事件

以太坊客户端 Teku 发布 26.10.3 版本，Besu 发布 26.10.2 版本，两者均在 Docker 镜像中停止信任与印度证书机构 eMudhra 相关的证书。

原因

研究人员发现，因密码学缺陷，eMudhra 八个中间证书机构的私钥可被推算。

风险

  • 攻击者若处于验证者与其连接服务之间，可冒充该服务，诱使验证者出块并将费用支付至攻击者地址

  • 外部签名者面临的伪造风险最高

  • Teku 称主网默认节点不受影响，目前未报告漏洞利用


运营方操作

  • 未使用 Docker、直接运行客户端的运营商需自行更新 Java

  • 仍使用 Java 26 的用户需迁移至已停止维护的 Java 25