Разработчики Ethereum-клиентов Teku и Besu выпустили внеплановые обновления безопасности, устраняющие риски для валидаторов и их комиссионных вознаграждений. Teku представил версию 26.10.3 27 октября, Besu — версию 26.10.2 26 октября. Оба релиза удаляют из доверенных корневых сертификатов проблемные записи, связанные с индийским удостоверяющим центром eMudhra.
Исследователи ещё 17 октября обнаружили, что восемь промежуточных сертификатов eMudhra опирались на приватные ключи, которые можно вычислить из публичной информации. Это позволяло злоумышленнику выпускать сертификаты для поддельных сервисов. Хотя eMudhra отозвала скомпрометированные сертификаты, некоторые Java-окружения продолжали им доверять, поскольку Java по умолчанию не проверяет статусы отзыва.
В уязвимых конфигурациях атакующий мог перехватить соединение валидатора с внешним сервисом и имитировать доверенный узел. Teku предупредил, что поддельное подключение к удалённому узлу способно направить комиссии за блок на адрес, контролируемый злоумышленником. Риск также касался внешних сервисов подписания: в этом случае злоумышленник мог получить подписи для перенаправления вознаграждений. «Стандартный узел Teku в основной сети не затронут, и никаких действий не требуется», — отметили в проекте, добавив, что случаев эксплуатации не зафиксировано.
Отдельно разработчики исправили ошибку маршрутизации депозитов в черновых правилах обновления Glamsterdam. Исследователь avsetsin обнаружил, что если строитель блока и валидатор используют один публичный ключ, стейкинговые депозиты могут попасть на счёт строителя. После первоначального отклонения 19 октября из-за отсутствия согласия клиентских команд исправление дополнили тестами и включили в спецификации 26 октября. Новая версия правил использует данные вывода средств для отделения депозитов валидаторов от депозитов строителей. Запланированный на 26 октября апгрейд тестовой сети Hoodi был отложен; Glamsterdam уже работал в Sepolia, новая дата активации ещё не назначена.
Для операторов узлов патчи в Docker-образах закрывают проблему с сертификатами, однако при использовании отдельной Java-среды необходимо обновлять её самостоятельно. Teku рекомендовал пользователям неподдерживаемой Java 26 перейти на Java 25. Эксперты подчёркивают, что инцидент не является сбоем консенсуса Ethereum, но напоминает о важности безопасности внешней инфраструктуры и цепочки поставок.
