения безопасности сети Ethereum и получают вознаграждение за предложение новых блоков. Некоторые из них взаимодействуют с другими сервисами через интернет, и для обеспечения связи с правильным сервисом они используют цифровые сертификаты.

В чем заключалась проблема

17 октября исследователи обнаружили, что закрытые ключи, используемые для восьми промежуточных центров сертификации компании eMudhra, были сгенерированы с недостаточным уровнем случайности.

Это означало, что эти ключи можно было вычислить, используя сами сертификаты, которые являются общедоступными. Любой, кто владеет этими ключами, мог выдавать сертификаты, которые не обновленное программное обеспечение будет принимать за действительные. Браузеры заблокировали эти сертификаты, компания eMudhra отозвала их на следующий день, и с тех пор компания заявила о намерении прекратить деятельность в сфере выпуска сертификатов.

Подробнее: Компания, которая подтверждала подлинность веб-сайтов, использовала секретные ключи настолько слабые, что восемь из них были взломаны.

Java, язык программирования, на котором работают Teku и Besu, по умолчанию не проверяет, отозваны ли сертификаты. Поэтому Docker-образы Teku продолжали доверять этим недействительным сертификатам, даже после того, как браузеры их заблокировали.

Как валидаторы могли потерять деньги

Злоумышленник, находящийся между валидатором и сервисом, с которым он взаимодействует, мог выдавать себя за этот сервис. В своем предупреждении о безопасности компания Teku сообщила, что валидатор, обманутый таким образом, мог предложить блок, который бы перенаправлял вознаграждение на адрес злоумышленника.

Поддельный внешний "подписывающий" сервис, который хранит ключи валидатора, мог передавать подписи, используемые для изменения направления перечисления вознаграждений, что Teku оценила как наиболее рисковую ситуацию.

"Стандартный узел Teku в основной сети не подвержен этой проблеме и не требует никаких действий", - заявила команда разработчиков, добавив, что "сообщения об эксплуатации этой уязвимости не поступали". Компания Consensys Diligence, партнер Teku в области безопасности, первой выявила эту проблему.

Операторы, которые используют Teku или Besu напрямую на своих компьютерах, без использования Docker, должны самостоятельно обновить Java, поскольку обновление программного обеспечения Ethereum не затрагивает список доверенных сертификатов Java. Новые Docker-образы также не исправляют установленную на хост-машине версию Java.

Однако, для тех, кто все еще использует Java 26, исправление будет более сложным. Компания Teku заявила, что эта версия находится в конце своего жизненного цикла и не получит обновленной версии, поэтому этим операторам необходимо перейти на Java 25.