Слабые ключи eMudhra: что делать владельцам криптовалюты

Восемь приватных ключей, которыми индийский удостоверяющий центр eMudhra заверял сайты, оказались настолько слабыми, что их можно было восстановить из публичных сертификатов меньше чем за секунду. Теоретически это позволяло подделывать сертификаты для любого сайта, сообщает CoinDesk. Браузеры быстро заблокировали сертификаты, атак не зафиксировано.

Что произошло

• 17 октября: исследователь по имени Уэйн сообщил о проблеме разработчикам браузеров и в качестве доказательства подписал своё предупреждение всеми восемью скомпрометированными ключами.
• Уязвимость: по данным исследователей, на которых ссылается CoinDesk, eMudhra использовала в качестве приватных ключей крошечные целые числа — 4, 56, 237 — вместо больших случайных. Исследователь безопасности Скотт Хелм говорит, что ключи были уязвимы ещё с апреля 2025 года.
• Исправление: Mozilla заблокировала сертификаты примерно через три часа после сообщения, Chrome — в тот же день, Apple — 19 октября, Microsoft — 20 октября. eMudhra отозвала сертификаты.

По данным The Register, eMudhra выпустила более 60 млн сертификатов.

Наше мнение

Это не криптовалютная уязвимость — именно так сказал CoinDesk CTO Polygon Labs Мудит Гупта. Но в криптоиндустрии необычно много программ, работающих без присмотра: биржевые боты, торговые скрипты и бэкенды кошельков на Python, Node или Go, которые месяцами крутятся без обновлений. Поддельный сертификат для API биржи теоретически позволил бы злоумышленнику в той же сети читать или менять такой трафик. Браузеры обновляются сами; cron-задача на забытом VPS — нет, а часть небраузерного ПО вообще не проверяет, отозван ли сертификат.

Урок перекликается со взломом кошельков Qubic: безопасность рушится, когда «случайные» числа не случайны.

Что делать

• Обновите браузеры, операционные системы, приложения кошельков и среды, на которых работают ваши боты или скрипты.
• Убедитесь, что серверный код использует актуальное хранилище сертификатов.
• Не работайте с API-ключами и кошельками через публичный Wi-Fi, где перехват проще всего.
• Держите долгосрочные сбережения офлайн, как объяснено в руководстве по безопасному хранению криптовалюты, и проверяйте сайты по нашему чеклисту против мошенничества.