Teku и Besu закрыли уязвимость eMudhra, позволявшую красть награды ETH

Клиенты Ethereum Teku и Besu выпустили обновления, которые перестают доверять сертификатам индийского удостоверяющего центра eMudhra. Это закрывает уязвимость, из-за которой в некоторых конфигурациях злоумышленники могли перенаправить награды валидаторов, сообщил CoinDesk. Типовые узлы Teku в основной сети не пострадали, атак не зафиксировано.

Что вышло

• Teku 26.10.3 (вторник): клиент уровня консенсуса, которым пользуются многие валидаторы.
• Besu 26.10.2 (понедельник): клиент уровня исполнения, обрабатывающий транзакции.

Оба обновления убирают доверие к сертификатам eMudhra из своих Docker-образов — готовых сборок, которые запускают многие операторы.

Почему слабым местом стала Java

17 октября исследователи показали, что приватные ключи восьми промежуточных удостоверяющих центров eMudhra были сгенерированы с недостаточной случайностью и их можно вывести из публичных сертификатов — подробно об этом в нашем разборе ключей eMudhra. Браузеры заблокировали сертификаты, eMudhra отозвала их на следующий день, а позже заявила, что уйдёт из бизнеса сертификатов.

Teku и Besu работают на Java, которая по умолчанию не проверяет, отозван ли сертификат. Поэтому старые Docker-образы продолжали доверять плохим сертификатам, когда браузеры уже от них отказались. Consensys ранее предупредила операторов Besu и Web3Signer об этом риске.

Как могли украсть награды

Согласно бюллетеню Teku, злоумышленник между валидатором и сервисом, на который тот полагается, мог выдать себя за этот сервис:

• обманутый валидатор мог предложить блок, комиссии с которого уходят на адрес злоумышленника;
• поддельный внешний подписант — сервис, хранящий ключи валидатора, — мог возвращать подписи, меняющие адрес наград; эту конфигурацию Teku считает самой рискованной.

«Типовой узел Teku в основной сети не затронут и не требует действий», — написала команда. Проблему первой заметила Consensys Diligence, партнёр Teku по безопасности.

Что делать операторам

• Пользователи Docker: скачайте свежий образ Teku или Besu.
• Запуск без Docker: обновите Java отдельно — обновление клиента не меняет хранилище доверенных сертификатов Java, и новые Docker-образы не исправляют Java на хосте.
• Java 26: эта версия больше не поддерживается и не получит исправления, поэтому переходите на Java 25.

Если вы домашний стейкер и не до конца понимаете, как ваш узел получает награды, начните с гайда о стейкинге криптовалют.