Ethereum: Teku e Besu corrigem falha que ameaçava recompensas

Teku e Besu lançaram atualizações depois de investigadores descobrirem que uma criptografia fraca expôs as chaves privadas de oito autoridades de certificação intermédias geridas pela entidade emissora indiana eMudhra. A falha poderia ter permitido a atacantes fazerem-se passar por serviços utilizados por alguns validadores Ethereum e redirecionarem recompensas de blocos. Não há registo de exploração da falha, e os nós Teku predefinidos da rede principal não foram afetados.

Porque é importante

Os validadores dependem de certificados digitais para confirmar que estão a ligar-se aos serviços certos. Com as chaves expostas, um atacante situado entre um validador e um serviço poderia apresentar um certificado falsificado que software desatualizado aceitaria como legítimo. A Teku alertou que uma ligação comprometida poderia levar um validador a propor um bloco que encaminhasse as taxas para um atacante. Um assinante externo falso também poderia fornecer assinaturas usadas para alterar o destino das recompensas. A Teku classificou esta configuração como a mais arriscada.

O Teku 26.10.3 e o Besu 26.10.2 deixam de confiar nos certificados associados à eMudhra nas respetivas imagens Docker. Os navegadores já tinham bloqueado os certificados, e a eMudhra revogou-os um dia depois de os investigadores identificarem o problema, a 17 de outubro. A empresa afirmou que vai abandonar o negócio dos certificados.

Impacto no mercado

A preocupação imediata é a segurança dos operadores, não um comprometimento da rede Ethereum em larga escala. A Teku afirmou que os nós predefinidos da rede principal não são afetados e não exigem qualquer ação, mas outras configurações podem precisar de atualizações. Os utilizadores de Docker devem instalar as imagens mais recentes de Teku ou Besu. Os operadores que executam o software diretamente têm de atualizar o Java em separado, porque atualizar o cliente Ethereum não altera os certificados de confiança do Java. As atualizações do Docker também não corrigem o Java instalado no sistema anfitrião.

Os operadores que ainda usam Java 26 têm de dar um passo adicional: a Teku afirma que essa versão chegou ao fim de vida e não receberá uma versão corrigida, pelo que é necessário passar para Java 25. O incidente realça que a confiança nos certificados e o software do sistema anfitrião também fazem parte da segurança dos validadores, a par das atualizações dos clientes Ethereum.