Слабкі ключі eMudhra: що робити власникам криптовалюти

Вісім приватних ключів, якими індійський центр сертифікації eMudhra засвідчував сайти, виявилися настільки слабкими, що їх можна було відновити з публічних сертифікатів менш ніж за секунду. Теоретично це дозволяло підробляти сертифікати для будь-якого сайту, повідомляє CoinDesk. Браузери швидко заблокували сертифікати, атак не зафіксовано.

Що сталося

• 17 жовтня: дослідник на ім'я Вейн повідомив про проблему розробникам браузерів і як доказ підписав своє попередження всіма вісьмома скомпрометованими ключами.
• Вада: за даними дослідників, на яких посилається CoinDesk, eMudhra використовувала як приватні ключі крихітні цілі числа — 4, 56, 237 — замість великих випадкових. Дослідник безпеки Скотт Гелм каже, що ключі були вразливі ще з квітня 2025 року.
• Виправлення: Mozilla заблокувала сертифікати приблизно за три години після повідомлення, Chrome — того ж дня, Apple — 19 жовтня, Microsoft — 20 жовтня. eMudhra відкликала сертифікати.

За даними The Register, eMudhra видала понад 60 млн сертифікатів.

Наша думка

Це не криптовалютна вада — саме так сказав CoinDesk CTO Polygon Labs Мудіт Гупта. Але в криптоіндустрії незвично багато програм, що працюють без нагляду: біржові боти, торгові скрипти й бекенди гаманців на Python, Node чи Go, які місяцями крутяться без оновлень. Підроблений сертифікат для API біржі теоретично дав би зловмиснику в тій самій мережі змогу читати чи змінювати такий трафік. Браузери оновлюються самі; cron-завдання на забутому VPS — ні, а дехто з не-браузерного ПЗ взагалі не перевіряє, чи сертифікат відкликано.

Урок перегукується зі зламом гаманців Qubic: безпека руйнується, коли «випадкові» числа не випадкові.

Що робити

• Оновіть браузери, операційні системи, застосунки гаманців і середовища, на яких працюють ваші боти чи скрипти.
• Переконайтеся, що серверний код використовує актуальне сховище сертифікатів.
• Не працюйте з API-ключами чи гаманцями через публічний Wi-Fi, де перехоплення найпростіше.
• Тримайте довгострокові заощадження офлайн, як пояснено в посібнику про безпечне зберігання криптовалюти, і перевіряйте сайти за нашим чеклистом проти шахрайства.