Ethereum: Teku und Besu beheben Fehler bei Validator-Belohnungen

Teku und Besu haben Updates veröffentlicht, nachdem Forscher herausgefunden hatten, dass schwache Kryptografie die privaten Schlüssel von acht Zwischenzertifizierungsstellen des indischen Anbieters eMudhra offengelegt hatte. Der Fehler hätte Angreifern ermöglichen können, Dienste vorzutäuschen, die von einigen Ethereum-Validatoren genutzt werden, und Block-Belohnungen umzuleiten. Es wurden keine Angriffe gemeldet, und die Standard-Mainnet-Knoten von Teku waren nicht betroffen.

Warum das wichtig ist

Validatoren nutzen digitale Zertifikate, um zu prüfen, ob sie mit den richtigen Diensten verbunden sind. Mit den offengelegten Schlüsseln hätte ein Angreifer zwischen einem Validator und einem Dienst ein gefälschtes Zertifikat vorlegen können, das ungepatchte Software als echt akzeptiert hätte. Teku warnte, dass eine kompromittierte Verbindung dazu führen könnte, dass ein Validator einen Block vorschlägt, der Gebühren an einen Angreifer leitet. Ein gefälschter externer Signierer könnte zudem Signaturen bereitstellen, mit denen sich das Ziel der Belohnungen ändern lässt. Teku stufte dieses Szenario als das riskanteste ein.

Teku 26.10.3 und Besu 26.10.2 entfernen in ihren Docker-Images das Vertrauen in mit eMudhra verknüpfte Zertifikate. Browser hatten die Zertifikate bereits blockiert, und eMudhra widerrief sie einen Tag, nachdem Forscher das Problem am 17. Oktober entdeckt hatten. Das Unternehmen hat angekündigt, sich aus dem Zertifikatsgeschäft zurückzuziehen.

Auswirkungen auf den Markt

Im Mittelpunkt steht die Sicherheit der Betreiber, nicht eine gemeldete Kompromittierung des gesamten Ethereum-Netzwerks. Teku zufolge sind Standard-Mainnet-Knoten nicht betroffen und erfordern keine Maßnahmen, für andere Konfigurationen können jedoch Updates nötig sein. Docker-Nutzer sollten die neuesten Teku- oder Besu-Images installieren. Betreiber, die die Software direkt ausführen, müssen Java separat aktualisieren, da ein Update des Ethereum-Clients die vertrauenswürdigen Zertifikate von Java nicht ändert. Auch Docker-Updates patchen Java nicht, wenn es auf dem Host installiert ist.

Betreiber, die noch Java 26 verwenden, müssen einen zusätzlichen Schritt unternehmen: Laut Teku ist diese Version am Ende ihres Lebenszyklus und erhält keine gepatchte Version mehr. Daher müssen sie auf Java 25 wechseln. Der Vorfall zeigt, dass Zertifikatsvertrauen und die Software auf dem Host neben Updates des Ethereum-Clients ebenfalls zur Sicherheit von Validatoren beitragen.