Teku і Besu закрили ваду eMudhra, через яку могли красти винагороди ETH

Клієнти Ethereum Teku та Besu випустили оновлення, які перестають довіряти сертифікатам індійського центру сертифікації eMudhra. Це закриває ваду, через яку в деяких конфігураціях зловмисники могли перенаправити винагороди валідаторів, повідомив CoinDesk. Типові вузли Teku в основній мережі не постраждали, атак не зафіксовано.

Що вийшло

• Teku 26.10.3 (вівторок): клієнт рівня консенсусу, яким користується багато валідаторів.
• Besu 26.10.2 (понеділок): клієнт рівня виконання, що обробляє транзакції.

Обидва оновлення прибирають довіру до сертифікатів eMudhra зі своїх Docker-образів — готових збірок, які запускає багато операторів.

Чому слабким місцем стала Java

17 жовтня дослідники показали, що приватні ключі восьми проміжних центрів сертифікації eMudhra були згенеровані з недостатньою випадковістю і їх можна вивести з публічних сертифікатів — детально про це в нашому розборі ключів eMudhra. Браузери заблокували сертифікати, eMudhra відкликала їх наступного дня, а згодом заявила, що піде з бізнесу сертифікатів.

Teku і Besu працюють на Java, яка за замовчуванням не перевіряє, чи відкликано сертифікат. Тож старі Docker-образи й далі довіряли поганим сертифікатам, коли браузери вже від них відмовилися. Consensys раніше попередила операторів Besu і Web3Signer про цей ризик.

Як могли вкрасти винагороди

Згідно з бюлетенем Teku, зловмисник між валідатором і сервісом, на який той покладається, міг видати себе за цей сервіс:

• обманутий валідатор міг запропонувати блок, комісії з якого йдуть на адресу зловмисника;
• підроблений зовнішній підписувач — сервіс, що зберігає ключі валідатора, — міг повертати підписи, які змінюють адресу винагород; цю конфігурацію Teku вважає найризикованішою.

«Типовий вузол Teku в основній мережі не зачеплений і не потребує дій», — написала команда. Проблему першою помітила Consensys Diligence, партнер Teku з безпеки.

Що робити операторам

• Користувачі Docker: завантажте найновіший образ Teku або Besu.
• Запуск без Docker: оновіть Java окремо — оновлення клієнта не змінює сховище довірених сертифікатів Java, і нові Docker-образи не виправляють Java на хості.
• Java 26: ця версія більше не підтримується й не отримає виправлення, тож перейдіть на Java 25.

Якщо ви домашній стейкер і не до кінця розумієте, як ваш вузол отримує винагороди, почніть із гіда про стейкінг криптовалют.